정부·금융 기관·개인의 삼박자 노력 필요...

[보안뉴스 김경애] 인터넷뱅킹 이용자가 모바일 뱅킹 사용자를 포함해 8000만명을 돌파한 요즘, 인터넷 뱅킹 보안위협도 덩달아 증가하고 있다. 특히, 인터넷뱅킹 관련 사고가 잇따르면서 사용자들의 피해가 늘고 있다. 뿐만 아니라 그 수법이 갈수록 교묘해지고 지능화되고 있어 사용자들의 주의가 각별히 필요한 실정이다.

이와 관련 본지는 생활속 안전실천의 일환으로 ‘인터넷뱅킹 보안위협 바로알기’에 대해 소개하고자 한다.

해커가 금전을 탈취하기 위한 목적으로 대형 은행 시스템에 직접 침투하는 것은 쉬운 일이 아니다. 따라서 해커들은 조금 더 수월한 개인 PC를 노린다는 것이 전문가들의 공통된 의견이다. 여기서 개인 PC란 기업에서 직원이 사용하고 있는 PC도 포함되는 개념을 의미한다.

특히, 공격자는 모든 수단과 방법을 동원해 기업 내 개인을 포함한 사용자의 금융정보를 빼내가려고 시도한다. 이러한 시도 방법에 대해 안랩 측은 “우선 피싱메일, SNS의 URL, P2P사이트, 악성코드를 포함한 메일, 배너광고, 프로그램의 보안 취약점 등 광범위한 수단을 통해 악성코드를 감염시킨다”며 “악성코드를 침투시키면, 그 이후에는 금융정보를 탈취하기 위한 가능한 모든 시도를 실행한다”고 설명했다. 

이를테면, 키보드로 입력되는 정보를 빼내기 위해 이를 탈취하는 ‘키로거’를 설치하거나 화면캡처가 필요하면 화면캡처를 한다는 것이다. 또한, 개인이 사용하는 주거래 은행이 보안카드를 사용한다면 보안카드 정보를 빼내기 위해 자신이 만든 가짜 사이트로 유도하는 악성코드를 심기도 한다.

최근에는 해커가 개인 사용자의 PC에 침투해서, 감염된 PC로 특정 은행 사이트를 방문하는 경우도 있다. 해커는 은행 사이트 방문 시 보안을 위해 자동으로 구동되는 키보드 보안솔루션과 공인인증서 등 보안모듈의 메모리를 해킹해 개인의 금융 정보를 유출하는 것이다. 이러한 악성코드가 국내에서 발견된 바 있다. 즉, 사용자는 정상 은행사이트를 이용하는 과정에서 자기도 모르게 금융정보를 탈취 당한다는 것이다. 이렇듯 금전탈취를 목적으로 공격하는 해커들의 수법들이 갈수록 지능화되고 교묘해지고 있다.

일례로 지난 2010년, 해외 모 기업의 경우 재무 담당직원이 피싱 메일에 속아 인터넷뱅킹 접속용 OTP정보를 포함한 로그인 정보가 모두 해커에게 유출되었고, 55만달러가 해커에 의해 해외로 송금되는 결과가 발생한 바 있다. 긴 법정 공방 끝에 법원은 은행의 책임으로 판단했지만, 이는 기업과 은행이 모두 해커에게 속은 예시로 기업과 은행 모두 기업 이미지가 실추를 면할 수 없게 되었다.

이러한 사례와 관련 안랩 측은 “공격자들은 은행의 시스템을 직접 노리기보단 다양한 방법으로 개인의 PC에 악성코드를 심어 감염시키는 것을 공격의 첫 행위로 삼고 있다. 이점은 보안 사고가 개인의 잘못이라기 보단 현 보안의 트렌드”라고 밝혔다.

하지만 일각에서는 보안위협과 피해자가 실제 발생한 것과 관련해 특정 솔루션을 사용하거나, 혹은 금융권에서 사용하는 특정 프로그램을 사용하지 않는다면 은행보안 사고가 대부분 없어질 것이라는 주장이 제기된 바 있다.

이와 관련 한 보안 관계자는 “일각에서는 최근 논란이 되고 있는 Active-X 모듈에 대해 없애야 한다라는 의견이 제기된 적이 있었는데 Active-X 모듈에 대해 무조건적으로 배척하기 보단 부족한 점을 보완하고 각 금융기관의 특성에 맞게 다양한 솔루션이 도입돼야 한다”고 밝혔다.

또 다른 보안 관계자는 “잇따른 금융기관의 인터넷뱅킹 사고로 인해 일부 보안 업체들은 PC가상화라든가 서버 가상화를 사용하면 이러한 금융사고를 막을 수 을 있다라든가 또는 우리 보안 솔루션 제품만 사용하면 괜찮다라는 식의 주장은 잘못된 주장”이라고 지적했다. 

이와 관련 안랩 측은 다양한 보안 솔루션을 사용하는 여러 국가에서도 인터넷뱅킹 사고는 지속적으로 발생하고 있다고 밝혔다. 이를테면 최근 중동에서 500억원 규모의 해킹 및 현금 불법인출 사건이 있었고, 미국 안티피싱 워킹그룹과 가트너에 따르면 미국 내 2010년 인터넷 뱅킹사고 금액은 기업피해만 10억 달러(약 1천 3백억)로 추정했다는 것이다. 또한, 일본의 경우도 2007년에 1억 9천만 엔(약 22억원)을 기록한 적도 있다는 것이다.

이러한 점을 미뤄 볼 때 악성코드 제작자들은 그 정도에 굴하지 않는 다는 것이다. 따라서 정부의 금융보안을 위한 정책 제도마련과 금융기관의 철저한 보안 관리도 중요하지만 무엇보다 사용자의 노력이 절실히 요구된다. 특히, 악성코드에 감염되지 않도록 사용자 스스로가 개인의PC를 관리하고, 보안에 대한 중요성을 인식해야 한다. 

[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>