해킹 위협받는 POS 단말기…"금융정보 다루지만 관리 사각지대"

/사진제공=게티이미지뱅크

신용·체크카드 결제에 사용되는 POS(판매시점 정보관리) 단말기가 개인정보·금융정보가 유출되는 보안 '사각지대'라는 지적이 나온다.

17일 이스트시큐리티 시큐리티대응센터(ESRC)는 서울지방경찰청 의뢰로 해킹사건 피의자의 외장하드에서 발견된 파일들을 분석한 결과, 중국 오픈소스 해킹 프로그램인 '고스트 렛(Gh0st RAT)'으로 만든 POS 단말기기 맞춤형 악성코드와 설정 파일이 발견됐다고 밝혔다.


지난해 6월 하나은행 전산망에 악성코드를 심어 해킹하려다 붙잡힌 이모씨의 외장하드에선 1.5테라바이트(TB)에 달하는 대량의 카드사 고객 개인정보가 발견됐다. 이씨는 원격제어 악성코드를 POS 단말기에 설치한 뒤 이를 이용해 카드정보 등을 유출한 것으로 추정된다.

POS 단말기는 전국 수백만개 가맹점이 사용하고 금융정보를 취급하지만 백신을 설치해서 관리하는 경우가 드물어 해킹피해에 취약하다. 국내 POS 제조사만 약 300여곳에 달하는데다 유통사도 500곳이 넘어 특정 OS(운영체제) 기반이나 기기 관리회사를 중심으로 관리하기도 쉽지 않다.

한 보안업계 관계자는 "POS 단말기는 일반 PC보다 보안 수준이 낮고 어떠한 표준도 없다"며 "지난해 11월부터 모든 결제 시스템을 IC결제 단말기로 교체해 사용하도록 의무화했지만 IC결제 단말기라고 해서 반드시 안전하다고 볼 수는 없다"고 설명했다.

/사진제공=게티이미지뱅크

POS는 밴(VAN) 대리점이 가맹점에 무상으로 설치하고 일종의 관리비 수수료를 받는 구조다. 때문에 가맹점주가 POS OS에 직접 백신프로그램이나 운영체제(OS)를 업데이트하면서 관리하는 경우가 드물다.

문종현 이스트시큐리티 이사는 "POS 단말기기마다 사용하고 있는 OS나 하드웨어 사양이 제각각"이라며 "또 PC보다 화면 모니터가 작고 항상 업장에서 결제를 대기해야 하는 특성이 있다 보니 백신을 설치해서 검사해본다는 것 자체가 어려운 환경"이라고 설명했다.

2~3년에 한번씩 대규모 보안사고가 발생하지만 관리감독 주체가 불명확하다보니 POS의 보안관리를 더욱 어렵게 만든다.

다만 이번 사건과 관련해 금융감독원과 카드사는 "실질적인 피해 접수 사례가 없다"고 해명하고 있다.
아직 카드정보 도난 경위, 도난 건수 등은 밝혀지지 않았으며, POS단말기가 정보 유출에 취약한 기존의 마그네틱방식에서 정보보안 기능이 크게 강화된 IC방식으로 교체되면서 정보유출이 지속적으로 발생하지는 않고 있다는 해명이다.

이와 관련 보안업계 관계자는 "신용·체크카드, 은행계좌번호, 주민등록번호, 휴대전화번호 등 정보만으로 해외에서 복제카드를 만들고 이를 통해 현금을 인출하는 등의 범죄행위가 충분히 가능하다"며 "POS 단말기 운영업체들이나 가맹점 모두 영세한 경우가 많아 악성코드를 통한 정보탈취 행위에는 사실상 무방비 상태나 다름 없다"고 지적했다.