하나은행 해킹범 외장하드에 들어있던 각종 금융·개인정보는 중국산 해킹 도구(툴)를 활용해 수집된 것으로 드러났다. 업계는 해커가 포스 단말기 제조사 서버를 해킹하는 공급망 공격(supply chain attack)을 펼친 만큼 그 피해 범위는 더 커질 가능성이 높다고 우려한다. 공급망 공격은 공급망에 침투해 사용자에게 전달되는 소프트웨어(SW)나 하드웨어(HW)를 변조하는 형태의 공격을 말한다.

16일 이스트시큐리티 시큐리티대응센터(ESRC)와 관련업계에 따르면 최근 다량의 개인·금융정보를 외장하드에 보관한 하나은행 해킹 용의자인 이모씨는 중국산 해킹 툴 ‘고스트렛(GhOstRAT)’을 이용했다.

이같은 사실은 서울지방경찰청 보안수사대와 이스트시큐리티가 협력해 3월부터 금융 정보 유출 사건을 수사하면서 밝혀졌다. 이모 씨는 2019년 6월 하나은행 전산망에 악성코드를 심어 해킹하려다 경찰에 붙잡혔다. 그의 외장하드에는 다량의 카드사 고객 개인정보와 금융정보가 존재했다.

오픈소스 해킹 툴 커스터마이징…공급망 공격 툴로 진화했나

고스트렛은 중국 해커가 만든 해킹 툴로 한번 설치되면 모든 권한이 해커에게 넘어가는 원격제어 악성코드다. 주로 POS 단말기에 악성코드를 심는데 사용된다. 단말기 내 업그레이드 기능을 악성코드로 바꿔칠 수 있다. 해커는 고스트렛으로 POS 기기에 맞는 악성코드와 설정 파일을 만들어 이를 범죄에 악용한다.

문종현 이스트시큐리티 이사는 "고스트렛은 보안 업계에서 악명이 높다"며 "고스트렛 프로그램을 사용하면 원격제어뿐 아니라 키 로깅(Key logging), 화면 캡처 기능 등을 할 수 있다"고 설명했다. 그는 이어 "특히 고스트렛은 오픈소스란 점에서 해커가 추가적인 기능을 더해 맞춤형 악성코드를 만들 수도 있다"고 덧붙였다.

실제 이모 씨는 스스로 고스트렛을 커스터마이징했다. 악성코드를 유포하기 위해 포스 내부 업데이트 프로그램을 활용했다. 업데이트 모듈도 바꿔치기 했다.

문 이사는 해킹범이 포스 제조사 업데이트용 서버에 침투 후 정상 업데이트 과정에 개입해 악성코드를 뿌리는 공급망 공격을 노렸을 수 있다고 주장하는 이유다.

문 이사는 "공급망 공격으로 불특정 다수 포스 기기에 악성코드를 뿌린 후 대량의 정보를 빼냈을 수 있다"며 "이 경우 포스를 관리하는 포스 제조사 중앙 서버가 해킹됐을 수 있어 피해 규모는 더 늘어나게 된다"고 말했다. 다만 현재 시점에서는 구체적인 감염 범위와 피해 정도를 확인하기는 어렵다는 설명이다.

포스 보안 취약성 심각 "예견된 결과다"

보안 업계는 이같은 포스 기기 보안 사고는 예고 됐었다는 반응을 보인다. 2013년쯤부터 해킹사고가 잇따랐기 때문이다. 우리나라에서도 포스 관련 해킹 사고가 잇따르자 2015년 여전법(여신전문금융업법)을 개정하기도 했다.

보안 업계 한 관계자는 "금융사 컨설팅을 진행하면서 포스 기기를 연구해 보니 일반 PC보다 보안이 취약한 경우가 많았다"며 "언제 해킹을 당해도 이상하지 않다는 생각이 들 정도였다"고 말했다.

포스 해킹이 계속 잇따르는 이유는 제대로 된 업데이트가 이뤄지지 않기 때문이다. 24시간 실시간 결제를 진행하는 포스 기기는 특성상 제조사가 보안 업데이트 등을 신속하게 진행하며 보안성을 높이기 쉽지 않다.

또 다른 업계 관계자는 "보안 업데이트를 진행하려면 포스 기기를 한동안 사용하지 못하게 된다"며 "포스 기기 사용자 입장에서는 이를 장애로 느끼는 측면이 있다 보니 제조사가 업데이트를 하기가 쉽지 않다"고 설명했다.