ATM 터는 FASTCash 해킹

Switch Application Server 해킹

최근 US-CERT, DHS, FBI 등 사이버 위협을 다루는 미국 기관들이 은행 서버를 해킹해 ATM에서 거액을 인출하는 작전에 대해 주의를 당부했다. 패스트캐시라고 불리는 이 작전은 2016년부터 시작됐으며 라자루스 혹은 히든코브라로 불리는 북한 해커단의 소행으로 추정됐다. 아시아와 아프리카 지역의 은행을 주로 털어왔는데, 미국도 표적으로 하고 있는지 조사 중이다.

패스트캐시의 핵심은 은행의 Switch Application Server에 대한 해킹이다. 이 서버는 ATM, POS 기기와 은행 중앙 서버를 연결해 주는 역할을 한다. 거래 요청이 들어오면 해당 계좌의 잔고 등 상태를 검증하여 거래를 수락하거나 거절한다.

해커단은 Switch Application Server에 악성코드를 심어, 그들의 출금 요청을 가로채 은행 중앙 서버에 전달되지 못하게 했다. 그리고 정상적인 것처럼 보이는 정교한 가짜 승인 응답을 ATM에 보내 출금을 허용했다. 그래서 잔고가 아주 적거나 0인 해커단의 계좌에서 거액을 인출했다. 물론 은행은 이 사실을 알지도 못한다.

이들은 이런 식으로 총 수천만 달러를 훔쳐낸 것으로 알려졌다. 2017년에는 30개 국, 2018년에는 23개 국의 ATM 기기들에서 동시에 인출하기도 했다

스피어 피싱에서 시작

Switch Application Server에 최초로 침투한 경로는 확인되지 않았다. 그러나 Spear Phishing을 이용했을 것으로 추정됐다. 스피어 피싱을 통해 은행 직원의 PC에 악성코드를 심어, 내부 네트워크 접근 권한을 탈취한다. 이를 이용해 네트워크를 이동하면서 결국 애플리케이션 교환 서버를 해킹하는 것이다. 우리 나라의 가상화폐 거래소 해킹에도 사용됐던 전형적인 수법이다.

미국 당국에서는 은행의 핵심 서버에 접근할 수 있는 직원의 계정에 2단계 인증을 의무화하도록 권고했다.


관련 자료

• 가상화폐 거래소 잇단 해킹, 스피어 피싱에 당했다

참고 자료

• Bank Servers Hacked to Trick ATMs into Spitting Out Millions in Cash