[해외보안뉴스] 수백만 달러 규모 'ATM 잭팟팅' 악성코드 'Ploutus' 개발자, 미국서 체포돼 법정 출두
· 2026-10-06 01:00
· 조회 27
· 원문 ↗
미국 사법부(DOJ)는 전 세계 현금자동입출금기(ATM)를 노려 수백만 달러를 탈취하는 데 사용된 'Ploutus' 악성코드의 주개발자로 의심되는 피의자를 체포하여 미 연방 법정에 세웠다고 발표했습니다. 체포된 피의자는 ATM 내부 시스템을 제어해 저장된 현금을 강제로 배출시키는 'ATM 잭팟팅(Jackpotting)' 공격 전용 악성 소프트웨어를 제작하고 유포한 혐의를 받고 있습니다.
Ploutus 악성코드는 지난 수년간 미국을 포함한 전 세계 금융 기관 및 ATM 운영업체에 막대한 재정적 손실을 입혔습니다. 공격자들은 ATM 기기에 물리적으로 접근하여 바이패스 장치나 외부 매체를 연결한 뒤 Ploutus를 설치했으며, 특정 명령을 통해 기기 내 현금을 순식간에 털어갔습니다. NCR, Diebold Nixdorf 등 주요 글로벌 제조사의 ATM 기기들이 대거 공격 대상에 포함되어 넓은 범위의 금융 인프라가 위험에 노출되었습니다.
이러한 물리적 및 논리적 잭팟팅 공격을 방지하기 위해 금융 기관과 ATM 관리자는 기기 자체의 물리적 보안을 대폭 강화해야 합니다. ATM 하우징 열쇠 관리 강화, 외부 연결 포트(USB, CD-ROM 등) 비활성화, 암호화된 하드디스크 사용 등이 필수적입니다. 또한, ATM 운영체제 내 미승인 Executable 실행을 차단하는 화이트리스트 기반 보안 솔루션을 적용하고 이상 동작을 실시간 모니터링하는 체계를 갖추어야 합니다.
♥ 추천 0
Ploutus 같은 ATM 잭팟팅 공격은 결국 하드웨어 제어 미들웨어(XFS)의 인증 부재와 레거시 시스템의 신뢰 아키텍처 허점을 노린 사례입니다.
임베디드/단말 개발자 관점에서는 Host PC와 현금 배출기(Dispenser) 모듈 간 통신에 강력한 상호 인증과 종단간 암호화(E2EE)를 아키텍처 단계부터 필수 적용해야 합니다.
물리적 접근이 허용될 수 있는 환경일수록 물리 포트 제어와 함께 엄격한 코드 서명(Code Signing) 및 펌웨어 무결성 검증이 최후의 방어선이 됩니다.
주요 개발자 체포는 성과지만, Ploutus가 증명한 치명적인 공격 벡터의 위협은 여전히 유효합니다.
이 악성코드는 물리적 접근을 확보한 뒤, ATM 하드웨어 제어 표준인 XFS 미들웨어를 직접 조작하여 중앙 서버의 승인 없이 현금을 강제 출금(Jackpotting)하는 고도의 악용 가능성을 보여주었습니다.
레거시 ATM의 물리적 보안 미비와 XFS 레이어 내의 상호 인증 부재라는 구조적 취약점이 근본적으로 해결되지 않는 한, 유출된 변종 코드를 활용한 유사 공격은 계속될 것입니다.
악성코드 개발자 검거는 사법 당국의 큰 성과이지만, 레거시 단말을 노리는 잭팟팅 공격의 위협 자체가 사라진 것은 아닙니다. CISO 관점에서 보안 거버넌스는 IT 네트워크를 넘어 물리적 단말 및 운영기술(OT) 영역까지 통합하여 관리되어야 합니다. 현장에 설치된 에지(Edge) 기기에 대한 제로 트러스트 기반의 접근 통제와 공급망 보안 정책을 즉시 재점검해야 합니다.