2017년까지 출하된 일부 FeliCa 칩 취약점…정보 읽기·변조 위험

일본 취약점 정보 포털 JVN이 21일 2017년까지 출하된 소니의 일부 FeliCa IC 칩에서 암호 처리 과정의 보안 강도가 낮아질 수 있는 취약점을 공개했다. CVE-2026-59776으로 식별된 이 문제를 악용하면 칩에 저장된 정보를 읽거나 변조할 수 있다.

JVN 권고에 따르면 취약점은 암호 처리 중 필요한 단계가 빠지는 'Missing Cryptographic Step' 유형으로 분류됐다. CVSS 4.0 기준 기본 점수는 7.0점, CVSS 3.0 기준으로는 6.8점이다. 네트워크를 통한 원격 공격이 아니라 카드에 물리적으로 접근해 특정 조작을 가해야 한다는 조건이 붙는다.

영향 범위는 '2017년까지 출하된 일부 FeliCa IC 칩'으로 공개됐다. 구체적인 칩 모델이나 이를 탑재한 카드·서비스 목록은 JVN과 소니의 공개 안내에 포함되지 않았다. FeliCa는 교통, 전자화폐, 사원증 등 다양한 용도의 비접촉 스마트카드와 모바일 제품에 쓰이는 기술이다.

소니는 외부 보고에서 특정 조작을 통해 일부 칩의 데이터를 읽거나 변조할 가능성을 확인했다고 밝혔다. 해당 보고는 일본 정보처리추진기구(IPA)의 정보보안 조기경보 파트너십 지침에 따라 공유됐으며, JPCERT/CC가 개발사와 취약점 공개를 조율했다.

소니의 안내는 2025년 8월 28일 처음 게시된 뒤 이번 JVN 권고에 맞춰 2026년 7월 21일 갱신됐다. 회사는 취약점 보고를 받은 뒤 관련 서비스 사업자에게 대응 지침을 제공하고, 위험 평가와 보안 강화 조치를 진행해 왔다고 설명했다.

다만 카드 칩의 취약점이 곧바로 모든 FeliCa 서비스의 침해를 뜻하는 것은 아니다. 소니는 FeliCa 서비스의 보안이 칩뿐 아니라 각 서비스의 전체 시스템으로 구성된다고 강조했다. 이용자는 관련 사업자가 제공하는 정보를 기준으로 서비스를 계속 이용해 달라는 입장도 밝혔다.

JVN은 서비스 사업자에게 자사 서비스의 영향을 평가하고 소니가 제공한 완화 지침과 기술 문서에 따라 대책을 적용하라고 권고했다. 일반 이용자에게는 카드를 도난당하거나 가까운 거리에서 스키밍되는 상황을 막을 수 있도록 적절히 관리하라고 안내했다.

이번 공개는 오래 유통된 비접촉 IC 카드가 하드웨어 교체만으로 대응하기 어려운 보안 문제를 안고 있을 수 있다는 점을 보여준다. 실제 대응 범위는 칩의 제조 시점만으로 판단하기보다 카드 발급사와 서비스 사업자의 위험 평가, 키 관리, 시스템 차원의 보완 조치를 함께 확인해야 한다.

출처: 일본 취약점 정보 포털 JVN 보안 권고 https://jvn.jp/en/jp/JVN40509781/index.html
소니 FeliCa 공식 안내 https://www.sony.co.jp/en/Products/felica/business/information/2025001.html
소니 FeliCa 기술 문서 https://www.sony.co.jp/en/Products/felica/business/tech-support/