각종 POS 공격 늘어나자 PCI SSC 필요조건 강화

최신화된 PCI SSC, 물리보안 강화 및 암호화 도입
다소 빡빡할 수 있는 내용들... 탁상행정에 그치지 않았다는 평

[보안뉴스 문가용] 지불카드 산업 보안 표준 의회(Payment Card Industry Security Standards Council, PCI SSC)가

지불 단말기 업체들이 충족시켜야 하는 필요조건을 업데이트했다.

각종 유명 호텔 및 숙박시설은 물론 도소매업들에서 특히 POS와 POI(Point of Interaction, 상호 작용 시점)를

겨냥한 위협과 공격이 증가함에 따라 내린 조치다.

POS 공격으로 수천만 건의 지불카드 정보가 유출되었고, 이 때문에 기업들은 큰 비용을 지불하고 있다.

은행도 카드를 재발행해야 하는 등 피해가 적지 않다.

여태까지 일어난 POS 공격은 대부분 공격자가 POS 시스템과 PIN을 입력하는 단말에

멀웨어를 심거나, 스키머를 활용해 지불카드 데이터가 암호화되기 전 타이밍을 노리는 패턴으로 이루어졌다.

PCI측은 이번 업데이트를 통해 특히 PIN 입력 기기, 무인 지불 단말, POS 단말과 결합된

PIN 패드를 다루는 업체들의 보안을 강화하려는 의지와 카드 리더기의 암호화에 대한 계획을 나타냈다.

지불 기기들은 카드 정보를 자기띠나 EMV 카드의 칩에서부터 받아서 소비한다.

그리고 이 정보가 바로 공격자가 노리는 것이다.

“범죄자들은 계속해서 이 데이터에 도달하기 위해 보안 장치를 해체시킵니다.”

PCI 위원회의 CTO인 트로이 리치(Troy Leach)의 설명이다.

그래서 계속해서 새로운 스키머가 등장하고 공격 방법이 개발된다는 것이다.

“그들이 새로운 걸 들고 나오면 저희도 새로워져야겠죠. 최신화된 PCI 표준이 바로 이 지점에서

새로운 기능을 할 수 있으리라고 봅니다. 업그레이드된 공격방식에 대한 대처를 다루고 있거든요.”

개정된 내용 중 눈에 띄는 건 PIN 거래 보안(PTS)와 POI 시스템에 대한 항목이 따로 분리되었다는 것이다.

기존 표준 항목들이 업데이트된 것 외에도 새롭게 추가된 조건들이 존재한다는 게 가장 잘 드러나는 부분이다.

즉, PCI SSC가 나름 대대적인 수술을 받았다는 것.

“멀웨어를 시스템에 직접 심어야 공격이 성립되는 경우가 많습니다.

그래서 물리보안 측면에서의 필수조건들을 강화시켰습니다.

또한 논리적인 공격 역시 차단하기 위해 PIN 암호화 키를 평문으로 전송하는 것도 이번 가이드라인에 포함시켰습니다.”

또한 이번 개정판은 지불 기기의 생산법, 저장법, 운송법에 대한 것도 다루고 있다.

기사 원문보기 : http://www.boannews.com/media/view.asp?idx=51783&kind=4