Heartland data breach could be bigger than TJX’s
최근 이 사건은 사이버 사기꾼들이 결재 프로세서를 공격하는 추이를 암시..

By Jaikumar Vijayan January 20, 2009 (Computerworld)

하트랜드 결재시스템(Heartland Payment Systems)에 의해 오늘 공개된 데이터 유출은 1억건에 달하는 신용카드 정보 유출로, 최악의 정보 유출 사건이었던 2007년 1월 TJX(TJX Companies)의 정보 유출 사건을 갈아치울 것으로 보인다.

신용 카드 결재서비스를 제공하고 있는 뉴저지주 프린스톤 소재의 하트랜드는 작년쯤에 온라인 침입자가 자사시스템에 침투해서 네크워크 상의 카드 정보를 훔치기 위해 악성 소프트웨어를 심어놓았다고 말했다.

비자와 마스터카드사는 하트랜드의 미심쩍은 활동을 경고하여, “몇몇 포렌식 조사기관”들의 감사를 받는 동안 침해 사실이 적발되었다고 하트랜드의 사장이자 CFO인 로버트 발드윈이 진술했다. 이 침해는 광범위한 글로벌 사이버 사기로 비롯된 것 같다고 회사측은 얘기했다.

하트랜드는 카드가맹점의 정보, 카드 소유자의 사회보장번호, 또는 암호화되지 않은 개인신원확인번호(PIN), 주소 또는 전화번호는 유출되지 않았다고 주장하고 있다.

대부분의 데이터 유출 사건처럼, 하트랜드는 카드 회사가 유출사실을 언제 통보했는지, 2008년에 발생한 유출이 언제쯤인지, 얼마동안 침입자들이 발각되지 않은 상태로 있었는지 혹은 얼마나 많은 카드들이 침입에 노출되었는지를 말하지 않았다. 회사측 대변인은 그 발언에 대한 요구에 즉각적인 대답을 하지 않았다.

그러나 하트렌드가 매달 1억건 이상의 카드 거래를 처리하는 것을 감안할 때, 도용된 카드 수는 그 이상은 아니더라도 적어도 그 정도 수치일 것이라며, “역대 최대의 신용카드 유출 사건으로 보인다”라고 가트너의 애널리스트인 아비바 리탄이 말했다. TJX 사건의 경우 4,500만 명의 카드 정보가 유출된 사건이었다.

리탄은 또한 카드 뒷면의 마그네틱 선의 이른바 Track 2 데이터를 훔쳐서 핵심 정보를 낚아채어 위조 카드를 만들어 낼 우려가 있다고 말했다.

Affinion Group의 개인정보보호 서비스를 담당하는 CardCops의사장인 댄 클레멘트는 하트랜드와 같은 프로세서들의 대형 유출을 제안한 음지의 채팅방이 있다는 활동을 보고받았다고 말했다.

일반적으로 카드를 훔치면, 사기꾼들은 카드가 계속 사용가능한지를 알아보기 위해 일부 거래에 사용함으로써- 종종 자선 단체에 적은 기부금을 내는 식- 카드가 유효한 상태인지를 먼저 확인한다. 이 같은 류의 유효성 체크는 지난 몇 달 동안 거의 20% 이상 증가했으며, 대형 유출 사고를 암시하고 있다. 그러나 하트랜드 사고와 관련이 있는지는 아직 명확하지 않다라고 클레멘트는 말했다.

하트랜드 정보유출은 지난 몇 주간 두번째로 대형 결재 프로세서와 관련된 사건이다. 12월 23일, Scotland Group Royal Bank의 결재 처리를 맡고 있는 RBS WorldPay는 침입자가 시스템을 침입하여 약 150만명의 카드소유자와 관련된 개인 정보가 유출되었다고 발표했다. 유출된 정보에는 payroll card를 사용한 110만 명의 사회보장번호가 포함되어 있다고 회사측은 발표했다.

이 사건들은 사이버 사기꾼들이 점차 결재 프로세서들을 공략하기 시작했다는 것을 보여주고 있다면서, “프로세서들을 공략하는 것이 소매업체들을 공격하는 것보다 훨씬 심각한 일이다”라고 리탄은 말했다. 프로세서는 결재 처리의 핵심에 위치하여 소매업체들보다 훨씬 많은 결재 카드 데이터를 처리한다라고 말했다.

거시적으로 이 문제를 다루기 위해서는 결재 업계에서 “보다 근본적인 보안 조치” 가 취해질 필요가 있다고 덧붙였다. 이 사건들은 주요 카드사들에 의해 요구되고 있는 PCI DSS의 보안 요건들이 미흡하다는 것을 여실히 보여주고 있다고 말했다.