[단독] 해커는 왜 버그바운티 대신 기관 제보를 택했나…대형 PG 사고 둘러싼 의문과 팩트 체크

최근 국내 전자결제업체들을 둘러싼 해킹 논란과 관련해 데일리시큐가 8일 최초 단독 보도한 이후 추가 취재 결과, 앞서 제기됐던 국내 대형 PG(Payment Gateway·전자결제대행)사의 내부 시스템이 직접 해킹된 것은 아닌 것으로 파악됐다.

이번 사고의 핵심은 특정 가맹점에서 외부로 노출된 결제 연동 인증키(API Key)를 제3자가 확보한 뒤, 해당 키를 이용해 정상적인 API(응용 프로그램 인터페이스) 호출 방식으로 결제내역을 조회한 데 있었다.

즉 방화벽을 뚫거나 PG사 내부 서버의 취약점을 공격해 침입한 전형적인 해킹과는 성격이 다르다. 공격자가 이미 유효한 인증키를 확보했기 때문에 시스템 입장에서는 일정 부분 정상 가맹점의 요청처럼 보일 수 있었다는 점이 이번 사건에서 주목해야 할 부분이다.

해당 기업 관계자는 "가맹점 한 곳에서 인증키가 노출됐고, 해당 키를 가진 사람이 API를 호출하면서 결제정보가 조회된 것으로 파악하고 있다"며 "PG사 자체 시스템에 직접 침입한 사고와는 구분할 필요가 있다"고 설명했다.

조회된 정보는 구매자 이름과 마스킹된 카드번호, 승인번호, 결제 일시, 구매 물품과 결제금액 등 이른바 '영수증 수준'의 거래정보였던 것으로 파악됐다. 전체 규모는 수천 건 수준으로 알려졌다.

마스킹된 카드번호만으로 실제 결제를 하거나 결제를 취소하는 것은 어렵다. 카드번호 전체나 카드 비밀번호, CVC(카드 뒷면 보안코드) 등 직접적인 결제에 필요한 정보가 조회된 사고도 아닌 것으로 확인됐다.

다만 이름과 일부 카드 식별정보, 구매 장소와 상품, 결제금액, 결제 시각 등이 결합되면 특정 개인의 소비내역을 파악할 수 있다는 점에서 단순한 비민감 정보로 볼 수도 없다. 개인정보와 거래정보 보호 측면에서 별도의 보호가 필요한 정보다.

대형 PG사의 공식 입장도, 특정 가맹점 한 곳이 결제 연동 과정에서 발급받은 연동키를 외부에 노출했고, 해커가 이를 불법 이용해 정상적인 연동 경로로 해당 가맹점의 결제내역을 조회한 사안이라고 설명했다.

회사 측이 접속기록을 분석한 결과 PG사 자체 시스템에 대한 침입이나 취약점 공격 정황은 확인되지 않았으며, 다른 가맹점이나 다른 계열 서비스 이용자의 정보와도 관련이 없다는 입장이다.

회사는 사고 확인 후 해당 접근 경로를 차단하고 관련 로그를 분석했으며 금융위원회와 금융감독원에 사고 내용을 보고했다. 피해 대상에 대해서도 개별 통지를 진행하고 현재 금융감독원 검사에 협조하고 있는 것으로 전해졌다.

코엠페이먼츠 사고와는 구분해야

이번에 함께 알려진 코엠페이먼츠 사고와 이 건은 구분해 볼 필요가 있다.

코엠페이먼츠는 앞서 특정 결제 연동 시스템에 외부의 비정상 접근이 발생했다고 공식 공지했다. 결제 요청 전문 구조상 카드번호와 유효기간 등이 포함됐을 가능성이 제기되면서 금융당국과 관계기관의 조사가 진행되고 있다.

반면 이번 대형 PG 연계 사고는 현재까지 확인된 내용으로는 PG사 내부 서버를 직접 침해한 것이 아니라 가맹점에서 노출된 정상 인증키를 이용해 API를 호출한 형태다.

공격자가 상위 PG사를 직접 공격하기보다 상대적으로 보안이 취약할 수 있는 가맹점이나 결제 연동업체, 2차 PG 등을 노리고 여기서 확보한 인증정보를 상위 결제망 접근에 활용할 수 있다는 점에서 전자결제 공급망 전체의 보안 문제가 다시 부각되고 있다.

실제로 대형 PG사를 정면으로 공격하는 것은 상대적으로 어렵다. 대규모 보안인력과 관제시스템, 접근통제, 취약점 관리체계, 우수한 레드팀 등을 운영하고 있기 때문이다.

공격자 입장에서는 가맹점이나 연동업체에서 API 키나 토큰, 계정정보를 먼저 확보한 뒤 이를 이용해 정상적인 연결경로를 타고 들어가는 방식이 훨씬 효율적일 수 있다.

'정상적인 키를 가진 공격자'를 어떻게 구분할 것인가

이번 사건에서 가장 중요한 보안적 쟁점은 인증키가 유출된 이후다.

API 키 자체가 정상이라면 단순히 키의 유효성만 확인하는 보안 방식으로는 공격 요청과 정상 요청을 구분하기 어렵다.

따라서 PG사와 2차 PG, 결제 연동업체는 '올바른 인증키인가'만 확인해서는 안 되는 상황이다.

평소 해당 가맹점이 사용하는 IP 주소와 호출 위치, 시간대, API 호출량, 조회 대상, 호출 주기 등을 함께 분석해 비정상적인 패턴을 찾아내야 한다고 전문가들은 말한다.

예를 들어 평소 하루 수십 건만 조회하던 가맹점 인증키에서 갑자기 단시간에 수천 건의 과거 거래내역 조회가 발생하거나, 기존에 사용하지 않던 해외 IP에서 대량 API 요청이 들어온다면 인증키 자체가 유효하더라도 추가 인증을 요구하거나 자동 차단하는 방식이 필요하다.

API 키 유출을 전제로 한 방어체계가 필요하다는 의미다.

업계 관계자도 "인증키가 외부로 노출되지 않도록 관리하는 것이 우선이지만, 현실적으로 키가 탈취될 가능성까지 가정해야 한다"며 "유효한 키를 이용한 불법적인 대량 조회 요청을 선제적으로 가려내는 체계를 강화할 필요가 있다"고 말했다.

해커, 버그바운티가 있었는데 왜 이용하지 않았나

이번 사건을 제보한 해커의 행동 방식도 업계에서는 이례적이라는 평가다.

해당 대형 PG사는 외부 보안연구자가 취약점을 신고할 수 있도록 상시 버그바운티(Bug Bounty·취약점 신고 포상) 프로그램을 운영하고 있다. 취약점이나 보안 문제를 발견했다면 공식적인 신고창구를 통해 문제를 전달하고 기업이 이를 수정할 시간을 주는 방법이 이미 마련돼 있었다는 것이다.

그럼에도 제보자는 해당 절차를 이용하지 않고 여러 관계기관 등에 자신이 접근한 업체와 확보한 정보 등을 알린 것으로 전해졌다.

버그바운티가 존재한다는 사실만으로 모든 보안연구자가 반드시 그 경로를 이용해야 하는 것은 아니다. 공익제보나 관계기관 신고 자체도 문제가 될 수는 없다.

다만 실제 고객 거래정보를 대량으로 조회한 뒤 이를 근거로 제보했다면 취약점 확인에 필요한 최소한의 범위를 넘어섰는지 여부도 함께 살펴볼 필요가 있다.

취약점을 발견하는 것과 취약점을 이용해 실제 개인정보나 결제정보를 수천 건 조회하는 것은 별개의 문제기 때문이다.

특히 제보 과정에서 스스로를 '중국 해커'라고 특정한 점도 일반적인 보안 취약점 제보 사례와는 다소 다른 모습이다.

보통 책임 있는 취약점 공개(Responsible Disclosure) 과정에서는 제보자의 국적 자체가 취약점의 기술적 내용이나 위험성 판단에 중요한 요소가 아니다. 익명으로 제보하거나 보안연구자라는 신분 정도만 밝히는 경우도 많다.

따라서 굳이 '중국 해커'라는 점을 강조한 배경이 무엇인지는 현재로서는 확인하기 어렵다.

업계 관계자들은 버그바운티라는 공식적인 제보창구가 존재하는 상황에서 실제 데이터를 조회하고, 자신의 국적까지 강조하며 관계기관과 언론에 사고를 알린 방식을 두고 통상적인 취약점 제보와는 차이가 있다는 의견을 내놓고 있다.

다만 보안은 공격자의 의도가 선하냐 악하냐를 전제로 설계할 수 없다.

9월 11일 침해사고조사심의위원회 예정

금융당국도 이번 전자결제 관련 사고를 조사 중이다.

취재에 따르면 오는 11일 관련 침해사고를 다루는 침해사고조사심의위원회가 열릴 예정인 것으로 알려졌다.

이번 심의에서는 실제 침해 경로와 인증정보 노출 과정, 조회된 개인정보의 범위, PG사와 가맹점·연동업체의 보안조치 적정성 등이 주요 쟁점이 될 것으로 보인다.

특히 정상적인 인증키를 이용한 비정상 API 요청을 PG사가 어느 수준까지 탐지하고 차단할 책임이 있는지가 주요 쟁점이 될 전망이다.

'정상적인 키로 들어왔으니 정상 사용자다'라는 전제는 더 이상 안전하지 않다.

최근 공급망 공격(Supply Chain Attack)과 아이덴티티 기반 공격(Identity-based Attack)에서 공통적으로 나타나는 특징은 공격자가 시스템을 뚫고 들어오는 것이 아니라 탈취한 정상 계정이나 키를 이용해 정상 사용자처럼 행동하는 것이다.

관련해서 모 보안전문가는 "이번 사건 역시 향후 조사 결과를 더 지켜봐야 하지만, 전자결제망 보안의 경계는 더 이상 대형 PG사의 데이터센터 안에서 끝나지 않는다. 가맹점과 2차 PG, 연동 플랫폼, API 키 하나까지 모두 하나의 결제 공급망으로 보고 관리해야 한다"고 강조했다.