3·20 사이버테러 악몽 되살아나나? 국내 ATM 해킹 ‘파장’

금보원과 경찰청 등 19일 악성코드 이용한 ATM 공격 확인
ATM, 윈도우 기반 인터넷에 연결됐다면...PC와 다를 바 없어 어떤 공격도 가능

[보안뉴스 원병철 기자] 3월 20일은 지난 2013년 북한이 언론사와 금융사를 공격했던 ‘3·20 사이버테러’가 벌어졌던 날이다. 그리고 4년이 지난 오늘, 북한의 소행으로 추정되는 공격이 우리나라 ATM 기기를 노리고 감행됐다.

금융보안원과 경찰청에 따르면, 19일 국내 한 기업에서 관리하는 ATM 기기에 악성코드를 이용한 공격이 진행됐고, 은행계좌 및 카드정보 등 개인신용정보가 유출된 것이 확인됐다. 이에 경찰청은 즉각 수사에 들어갔고, 금융보안원과 금융감독원이 수사에 협조하고 있는 상황이다.

한 보안전문가는 이번 ATM기기 공격에 사용됐던 악성코드가 지난해 벌어진 ‘이니텍’의 코드서명(Code Signing)이 탑재된 전자인증서를 탈취·위조해 10개 국내 기관 19개 컴퓨터(PC)에 유포됐던 악성코드와 유사하다는 의견을 제시했다. 이 때문에 상당수 보안전문가들은 이번 사건을 북한의 공격으로 추정하고 있다.

또한, 보안전문기업 NSHC의 Red Alert 팀은 ATM 타깃 악성코드는 2007년부터 시작되었다고 강조했다. 대부분의 ATM이 윈도우 운영체제를 사용하고 있는데, 주로 이용하고 있던 윈도우XP 서비스가 2013년에 중단됨에 따라 ATM 악성코드가 지속적으로 발견, 증가하고 있다고 설명했다.

보안전문가들 사이에서는 ATM이 운영체제로 윈도우를 사용하고 있고, 인터넷이 연결되어 있다면 기존 PC 공격기법과 비슷한 방법으로도 충분히 공격이 가능하다는 설명이다. 윈도우와 인터넷이라는 조건 하에선 ATM이 PC와 다를 게 없기 때문이다. 이에 보안전문가들은 2년 전 물리적 카드복제 사건을 예로 들며, 이미 예견된 사건이라고 말한다.

현재 사건이 수사중인 관계로 공격방법에 대해 아직 정확히 밝혀진 바는 없지만, 현재까지 밝혀진 것은 공격 당한 ATM이 윈도우를 사용하고 있으며, 인터넷에 연결되어 있다는 점이다.

일각에서는 북한 해커조직이 정상 프로그램 업데이트의 파일 변조나 보안 솔루션의 취약점 및 파일 배포 기능을 주로 악용해온 만큼 이번 ATM 타깃 공격도 같은 방식일 것으로 추정되고 있다.

무엇보다 보안전문가들은 ATM 침투과정에 대한 정확한 조사와 분석이 시급하며, 이를 바탕으로 대응방안을 마련해 전국에 산재해 있는 ATM에 적용해야 한다고 입을 모으고 있다.

한편, Red Alert 팀은 지난 3월 16일 Deepweb과 러시아에 기반을 둔 Black Market에서 대량의 국내 신용카드 매물이 업데이트 된 것으로 확인됐다고 밝혔다. 신용카드 정보는 4,035 여개로, 특히 관련 정보는 신용카드의 세부 정보뿐만 아니라 피해자의 개인정보도 포함되어 있다며 우려를 표명했다.

이번 ATM 공격 사건은 현재 경찰청 사이버안전국에서 수사 중이다.
[원병철 기자(boanone@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)