홈디포 침해로 5,600만 장의 결제 카드가 유출되다 — 해커들은 협력업체의 자격 증명을 이용했다

2014년 9월, 홈디포는 해커들이 자사의 판매 시점(POS) 시스템에서 약 5,600만 장의 결제 카드 번호를 훔쳤다고 공개했다. 2014년 4월부터 9월까지 이어진 이 침해 사건은 2013년 타깃 침해 사건을 능가하는 당시 최대 규모의 소매업 데이터 침해였다.

해커들은 제3자 협력업체에서 훔친 자격 증명을 이용해 접근 권한을 얻은 뒤 홈디포의 셀프 계산대 시스템에 악성코드를 설치했다. 이 악성코드는 고객이 카드를 긁을 때 카드 데이터를 수집했다. 홈디포의 보안팀은 비정상적인 활동을 탐지했지만 몇 달 동안 침해 사건을 확인하지 못했다.

홈디포는 합의금, 법적 비용, 보안 업그레이드에 2억 달러 이상을 지출했다. 이 사건은 타깃 침해 사건과 동일한 공급망 취약점을 보여주었다. 즉 제3자 협력업체의 자격 증명이 치명적인 침해 사건의 진입점이 된 것이다. 이 사건은 소매업계가 EMV 칩 카드 기술 도입을 앞당기는 계기가 되었다.

해커들은 협력업체에서 훔친 자격 증명을 이용해 셀프 계산대 시스템에 악성코드를 설치하여 5,600만 장의 카드를 훔쳤고, 2억 달러 이상의 비용을 초래했다.

해커들은 제3자 협력업체에서 훔친 자격 증명을 이용해 홈디포의 시스템에 접근했다.

셀프 계산대 시스템에 악성코드가 설치되어 카드 데이터를 수집했다.

5개월에 걸쳐 5,600만 장의 결제 카드 번호가 유출되었다.

홈디포는 2억 달러 이상의 비용을 지출했다.

네트워크의 보안 수준은 가장 보안이 취약한 협력업체의 수준과 같다. 홈디포의 해커들은 타깃의 경우와 마찬가지로 협력업체의 자격 증명을 통해 침입했다. 협력업체 접근 권한 관리는 보안상 필수 과제다.

홈디포는 2억 달러 이상을 지출하고 보안 체계를 전면 개편했다. 이 사건은 미국 소매업계의 EMV 칩 카드 도입을 앞당겼다. 또한 소매업의 공급망 취약점 사례로서 타깃과 함께 거론된다.