삼성페이 핵심기술 자회사, 중국인에 ‘해킹’ 당했다

지난 2월 삼성전자는 마그네틱 보안전송(MST) 기술을 보유하고 있던 미국 핀테크 전문업체 ‘루프페이’를 2억5000만달러(약 2900억 원)에 인수했다. 루프페이의 MST 기술을 삼성페이에서 사용하기 위한 결정이었다.

MST 기술은 별도의 결제 단말기 없이 기존 신용카드 단말기로 휴대전화 모바일 결제를 가능하게 한다. 때문에 루프페이의 MST 기술은 삼성페이의 핵심 기술로 주목 받으며 국내외의 전자결제시장 경쟁에서 호평을 이끌어내고 있다.

하지만 순항을 이어가던 삼성페이가 암초에 걸렸다. 자회사 루프페이가 올 3월 이전에 해킹을 당했던 사실이 드러난 것이다. 뉴욕타임즈는 삼성과 루프페이 임원과 사건을 조사 중인 이들을 인용해 이같이 보도했다.

뉴욕타임즈에 따르면 ‘코도소 그룹’이나 ‘선쇼크 그룹’으로 불리는 해커들이 미국 매사추세츠주의 루프페이 컴퓨터 네트워크에 올 3월이나 그 이전에 침입한 사실이 드러났다. 이 해커들은 루프페이의 핵심기술인 MST 기술을 빼내려 했던 것으로 보인다.

루프페이 최고경영자이자 삼성페이 공동 총지배인(co-general manager)인 윌 그레일린은 “해커들이 루프페이 회사 네트워크에 침입했지만 결제관리 시스템을 건드리지는 못한 것으로 보인다”고 밝혔다. 그는 이어 “보안 전문가들이 루프페이 시스템을 살펴보고 있는데 삼성의 시스템이나 고객 정보에 접근한 흔적은 발견하지 못했다”고 설명했다.

문제는 루프페이가 해킹당한 사실을 올 8월 말에야 알게 됐다는 점이다. 이는 별도 조사에서 코도소 그룹의 해킹을 추적하던 기관이 루프페이의 데이터를 발견해 통보해준 덕이다.

복수의 루프페이 및 삼성 임원들은 “감염된 장비를 제거했고, 고객결제정보와 개인기기들은 해킹에 영향을 받지 않았다”며 “이같은 해킹 사실 때문에 삼성페이 출시를 늦출 필요가 없었다”고 말했다고 뉴욕타임즈는 보도했다. 삼성페이 서비스는 한국에서 8월20일에, 미국에서는 9월28일에 시작됐다.

삼성의 최고정보보호 책임자 달린 세드리스는 성명을 통해 “(루프페이의 해킹이)삼성페이에는 영향이 없었고, 개인결제정보에는 어떠한 위험도 없었다”고 밝혔다. 그는 이어 “해킹됐던 루프페이 네트워크는 물리적으로 분리돼 있었고, 루프페이는 문제를 즉각 해결했고, 삼성페이와 아무 관련이 없었다”고 덧붙였다.

하지만 뉴욕타임즈는 해킹사건 조사에 대해 들은 2명과 코도소 해커를 추적하고 있는 보안전문가들을 인용해 “8월에 해커들이 발견된 후 그들이 무엇을 했고, 무엇을 하지 못했는지를 단언하기에는 이르다”고 보도했다. 그들이 발견되기 전까지 적어도 5개월 이상을 루프페이 네트워크 내부에 있었고, 그들이 해킹 대상 시스템에 숨겨진 통로를 만들어 두는 수법을 사용하는 만큼 최초 침입 이후 지속적으로 해커들이 침입했었을 것이라는 분석이다.

과거 사례를 보면 지난 2011년 미국 상공회의소 연맹이 중국 해커들에게 해킹을 당한 후, 네트워크 시스템에서 이들을 제거했다고 오판했다가 망신을 당하기도 했다. 몇 달 후 해커들이 여전히 중국으로 정보를 보내고 있다는 사실이 드러났기 때문이다.

아울러 뉴욕타임즈는 해킹 사건 추척 비영리기구 포니먼의 자료를 인용해 해커들의 공격을 완전히 해결하는데 걸리는 시간은 평균 46일이고, 루프페이에서 일어난 중국식 해킹 사건의 경우 그보다 오래 걸리기도 한다고 밝혔다. 삼성은 루프페이가 해킹됐다는 사실을 발견하고 38일이 지난 후 미국에서 삼성페이를 출시했다.