2013년 타깃 해킹, 냉난방 협력업체 계정 하나로 4천만 카드정보 털린 날

협력업체 계정 하나로 뚫린 타깃: 최악의 카드 유출 사고와 교훈

[핵심요약] 2013년 미국 유통업체 타깃이 냉난방 협력업체의 원격접속 계정 하나로 뚫려 카드정보 4천만 건, 개인정보 최대 7천만 명분이 유출된 사건이에요. 협력업체 리스크 관리가 지금도 랜섬웨어 사고의 최대 원인인 이유를 짚어봤어요.

2013년 12월, 미국 대형 유통업체 타깃(Target)이 크리스마스 쇼핑 시즌 한복판에서 사상 최악의 카드정보 유출 사고를 겪었어요. 공격자들은 타깃 본사가 아니라 냉난방(HVAC) 설비를 관리하던 협력업체 페이지오 메카니컬(Fazio Mechanical Services)의 원격접속 계정을 훔쳐 침투했어요. 

이 계정 하나로 결제 단말기(POS)까지 이어지는 내부망에 접근한 공격자들은 악성코드를 심어 신용카드 정보 약 4천만 건, 개인정보까지 포함하면 최대 7천만 명분의 데이터를 빼냈어요. 더 놀라운 건, 타깃이 도입해 둔 보안 솔루션(FireEye)이 침입을 두 차례나 자동으로 경고했는데도 아무도 그 알림을 조치하지 않았다는 점이에요.

• 2013년 미국 대형 유통업체 타깃, 냉난방 협력업체(HVAC)의 원격 접속 계정을 통해 침투당해 대규모 해킹 발생.

• 결제 단말기(POS) 악성코드를 통해 카드 정보 4천만 건, 개인정보 최대 7천만 명분 유출.

• 보안 솔루션이 두 차례나 경고했지만 보안팀의 오탐 판단 및 무시로 피해 확대.

• 제3자·협력업체 리스크 관리의 중요성을 전 세계에 각인시킨 교과서적 사례.

1. 그날 무슨 일이 있었나?

공격자들은 먼저 협력업체 직원에게 스피어피싱 메일을 보내 악성코드를 심었고, 이를 통해 로그인 정보를 훔쳤어요. 페이지오는 청구서 제출과 계약 관리를 위해 타깃의 벤더 포털에 접속 권한을 갖고 있었는데, 이 포털과 결제망 사이에 아무런 분리(세그멘테이션)가 없었어요. 

공격자는 그 틈을 타고 내부망을 가로질러 결제 단말기 서버까지 도달했고, 블랙POS(BlackPOS)라는 메모리 스크래핑 악성코드를 심어 카드 마그네틱 정보를 실시간으로 빼돌렸어요. 이 활동이 3주 가까이 이어지는 동안 FireEye가 두 번이나 악성코드 경보를 띄웠지만, 담당 보안팀은 이를 오탐으로 판단하고 넘겼어요. 결국 사고는 회사 자체 발표보다 미 재무부·시크릿서비스와 보안 전문기자의 취재로 먼저 외부에 알려졌고, 타깃은 2013년 12월 19일에야 공식 인정했어요.

2. 왜 지금도 회자되는가?

이 사건 이후 제3자·협력업체 리스크라는 개념이 보안 업계 표준 용어가 됐어요. 그 전까지는 우리 회사 시스템만 잘 지키면 된다는 인식이 강했는데, 타깃 사고는 가장 약한 협력업체가 곧 우리 회사의 약점이 될 수 있다는 걸 증명했어요. 여파로 CEO와 CIO가 모두 자리에서 물러났고, 소송과 합의금까지 합쳐 수백억 원대 비용이 발생했어요. 오늘날에도 보안 교육이나 컨퍼런스에서 협력업체 리스크의 교과서적 사례로 가장 많이 인용되는 사건이에요.

3. 우리 회사도 대비하려면?

최근에도 협력업체나 MSP 계정을 거쳐 침투하는 패턴은 여전히 가장 흔한 초기 침투 경로예요. 실제로 이 블로그에서 다룬 US뱅크 4차 협력사발 유출 사고나 MSP 관리도구 취약점을 노린 랜섬웨어 사고들도 결국 같은 유형이에요. 협력업체발 침해는 타깃 사고 이후 오히려 늘었다는 통계도 있어요.

원격 접속 계정에는 최소 권한 원칙을 적용하고, 협력업체 계정과 핵심 시스템(결제망, 생산망, 백업망) 사이에는 반드시 망 분리를 둬야 해요. 계정에 접속 가능 시간이나 기간을 제한해 두면, 협력업체 계정이 뚫려도 피해 범위를 크게 줄일 수 있어요.

이 사건이 보여주는 또 하나의 교훈은 탐지 이후의 대응 체계예요. 보안 솔루션이 경보를 띄워도 사람이 확인하고 조치하지 않으면 아무 의미가 없어요. 경보를 받았을 때 누가, 얼마 안에, 어떻게 대응할지 정해둔 프로세스가 있어야 실제 방어로 이어져요.

• 협력업체·외주업체 계정이 우리 회사 핵심 시스템(결제망, 생산망, 백업 서버 등)에 접속할 수 있는지 점검해 보셨나요?
• 협력업체 계정에도 사내 직원과 동일한 수준의 비밀번호 정책·다단계인증(MFA)이 적용되고 있나요?
• 보안 솔루션의 경보를 담당자가 정기적으로 확인하고 대응하는 프로세스가 마련돼 있나요?
• 협력업체 원격접속 계정에 접속 기간이나 시간 제한이 걸려 있나요, 아니면 상시 열려 있나요?
• 협력업체망과 내부 핵심망 사이에 물리적·논리적 분리가 돼 있나요?

Q. 협력업체가 몇 곳 안 되는 작은 회사인데도 이런 사고가 날 수 있나요?

네, 오히려 협력업체 수가 적을수록 그 계정 하나하나에 대한 관리가 허술해지기 쉬워요. 타깃 사고의 침투 경로도 냉난방 설비 하나를 관리하던 작은 협력업체였어요.

Q. 전산 인력이 1~2명뿐인 중견기업도 이런 대비가 가능한가요?

네, 큰 투자 없이도 협력업체 계정 권한을 결제망·백업망과 분리하고 접속 기간을 제한하는 것만으로도 위험을 크게 줄일 수 있어요.

Q. 보안 솔루션만 잘 갖추면 이런 사고를 막을 수 있나요?

아니요, 타깃도 당시 최신 보안 솔루션을 쓰고 있었지만 경보를 사람이 확인하지 않아 사고로 이어졌어요. 탐지와 대응 프로세스가 함께 갖춰져야 해요.

타깃 해킹은 벌써 10년도 더 지난 사건이지만, 협력업체 계정 하나가 전체 침해로 이어지는 구조는 지금도 그대로예요. 이 블로그에서 다뤘던 US뱅크 4차 협력사 유출이나 MSP 취약점을 노린 최신 랜섬웨어 사고들도 결국 같은 패턴의 반복이에요. 협력업체 리스크는 유행 지난 옛날 얘기가 아니라, 지금 이 순간에도 가장 흔한 침투 경로라는 걸 기억해야 해요.

이런 사고를 막으려면 협력업체 계정이 뚫려도 핵심 백업 데이터까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 협력업체 계정이 뚫려도 왜 백업까지는 안전한지 궁금하다면 여기서 확인해보세요.