미국 유통기업 '삭스'가 해킹으로 500만명의 신용카드 정보를 유출했다.
뉴욕타임즈는 보안기업을 인용해 삭스 핍스 애비뉴 백화점과 보석상 로드&테일러(Lord&Taylor) 고객 신용카드와 직불카드번호가 유출됐다고 보도했다. 해커는 매장에 비치된 현금등록시스템에 들어있는 소프트웨어(SW)를 이용해 지난달까지 정보를 빼돌렸다.
두 유통 체인을 운영 중인 허드슨 베이는 1일(현지시간) 정보 유출사고가 발생했다고 밝혔다.
허드슨 베이는 “정보 유출 사고를 인지한 후 고객에게 신속히 공지했다”고 발표했다. 허드슨 베이는 침해사고 조사가 진행 중이며 전자상거래 사이트는 영향을 받지 않았다고 덧붙였다. 이 회사는 얼마나 많은 고객과 상점이 피해를 입었는지는 언급을 피했다.
미국에서 신용카드 정보 유출사고는 끊이지 않는다. 2013년 유통점 '타깃(Target)'이 해킹돼 4000만건의 카드 번호가 도용됐다. 2014년에는 홈디포(Home Depot) 카드 정보 56만건이 유출됐다. 지난해 신용정보 회사 에퀴픽스가 해킹돼 1억4550만명의 민감한 재무 정보가 노출됐다.
침해사고를 발견한 보안 회사 제니미 어드바이저리는 공격자가 러시아어를 쓰는 'Fin7'이나 '조커스태시(JokerStash)로 추정했다. 해커는 지난달 28일 500만명 카드 정보를 확보했다고 온라인에 게시했다. 이들은 훔친 정보 중 12만5000명 정보를 판매용으로 내놨다.
유출된 정보는 2017년 5월부터 올해 3월까지 뉴욕과 뉴저지 일대 삭스 핍스 에비뉴 백화점과 로드&테일러 매장에서 사용된 신용카드였다. 보안 기업은 공격자가 어떻게 악성코드를 결제시스템에 감염시켰는지 확실치 않다고 밝혔다. 허드슨 베이 직원에 피싱 이메일을 보내 악성코드가 감염됐을 것으로 추정한다.
김인순 보안 전문기자 insoon@etnews.com