해커 "고객 카드정보 200만건 유포할 것"…이랜드 "유출 없다"

[아이뉴스24 최은정 기자] 최근 이랜드 그룹의 사내 시스템을 공격한 랜섬웨어 해커 조직이 자신들이 탈취한 고객 카드정보 200만건을 빌미로 이랜드에 거액의 암호화폐 협상금을 요구하고 있는 것으로 보인다.

이랜드그룹은 지난 22일 랜섬웨어 공격으로 일부 지점 카드 승인 및 상품 코드 인식 오류 등으로 오프라인 점포 23개 영업이 일시 중단되기도 했다. 현재 보안 조치와 함께 경찰에 수사를 의뢰한 상태.

해커 측이 민감한 카드정보 등을 앞세워 협상료 요구 등을 본격화 한 것. 그러나 이랜드그룹 측은 고객 정보 유출 등은 해커 측 주장이라는 입장이다.

24일 보안업계에 따르면 이랜드를 공격한 해커 측이 다크웹 상 메신저 채널을 통해 이랜드 측에 금전 지불 등을 요구한 것으로 나타났다.

이 채널은 일반적으로 공개된 다크웹 페이지가 아닌 해커 조직이 구축한 것으로 추정된다.

해커는 이랜드 측에 4천만 달러(한화 약 444억8천만원) 상당의 비트코인을 지불하지 않으면 이번 랜섬웨어 감염을 통해 확보한 고객 카드정보 200만건을 다크웹에 공개하겠다고 협박한 것으로 보인다.

보안업계 관계자는 "(대화 내용을 보면) 해커가 50% 할인가인 2천만 달러(약 222억4천만원)로 깎아주겠다는 등 협상을 시도하고 있다"고 말했다.

또 해당 정보가 유출될 경우 지불카드 보안표준(PCI-DSS) 위반 벌금을 물어야 한다는 점을 이유로 협박 수위도 높이고 있다는 게 전문가 분석이다.

PCI-DSS는 지불 카드 소유자 개인 및 거래 정보 등을 안전하게 보호하기 위한 데이터 국제 보안 표준. 비자, 마스터카드, 아메리칸 익스프레스 등 대규모 신용·직불카드사들이 위원회를 구성, 지불 카드 결제 시 모든 과정에 필요한 보안 요구사항을 규정하기 위한 목적에서 만들었다.

이 같은 PCI-DSS 위반으로 벌금이 부과된 실제 사례도 있다. 온라인 여행사 씽크W3는 지난 2014년 영국 정보보호법과 PCI-DSS 위반으로 15만 파운드(약 2억2천만원) 벌금을 부과 받았다. 앞서 씽크W3는 2012년 SQL인젝션 공격으로 100만 명이 넘는 고객 개인·신용카드 정보 유출 사고를 겪었다. 당시 임직원 주차관리 시스템이 고객 개인정보가 저장돼 있는 서버에 설치됐다는 게 문제가 됐다.

이 같은 사례를 들어 해커 측이 압박 수위를 높이고 있는데다 민감한 카드정보 등 문제로 이랜드 측이 협상에 응할 지도 관심사다.

보안업계에서는 사이버 공격자에게 금전을 지불하는 등 협상 사례를 남기는 것 자체를 우려하고 있다. 해커에게 쉽게 돈을 벌 수 있는 생태계를 만드는 것이기 때문이다. 랜섬웨어의 경우 2차 피해 등 문제로 예방이 최우선으로 꼽힌다. 한국인터넷진흥원(KISA)은 지난 9월 랜섬웨어 감염에 대비, 기업의 보안점검 권고 사항을 웹사이트에 공지하기도 했다.

현재 이번 이랜드그룹 랜섬웨어 감염은 서울지방경찰청과 한국인터넷진흥원(KISA) 등이 조사를 진행 중이다.

이랜드 측은 고객정보 유출 등은 해커 측의 악의적 주장으로 협상은 없다는 입장이다.

이랜드 관계자는 "고객정보가 유출된 게 전혀 없고 해커가 고도의 협상을 위해 악의적으로 행동하는 것으로 보인다"며 "현재 시스템 복구에 최선을 다하고 있다"고 말했다.

한편 이랜드 그룹의 서버·시스템을 감염시킨 랜섬웨어 종류는 클롭이라는 분석이 나오고 있다.