1.5TB 412억건 정보 유출... 전 국민 금융·개인 정보 털렸다

 

정보 유출 규모 미쳤네요... 이 정도면 전 국민 주민등록번호 한 번 바꿔야 되는거 아닌가요ㅠㅠ

 

금융·개인 정보 역대 최대 규모 유출

 

현금자동입출금기(ATM)와 카드가맹점 포스단말기, 멤버십가맹점 등 불특정 다수의 전산기기가 해킹돼 사상 최대의 금융·개인 정보가 유출되는 사건이 발생했다. 이번 유출 사건은 2019년 하나은행 해킹 혐의로 지난해 6월 구속된 이모(42)씨의 추가 범행과 공범 수사 과정에서 1.5테라바이트(TB) 용량의 외장하드를 확보하면서 불거졌다. 1.5TB는 신용카드 정보 기준으로 약 412억건이 들어가는 용량이다. 기존 킬로바이트(KB) 수준과 비교하면 사상 최대 규모의 정보 유출 사건이다. 경찰과 금융권은 1.5TB 안에 전 국민의 금융 및 개인 정보가 총망라 돼 있을 것으로 추정하고 있다. 다만 저장된 데이터 중 불법 유출된 개인·정보의 양이 얼마나 되는지는 아직 파악되지 않은 것으로 전해졌다.

 

---

 

은행 보안 관련 일을 하던 이모씨의 범행 타임라인

 

1. 2012년

• 이메일로 카드정보를 빼내는 악성코드 유포, 가맹점 사업주나 종업원들이 포스단말기에서 메일을 확인하는 순간 자동으로 설치. 
• 커피숍·중소형 슈퍼·생활잡화점·음식점 등 국내 카드가맹점 수백 곳의 포스단말기에 악성코드 설치 완료. 
• 고객이 카드를 사용할 때마다 이씨가 설정해 놓은 메일로 카드 트랙 정보가 실시간으로 빠져나감

 

2. 2014년 4월 경찰에 적발돼 복역하고 2016년 초 출소했으나 당시 악성코드를 심어놓은 포스단말기에선 지금도 정보가 빠져나가고 있다. 1.5TB 내 카드 정보도 그때 심어놓은 악성코드를 통해 유출된 정보들. 

 

3. 출소한 이씨는 은행 ATM에도 악성코드 설치. 고객이 ATM을 이용할 때마다 실시간으로 카드 비밀번호, 은행계좌번호, 주민등록번호, 이름 등이 유출됐다. 

 

4. 멤버십가맹점 서버도 뚫렸다. 1.5TB 안엔 멤버십 회원번호와 주소, 휴대전화번호 등도 담겨있다. 경찰은 서버 자체가 해킹된 것으로 보고 유출 경위를 확인하고 있다.

 

5. 2019년 하나은행 해킹 혐의로 지난해 6월 구속됨 

 

2019.7.31. 서울경제TV쎈 이코노미 유튜브

[단독] '57만 카드정보' 유출 해커, "하나은행 직원과 공모" 

 

6. 추가 범행과 공범 수사 과정에서 1.5TB의 외장하드 확보. 1.5TB 분석 결과가 나오면 국내 어느 금융사의 ATM이 해킹됐는지, 계좌 유출과 피해 규모가 얼마나 되는지 파악할 수 있다.

 

---

문제점

 

1. 수사·금융 당국, 서로 '핑퐁 게임'만 되풀이하며 3개월째 소비자 피해 예방에 눈을 감고 있다.

• 경찰은 금융감독원이 수사 협조를 하지 않는다고 비판하고, 금감원은 경찰이 수사 기본도 모른 채 민감한 자료를 통째로 떠넘기려 한다고 반발 중. 
• 경찰은 지난 3월 초 금감원에 관련 데이터를 줄 테니 카드사별 분류와 소비자 피해 예방 조치를 해 달라고 요청했지만 금감원은 난색을 표했다. 경찰은 다시 3월말 금융보안원에 카드사 관계자들을 불러 놓고 협조를 구했지만 카드사들도 어렵다고 했다. 경찰 관계자는 "유출 경위와 피해 범위 등을 파악하기 위해 올해 3월 금융감독원에 데이터 분석을 의뢰했으나 금감원이 양이 너무 많은 데다 업무 범위도 아니고 금전적 피해 신고도 아직 없다며 협조가 이뤄지지 않고 있다"며 "하지만 해킹을 당한 것 자체가 피해여서 유사 사례가 발생하지 않도록 하는게 (수사 및 금융당국의) 책임이 아닌가. 범행 경위를 계속 수사하는 동시에 유사 사례 방지를 위해 금융당국의 협조를 구하는 상황"이라고 말했다.  
• 경찰의 금융 보안원 소집에 응했던 복수의 카드사는 "카드 정보 외에 다른 정보도 있고, 타사 개인 정보까지 담겨 있었다"며 이런 것까지 보는 건 문제 될 소지가 있어 협조할 수 없었다"고 해명했다. 금감원 관계자는 "압수물은 경찰이 먼저 분석을 한 뒤 데이터를 넘겨주는 게 수순이지 금감원이 수사물을 들여다보고 분석할 권한은 없다"며 "경찰 측에 소비자 피해를 최대한 빨리 줄일 수 있도록 데이터를 분석해 넘겨달라고 요청했다"고 말했다. 

 

 

2.  공범이 아직 검거되지 않았다. 

• 이씨 외에도 개인정보 유출에 가담한 공범이 더 있다고 보고 수사를 확대하고 있다.
• 이씨와 해킹을 함께한 범인들이 1.5TB 분량의 금융·개인 정보를 갖고 있다면 토스 같은 간편결제 서비스와 도난 카드정보가 흔히 사용되는 게임사이트 등에서 악용할 수 있다.
• 유출 카드 정보는 카드 트랙 정보를 뜻한다. 카드 트랙엔 카드 번호, 유효 기간, 비밀번호 암호화 값 등이 담겨 있다. 이 정보만 있으면 복제카드를 만들 수 있다. 

 

해결책(대책)

 

복수의 금융권 관계자는 "금융감독원은 아직도 포스 단말기 해킹 진원지조차 파악하지 못하고 있다"고 지적

 

※아직 공식적인 예방대책은 나오지 않은 상황입니다. 개인적으로 생각하는 해결책이니 참고만 해주세요. 

 

1. 혹시 모를 해외결제를 막기 위해 카드사별 DCC(해외원화결제) 차단서비스 이용 

2. 카드 재발급하더라도 플레이트 카드 사용 시 포스단말기나 ATM기로 또 정보 유출 가능.

현금 인출 후 카드 재발급 및 비밀번호 변경. 웬만하면 플레이트 카드보다 현금 사용 권장. 

3. '토큰' 기술을 사용하여 보안성이 높은 삼성페이 사용

:  결제 순간 마다 새로운 가상카드정보(토큰)를 생성하여 실제 카드나 사용자에 대한 정보가 포함되어 있지 않다고 합니다.

 

<참고기사> 

 

[연합뉴스] 국내서 신용카드 정보 대량 유출 정황... 경찰 수사  

https://www.yna.co.kr/view/AKR20200614060400004?input=1195m

국내서 신용카드 정보 대량 유출 정황…경찰 수사 | 연합뉴스

 

[서울신문 단독] 카드정보 412억건 규모... 휴대전화 간편결제 서비스 악용 무방비

https://news.v.daum.net/v/20200614190603978

[단독] 카드정보 412억건 규모.. 휴대전화 간편결제 서비스 악용 무방비

 

[서울신문 단독] 전 국민 금융·개인 정보 털렸다 

https://www.seoul.co.kr/news/newsView.php?id=20200615001005&wlog_tag3=naver

[단독] 전 국민 금융·개인 정보 털렸다

 

[삼성페이 최초공개] 핀테크 보안문제 해결한 '토큰' 기술은? 

https://biz.chosun.com/site/data/html_dir/2015/04/08/2015040802304.html

[삼성페이 최초공개] 핀테크 보안문제 해결한 '토큰' 기술은?