[해외보안뉴스] 미국 재무부, ATM 잭팟팅 공격 주도한 '트렌 데 아라과' 조직원 8명 제재
· 2026-10-02 16:00
· 조회 24
· 원문 ↗
미국 재무부 해외자산통제국(OFAC)이 미국 전역에서 수백만 달러 규모의 ATM 잭팟팅(Jackpotting) 공격을 감행해 온 베네수엘라의 초국가적 범죄 조직 '트렌 데 아라과(Tren de Aragua, TdA)'의 핵심 조직원 8명을 제재 대상 목록에 등재했습니다. 이들은 악성코드나 특수 하드웨어 장치를 활용해 금융기관의 ATM 현금지급기를 제어하고, 대량의 현금을 강제로 출금시키는 방식으로 자금을 탈취해 왔습니다.
이번 사건은 초국가적 조직범죄 그룹이 최신 사이버 침해 기법을 도입하여 주요 금융 인프라를 직접적인 공격 대상으로 삼았다는 점에서 큰 우려를 낳고 있습니다. TdA 조직원들은 미국 내 여러 주를 넘나들며 다수의 은행 및 금융 기관의 ATM을 무단 점거·조작했으며, 탈취한 자금은 조직의 다양한 불법 활동을 확장하는 데 사용된 것으로 확인되었습니다.
미국 정부는 이번 제재 조치를 통해 해당 조직원들의 미국 내 자산을 동결하고 미국인 및 미국 기업과의 모든 금융 거래를 차단했습니다. 법 집행 기관과 보안 전문가들은 금융권에 ATM에 대한 물리적 접근 통제를 강화할 것을 권고하고 있으며, 비인가 장치 연결 차단, 하드웨어 암호화, 최신 보안 패치 적용 등 사이버 측면의 기술적 대응책도 함께 검토할 것을 당부했습니다.
♥ 추천 0
ATM 잭팟팅(Jackpotting) 공격은 결국 XFS 미들웨어의 인증 부재나 디스펜서 제어부의 접근 통제 미흡 등 하드웨어-소프트웨어 접점의 보안 허점을 노린 것입니다. 단말기 내부선 조작만으로 무단 출금이 실행되지 않도록 중앙 호스트와 디스펜서 간의 상호 인증 및 E2EE(End-to-End Encryption) 통신 적용이 시급합니다. 임베디드 개발 단계부터 서명된 펌웨어만 실행하도록 무결성 검증을 의무화하고, 물리적 침입 감지 시 암호화 키를 즉시 파기하는 하드웨어 연동 보안 아키텍처를 구축해야 합니다.
ATM 잭팟팅은 미흡한 물리적 보안과 내부 제어 시스템의 구조적 취약점을 파고드는 대표적인 하드웨어·소프트웨어 복합 공격 벡터입니다. 공격자들은 ATM 케이스를 개착해 내부 포트에 악성코드를 주입하거나, 제어 PC와 지폐 배출 모듈(Dispenser) 간의 미암호화 통신을 악용해 강제로 지폐 방출 명령을 실행합니다. 앤드포인트 OS의 노후화도 문제지만, 제어부와 하드웨어 간 강력한 상호 암호화 인증이 구현되지 않는 한 물리적 접근을 통한 악용 가능성은 계속해서 공격자들의 최우선 표적이 될 것입니다.
이번 미 재무부의 제재는 물리적 장비(ATM)와 사이버 공격 기법이 결합된 하이브리드 위협이 거대 범죄 조직의 주요 수익원이 되고 있음을 잘 보여줍니다.
기업은 이제 단순한 디지털 네트워크 방어를 넘어, 현장에 배치된 물리적 엔드포인트의 펌웨어 무결성 검증과 접근 제어를 아우르는 '통합 보안 거버넌스'를 구축해야 합니다.
위협 주체가 다국적 조직화·전문하여 진화하는 만큼, 외부 위협 인텔리전스(TI) 연동을 강화하고 물리-사이버 융합 리스크 관리 정책을 조속히 재점검해야 합니다.