이미 오래전부터 집 앞 편의점, 동네 카페, 음식점 등 어디를 가나 계산대 앞에서 지갑 대신 스마트폰을 꺼내는 일이 자연스러운 일이 되었다. 모바일 결제 시스템이 보급된 덕분이다. 그런데, 최근 해외 사이버 보안 연구팀이 애플페이 사용자가 주의해야 할 심각한 보안 문제를 발견했다.
사이버 보안 전문 매체 블리핑 닷컴은 영국 버밍엄대학교와 서레이대학교 사이버 보안 전문가로 구성된 합동 연구팀이 잠금 설정이 된 아이폰으로도 애플페이 결제를 완료할 수 있다는 사실을 발표했다.
연구팀이 발견한 결제 문제는 아이폰이 해킹된 상태에서 애플페이에 등록된 비자 카드를 이용해, 특정 조건에서 모바일 결제를 완료한다. 보통 애플페이로 결제를 완료하려면 페이스아이디나 터치아이디, 패스코드를 입력해야 한다. 그러나 연구팀은 대중교통 운임 결제 등 애플페이를 이용할 때, 기기 잠금을 해제하지 않아도 애플페이 결제가 될 보안 문제가 존재한다고 지적했다.
문제 원인은 기기 잠금 해제를 하지 않아도 결제 과정을 처리할 수 있는 기능인 익스프레스 트랜짓(Express Transit)과 관련이 있는 것으로 관측됐다.
익스프레스 트랜짓은 티켓 매표소 등 특정 서비스에서 비표준 바이트 시퀀스를 전송하는 카드 리더기에서 잠금 설정을 우회한 채로 결제를 처리한다.
그러나 연구팀은 해커가 "익스프레스 트랜짓과 애플페이에 연동된 비자카드를 악용하면서 잠금 설정이 된 아이폰에서 사용자의 승인 없이 비자 카드 결제를 처리할 수 있다. 또, 결제 금액을 떠나 자동으로 불법 결제를 할 수 있다"라고 설명했다.
연구팀은 실험 과정에서 아이폰과 통신하는 카드 리더기 역할을 하는 프록시마크(Proxmark) 장치와 NFC 칩을 장착한 안드로이드 기기를 이용해 잠금 설정을 우회한 결제를 모방했다.
연구팀은 실제 해킹이 실험보다 훨씬 더 복잡하다고 전했다. 온라인 거래에 오프라인 데이터 인증이 가능하도록 일부 비트를 수정해, 특정 플래그를 설정해야 해킹이 이루어진다.
또, 연구팀은 잠금 설정을 우회한 애플페이 자동 결제 실험으로 비자 카드 결제만 처리할 수 있었다고 밝혔다. 애플페이로 마스터카드 결제를 처리하려 했을 때는 잠금 설정된 아이폰 기기가 중계 가맹점 코드가 있는 카드 리더기 결제만 수락하는지 확인하므로 잠금 설정을 우회한 결제가 불가능했다.
연구팀은 삼성페이로 기기 잠금을 우회한 결제도 시도한 뒤, 기기 잠금 상태에서 삼성페이는 모든 카드의 결제를 처리할 수 있다는 사실을 발견했다. 그러나 잠금 설정된 상태에서 삼성페이는 항상 결제 금액을 0으로 처리하는 것으로 확인됐다.
[저작권자ⓒ CWN(CHANGE WITH NEWS). 무단전재-재배포 금지]
