CS 학생이 AI와 Flipper Zero로 1시간 만에 세탁 카드 해킹한 이야기

배경

• CTF 대회에서 Claude Code를 사용해 개인 참가자 중 최고 점수를 받고, 상품으로 Flipper Zero를 받음
• 집에 오다가 매주 쓰는 세탁 카드를 보고 "실제로도 되나?" 궁금해서 시도함
• 카드는 Mifare Classic 1K로, 북미 최대 상업 세탁 업체 CSC ServiceWorks에서 사용하는 NFC 카드
• CSC는 127,000개 아파트 건물과 1,300개 대학에서 100만 대 이상의 세탁기를 운영함

해킹 과정

• NFC 경험 제로인 CS 학생이 Flipper Zero + AI만으로 1시간 만에 카드 포맷 역분석 완료
• 카드 구조: 잔액이 "value block"(16바이트, 첫 2바이트가 센트 단위 잔액)에 저장됨
• Block 4 = 잔액, Block 8 = 백업 (둘이 일치해야 함)
• "balance certificate"(3바이트)가 마지막 충전에 대한 서명 역할을 함

• 결과: 한 번만 충전하고, 사용할 때마다 Flipper Zero로 카드를 원래 상태로 리셋하면 무한 크레딧

AI의 역할

• 데이터시트나 스펙 문서를 하나도 안 읽음
• AI가 Flipper Zero용 시리얼 통신 스크립트를 작성하고, 카드 원시 데이터를 분석해서 잔액 인코딩과 차이점을 알아냄
• 같은 주에 500만 사용자의 Chrome 확장 프로그램 페이월도 몇 분 만에 뚫음
• "보안 로직이 기기에 있으면, 유일한 보호는 이해하기 얼마나 어려운가인데, AI가 그 부분을 쉽게 만들어버림"

더 넓은 시사점

• Mifare Classic 암호는 2008년에 깨졌음 - 취약점이 17년 넘게 방치된 상태
• 예전에는 NFC 전문 지식이 필요해서 실질적 피해가 제한적이었음
• AI가 지식 장벽을 제거하면서 Flipper Zero + 호기심만 있으면 누구나 할 수 있게 됨
• NFC 카드뿐 아니라 클라이언트 사이드 보안에 의존하는 모든 시스템이 같은 문제를 안고 있음 (오프라인 결제 단말기, 로컬 라이선스 체크, 브라우저 확장 페이월 등)

• CSC는 2025년 초에 PayRange와 파트너십을 발표해서 결제 현대화를 진행 중이지만, 저자의 건물은 2026년에도 여전히 2001년 암호화의 Mifare Classic을 사용 중
• 발표 전에 CSC ServiceWorks에 취약점을 공개(responsible disclosure)했다고 함