자기 띠 기반 기기와 카드, 해커에겐 또 다른 키보드

보안 업체, 삼성 POS 기기로 해킹 성공... 삼성 공식 입장 없어
대부분 설정 및 설계 오류, 조금만 바꿔도 위험 크게 줄일 수 있어

[보안뉴스 문가용] 자기 띠 리더들은 정말 ‘아낌없이 주는 나무’다. 안 좋은 의미에서 말이다.

최근 보안 전문업체 라피드7(Rapid7)은 자기 띠 기술이 도입된 POS 시스템이나

호텔 열쇠들을 브루트포스 기법으로 공격하는 법을 선보였다.

라피드7의 웨스턴 베커(Weston Becker)는 “윈도우에 기반을 둔 자기 띠 유형의 POS 시스템에

OS 명령들을 주입시키는 게 가능하다”고 설명하며 “자기 띠 리더들은 범용 기기로 설정이 되는 게 일반적인데,

그렇기 때문에 명령어를 주입하는 것에 성공하면 창도 열고, 레지스터도 열고, 멀웨어도

다운로드 받고 설치도 할 수 있게 된다”며 그 위험성을 먼저 밝혔다.

이처럼 전자기장으로 프로그래밍이 가능한 기기의 경우 해커에겐 수많은 옵션이 주어진다.

위 설명처럼 레지스터를 수시로 열고 닫는 것은 물론, 컴퓨터 창을 열고

아무 프로그램이나 다운로드 받아 설치까지 할 수 있기 때문이다.

“어떻게 해서든 캐시어나 현금 담당자의 시선을 잠깐만 다른 곳으로 끌면 됩니다.

아주 빠르게 공격을 성공시킬 수 있거든요.”

결국 키보드를 하나 더 갖게 되는 것이나 다름없다. “노출된 USB 포트를 겨냥한 러버더키(rubber ducky)

공격을 알고 있다면, 이런 식으로 ‘가상의 키보드’나 다름없는 결과물을 만들어

공격하는 것이 얼마나 위험한지 이해할 수 있을 겁니다.”

이에 해당하는 건 단지 자기 띠 카드리더기만이 아니다. 호텔 열쇠, 주유카드 리더, 특수한 경우의

엘리베이터 카드 리더기 모두 같은 위험에 노출되어 있다.

기사 원문보기 : http://www.boannews.com/media/view.asp?idx=51424&kind=4