ATM 보안, 공격은 이제 그만

영국의 ATM 산업은 어떤 식으로 ATM 범죄에 대처하는가?

전 세계의 많은 국가들처럼 영국 또한 지난 수년간 ATM 설치 수가 상당히 증가했다. 2001년 36,750대에서 2007년 63,950대로 증가했고 이는 42%의 증가율이다. 이와 함께 영국에서는 ATM 범죄도 함께 증가했다. 그러나 ATM 범죄를 감소시킬 수 있는 방법은 분명히 존재한다.

ATM(자동 입출금기)기는 영국에서 많은 영국인들의 금융 관련 생활방식을 변화시켰다. 모든 현금 출금 중에서 3분의 2는 현재 자동 입출금기를 사용하여 인출되고 있다. 영국 전역에는 수 만대의 ATM이 설치되어 있다. 이러한 현금 인출 비율은 향후 5년 동안 80%까지 더 증가할 것으로 전망된다. 예를 들자면 이로 인해 우체국 지사들이 문을 닫는 일이 속출할 것이다.

놀라운 것은 금융기관 지사 ATM 기기 수는 2001년 19,067대이고 2007년 19,076대로 실제적으로 거의 변함없다는 것이다. 그러나 원거리의 금융기간 ATM 기기는 동일한 기간 동안 11,800대에서 15,550대까지 상당히 증가했다.

실제적인 거래는 영국에서 IAD나 미국의 ISO와 같은 독자적인 ATM 설치 업체들에 의해 이루어졌다. 특히 ISO는 2001년 5,900대에서 2007년 29,300대로 84개월 동안 거의 다섯 배의 ATM 기기를 설치하여 영국에서의 시장점유율을 높였다. 이것은 ATM 산업체에게는 대단한 뉴스이다. 이로 인해 편리성과 발전이 이루어지며 소비가 촉진되고, 일반인들에게는 보다 편리하게 현금을 인출할 수 있는 기회가 제공되었다.

그러나 ATM을 소유하는 업체, 공급과 서비스를 수행하는 사람들, 그리고 ATM을 사용하는 일반 대중이 보다 안전하게 기기를 사용할 수 있도록 책임을 제대로 수행하는 것이 필요하다.

보안 측면

불과 수 년 전만 하더라도 놀라운 것은 IAD 부문은 ATM 설치에 있어서 기본적인 보안 측면에 대한 이해가 거의 없었다. 자체적인 혹은 ‘독립형’ 기계는 기계 자체의 보안에 대한 고려 없이 어느 지역이든 설치되었고, 현금 공급과 서비스를 담당하는 사람들에 대해서만 보안 개념이 적용되었다.

게다가 일부 IAD 업체들은 주간용 ATM 기기를 야간에도 사용하였고 이로 인해 범죄자들은 어떤 모델(용도에 맞지 않게 사용되고 있는)이 신속하고 손쉽게 침범 가능한지 곧 알게 되어 많은 범죄들을 일으켰다. 또한 IAD 업체들은 각자 개별적으로 운영되고 있었는데, 이는 시장 점유율을 보호하기 위한 일환이었다. 하지만 그들은 사람들과 재산을 보호하는 데 사용할 수 있는 예방 조치에 대한 경험과 지식, 보안 데이터의 공유를 통해 얻을 수 있는 엄청난 이득을 인식하지 못했다.

파트너십

IAD와 원거리 금융 기관 ATM의 시장 점유율이 상승할수록 업계는 ATM 관련 범죄의 급증을 경험해야 했다. 2002년 213건이던 것이 2005년에는 773건으로 범죄율이 증가했다. 이는 현금, 재산상의 손실, 그리고 인명사고의 위험까지 그만큼 증가했음을 의미한다.

이러한 상황을 개선하기 위하여 수많은 기관들이 파트너십을 형성하여 ATM 범죄의 급증에 대한 해결책을 찾기 위해 필요한 모든 데이터, 방법, 그리고 예방 조치들을 함께 수집하기 시작했다. 파트너십에 관련된 주요 기관들에는 ATM 보안 작업 그룹, 영국 은행연합, 건축조합협회, 영국지불교환협회, 영국보안산업협회, LiNK 인터체인지 & ATM 산업 협회 등이 있었다.

공동 범죄예방 데이터베이스

이들의 첫 번째 업무 중 하나는 문제의 규모와 지역, 방법론을 파악·분석하기 위해 공동의 범죄 예방 데이터베이스를 구축하는 것이었다. 기술적으로는 어려운 업무가 아니지만 각각의 ATM 설치 업체들의 민감한 데이터에 공동으로 접근하게 하는 일은 하나의 도전과제였다. 그럼에도 불구하고 공동의 통합 데이터베이스는 완성되었고 현재는 특정한 지역의 ATM 설치에 대한 조언을 제공하는 제1의 기준으로 사용되고 있다. 그리고 이 통합 데이터베이스는 ATM 관련 범죄를 조사할 때 영국 경찰에서도 광범위하게 사용되고 있다.

업계 보안 지침(가이드라인)

다음 단계는 ATM의 설치, 현금 공급, 서비스 과정에 관련된 모든 사항에 대한 참고자료로 사용될 수 있는 업계 보안 지침을 개발하는 것이었다. 이미 ‘벽에 설치된’ ATM에 대한 지침은 있었지만 ‘독립형’이나 원거리 기기 혹은 ‘변환된 전화기’ 형식의 기계에 대한 지침은 없었다. 이러한 보안 지침들이 작성·발표되어 이러한 유형의 설치를 위한 보안 요건의 기초를 형성하고 있다.

경찰의 활용

또 하나의 중요한 작업은 영국 경찰을 활용하는 것이었다. 특히 ATM에 의해 역효과가 큰 지역에서는 그러했다. 영국 내에는 52개의 경찰서가 있고 철도, 군 시설, 왕립 공원과 같은 특정한 책임을 완수해야 하는 기타 수많은 곳이 있었다.

이 그룹은 공적인 활동을 목표로 하는 모든 곳에 단체로 서신을 보냈다. 예방, 보안 정보 실행, 신속한 추적 정보 서비스 제공, 범죄 관련 데이터베이스에 대한 접근권, 그리고 가장 중요한 보상과 전문장비 관련 금전적 지원이 중요했다. 이러한 접근은 ATM을 목표로 하는 전문적인 갱단에 대비한 경찰감시라는 성공적인 결과로 이어졌고 무수한 범죄자들의 체포와 확인으로 이어지면서 업계로부터의 지원을 통해 성공적인 결과가 이어졌다.

범죄 유형

다양한 범죄에 대처하기 위해 각 ATM 설치 업체들은 현재 다양한 예방적 조치들을 이용하여 범죄를 예방하고 있다. 광범위하게 말하자면 범죄의 방법은 세 가지의 주요한 분야로 분류 가능하다. 즉, ATM의 완벽한 제거(ATM 기계를 떼어서 달아남), 현금 인출기에 대한 파괴 그리고 ATM 기계 전문가에 의해 수행되는 전문적인 공격 등이 그것이다.

기계의 완벽한 제거

첫 번째 방법은 트럭이나 자동차를 도난한 후, 모든 방법을 동원해 분리한 ATM기를 훔친 자동차에 싣고 도주하여 안전을 확보하고 ATM기를 해체하는 수법이다. 이것은 대체적으로 보험 업계와 지역 사회에 특별한 우려를 불러일으킨다. 왜냐하면 기본적인 생활필수품인 자동차를 도난하면 거의 몇 주 동안 비즈니스를 하지 못하게 하는 엄청난 손실에 대해 범죄자들은 전혀 관심이 없기 때문이다.

기계에 대한 직접적인 파괴

두 번째 방법은 ATM이 있는 장소에 강제적으로 침입하여 다양한 기구들을 가지고 기계를 마구 공격, 파손하는 것이다. 이러한 공격은 편의점, 바, 레저 시설 같은 보안이 비교적 허술한 ATM을 목표로 한다.

전문적인 공격

마지막으로 세 번째는 ATM에서 사용되는 보안 잠금장치 메커니즘을 잘 알고 있는 직업적 전문가가 범죄자가 되어 범죄를 수행하는 경우이다. 이러한 공격은 많은 경우 드릴이나 산소 아세틸렌 용접기가 동원된다. 그리고 금고 안의 현금을 확보하는 데 3분도 채 걸리지 않는 것으로 알려져 있다.

예방 조치

위에서 설명한 세 가지 공격 방법에 대처하기 위해 다양한 예방적 조치들이 개발되어 사용되었다. 여기에는 개선된 고정 장치 시스템, 금고 사양 업그레이드, 세라믹 드릴이나 산소 아세틸렌에 내구성이 있는 부품·변류기 도입, 개별적인 잠금장치 장비 등이 포함된다.

노력이 효과를 발휘할까?

그렇다면 이러한 예방조치들이 효과를 발휘할까? 물론이다! 지난 20년 동안 ATM 업계는 꾸준한 범죄율 감소를 경험했다. 2006년도에는 2005년도에 비해 범죄율이 11%나 감소했고 손실은 13.5%로 감소했다. 2007년도에는 범죄가 더 감소하여 2006년도에 비해 범죄율 16%, 손실은 17% 감소했다.

ATM 업계는 범죄에 어떤 식으로 대처하는가

2007년 12월 영국에서 ATM 업계는 ATM 범죄의 주요한 두 가지 요소인 부정행위와 물리적 공격에 어떤 식으로 대처할 것인지 노력을 기울여왔다. 그들은 파트너십을 저해하는 모든 장벽들을 제거하기 위한 노력의 일환으로 ‘ATM 범죄예방 그룹’을 결성하고 향후 부정행위 문제를 처리하고 LiNK 인터체인지를 통해 이를 보고하도록 했다. ATM 범죄예방 그룹은 ATM 산업협회의 지원을 받고 있으며, ATM의 물리적인 범죄와 관련된 모든 문제만을 처리한다. 그리고 업계의 금융 기관 부문에 대한 회원제를 개설했다.

이러한 전략적인 재배치와 보고 구조의 단순화를 통해 ATM 보안에 관련된 모든 사람들은 최근의 공격 자료에 대한 신속한 정보를 접할 수 있게 되었고, 보안절차와 예방 조처들은 더 이상 단독으로 기능하는 것이 아니라 서로 연계하에 작동하게 되었다.

<글 : Alan Townsend, ATM Security Working Group>

[월간 시큐리티월드 통권 제153호(info@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)