가짜백신 판별 기준 등 가이드라인 현실에 맞게 명확한 정비 필요

최근 백신을 가장해 소비자를 울리는 ‘가짜 백신’ 사기가 기승을 부리고 있다. 일명 ‘스케어웨어(scareware)’로도 불리는 가짜 보안 소프트웨어는 겉으로 보기에는 정상적인 프로그램처럼 보이지만 실제로는 전혀 보안 기능을 제공하지 않으며, 때로는 악성코드의 설치를 용이하게 해 보안 수준을 오히려 약화시킨다.

일단 설치된 후에는 컴퓨터에 전혀 문제가 없더라도 끊임없이 팝업창이나 작업표시줄에 팝업 아이콘을 띄우는 등의 거짓 경고를 내보내 사용자들을 불안하게 만들어 결제를 유도한다. 심지어 가짜 보안 소프트웨어는 보안 위협 요인이 삭제된 것처럼 보여주면서 오히려 해당 컴퓨터에 추가적인 보안 위협을 심어두기도 한다.

문제는 가짜 보안 소프트웨어가 사용자에게 금전적 손실뿐만 아니라 가짜 보안 소프트웨어를 진짜라고 믿고 본인의 컴퓨터가 악성코드로부터 보호받고 있다는 잘못된 믿음을 갖게 한다는 점이다. 일부 가짜 보안 소프트웨어의 경우 합법적인 보안 전문기업의 웹사이트 방문을 차단해 사용자가 문제의 가짜 소프트웨어를 제거하지 못하도록 방해하기도 한다. 금전적 손실과 같은 1차적인 피해 외에도 등록 또는 결재 과정에서 사용자가 제공하는 개인 신상정보나 신용카드 정보가 추가적인 범죄 행위에 악용될 수 있다는 점에서 더욱 위험하다.

가짜 보안 소프트웨어가 사용자 컴퓨터에 설치되는 유형은 크게 두 가지로 나눌 수 있다. 첫째, 유해 웹사이트를 방문했을 때 사용자 모르게 자동으로 컴퓨터에 설치되는 경우와 둘째, 사용자가 해당 프로그램을 정상적인 보안 소프트웨어라고 믿고 직접 수동으로 다운로드 설치하는 경우이다.

첫 번째 경우는 악성코드를 유포하기 때문에 가짜 보안 소프트웨어를 진단해 막는 것이 쉽지만 두 번째 경우는 오진에 고의성이 있는지를 가릴 수 있는 기준이 현재로써는 명확하지 않아 가짜 백신을 가리는 데 어려움이 많다. 이 때문에 현재 제대로 검증되지 않은 기능과 성능을 가진 자격미달의 ‘허위’ 악성코드 치료 프로그램이 횡행하면서 피해를 더욱 키우고 있다.

지난 10월 국회 문화체육관광방송통신위원회 국정감사에서는 시중에 유통되는 134종의 악성코드 제거 프로그램 중 100종이 단 하나의 악성코드도 치료하지 못하는 가짜라는 충격적인 실태조사가 공개됐다.

방송통신위원회와 한국인터넷진흥원이 올 상반기 신규 악성코드 샘플 1천500개로 악성코드 제거 프로그램의 탐지 및 치료율을 검사한 결과 82개 제품이 단 하나의 악성코드도 치료하지 못한 했으며, 18개 제품은 다운로드와 서비스 자체가 불가한 것으로 나타난 것이다. 그동안 가짜 백신 단속 및 법적 규제가 얼마나 허술했는지를 단적으로 보여주는 사례가 아닐 수 없다.

가짜 백신으로 인한 피해사례가 속출하자 포털 검색사이트들은 가짜 백신을 배포하는 URL을 수시로 파악해 블랙리스트에 올리고 있으며, 사용자들도 카페나 블로그를 통해 가짜 백신 정보를 공유하는 등 대책마련에 나서고 있지만 이를 피해가기 위한 악덕업체들의 수법 또한 지능화되는 추세다.

가짜 백신에 대한 명확한 기준이나 처벌 규정, 제재 등이 모호해 관련 신고가 접수되더라도 이를 널리 알리거나 제재를 할 방안이 없다는 점도 문제로 지적된다. 현재 웜이나 바이러스, 스파이웨어 등 ‘악성프로그램’과 관련된 조항은 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제48조 2항에 명시된 악성프로그램 관련 항목부분이다.

하지만 제48조 2항에는 웹사이트를 통해 배포·판매되는 보안 프로그램들을 어떻게 인증하고 위법성을 평가할 지, 불법 프로그램이라면 어떻게 처벌할 것인지 등에 대한 명확한 기준이나 가이드라인이 명시되어 있지 않기 때문에 악덕업체들이 이러한 법망을 교묘히 벗어나 버젓이 활동하고 있는 것이다.

올 10월 시만텍이 발표한 ‘가짜 보안 소프트웨어 분석 보고서’에 따르면, 시만텍이 탐지한 250개의 가짜 보안 소프트웨어 프로그램 샘플에서 전세계적으로 무려 4천 3백만 건에 달하는 설치 시도를 보고받았을 정도로, 가짜 보안 소프트웨어가 빠르게 확산하고 있음을 보여준다.

이 같은 피해를 예방하기 위해서는 사용자들도 믿을 수 있는 업체에서 제작·배포되는 보안 프로그램을 설치해 사용하는 등의 노력이 필요하겠지만 법적 처벌기준 강화 등의 근본적인 처방없이 사용자의 주의만으로는 가짜 백신을 근절시킬 수 없다.

가짜 백신 판별 기준 및 업체의 서비스 가이드라인을 현실에 맞게 명확히 정비하는 것은 물론 좀더 적극적으로 이러한 일련의 비양심적인 가짜 백신 사기업체들이 인터넷 상에 발붙이지 못하도록 하기 위해 정부는 관련기업 및 전문가는 물론 실제 사용자들의 의견을 지혜롭게 수렴해 보다 강력한 법·제도적 장치 마련에 좀더 박차를 가할 필요가 있겠다.

[글 : 윤광택 시만텍코리아 이사 patrick_youn@symantec.com]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>