우리나라 피싱사이트 세계 3번째…“은행·게임·인터넷 쇼핑몰 위험”

올해 초 국민은행과 농협 인터넷 뱅킹 이용자 5000명의 공인인증서가 유출되는 사고가 발생한 후 안티바이러스를 포함한 PC보안 제품들이 경쟁적으로 자신의 제품에 ‘안티피싱’ 기능을 추가하기 시작했다.

‘피싱(Phishing)’이란 개인정보(Private Data) 와 낚시(Fishing)의 합성어로, 가짜 웹 사이트나 이메일을 이용해 사용자의 개인정보나 금융정보를 탈취하는 것을 말한다. 이미 외국에서는 몇 년 전부터 크게 문제가 됐지만, 우리나라는 공인인증서 사용 일반화로 피싱에 대한 피해가 비교적 적을 것으로 생각됐다.

그러나 우리나라도 더 이상 피싱 안전지대가 아니다. 피싱이 날이 갈수록 지능화 돼 사용자의 도메인을 빼앗거나 도메인 네임 시스템(DNS) 또는 프락시 서버 주소를 변조하는 파밍(Pharming) 사이트까지 나오고 있다.

파밍은 URL 주소나 웹페이지 모두 기존의 사이트와 같기 때문에 전문적인 소스분석을 통하지 않으면 알 수 없다.

피싱과 파밍을 막기 위해 PC보안 제품을 생산하는 업체들이 경쟁적으로 안티피싱 기능을 탑재하고 있지만, 그것으로 충분하지 않다는 지적이 많다. 기본적으로 PC보안 제품에 탑재되는 안티피싱은 블랙리스트 방식으로 유해사이트 차단과 다를 바 없기 때문이다.

안티피싱 솔루션인 ‘노피싱(No Phishing)’을 생산·개발하고 있는 소프트런의 황태현 대표는 “피싱사이트의 특징은 하루나 이틀, 혹은 몇 시간 동안만 나타나 이용자에게 피해를 입히고 사라진다. 블랙리스트 방식으로는 피싱사이트를 완벽하게 차단하지 못한다”고 주장했다.

피싱사이트를 보다 확실하게 막기 위해서는 블랙리스트에 오른 URL을 철저하게 차단하는 것 외에도 URL을 분석해 기존 사이트와 유사한 방식으로 생성된 URL을 차단하고 웹페이지 소스코드를 분석해 개인정보 유출 등 이용자에게 피해를 입힐 가능성이 있는 것을 찾아내야 한다.

IP 분석으로 서버의 물리적 위치정보를 제공해 해외서버 중 오랫동안 갱신이 되지 않았거나 최근 며칠 새 새로 만들어진 사이트라면 의심해 봐야 한다. 키워드를 통한 필터링, 게시판이나 이메일 내용을 분석하고, 은닉프레임을 찾아내는 등 웹 사이트의 활동 전체를 모니터링해야 한다.

우리나라에서 피싱피해가 대대적으로 공개된 것은 올해 초 국민은행·농협 인터넷 뱅킹 사건 때문이지만, 우리나라는 전 세계에서 피싱사이트가 3번째로 많은 국가로 피싱 안전지대가 결코 아니다.

국제피싱대응협의체인 안티피싱 워킹그룹(APWG : Anti-Phishing Working Group)의 조사에 따르면 우리나라의 피싱사이트는 전 세계 피싱사이트의 14.88%를 차지하고 있다.

특히 문제가 되는 것은 피싱이나 파밍에 의한 피해가 금융권에만 해당하지 않는다는 것이다. 호텔, 자동차 렌탈, 항공, 온라인 게임까지 피싱은 폭 넓은 곳에서 이뤄지고 있다.

황태현 대표는 “가치가 있는 아이템을 주고받는 사이트라면 피싱·파밍에 의한 피해를 언제든지 입을 수 있다”며 “특히 게임 사이트나 인터넷 쇼핑몰, 경매 사이트 등에 취약점이 많이 나타난다”고 지적했다.

현재 금융권 중에서 안티피싱 서비스를 제공하고 있는 곳은 신한은행이다. 소프트런이 신한은행 인터넷 뱅킹에 노피싱을 구축해 지난 4월부터 서비스 하고 있다.

국민·농협·하나·기업·외환·한국 씨티은행 등도 안티피싱 서비스 제공을 위해 여러 업체와 만나며 다각도로 서비스 도입을 검토하고 있는 것으로 나타나고 있다.

그러나 피싱에 의한 피해위험이 급속도로 높아지고 있어 은행이 안티피싱 서비스를 실시하기만 기다리고 있을 수는 없다. 이용자 스스로도 피싱사이트에 ‘낚이지’ 않기 위해 최소한의 노력은 해야 한다.

피싱은 이메일이나 웹 사이트 주소를 위장해 이용자를 깜빡 속아 넘어가게 하므로 이용자의 주의가 특히 필요하다.

특정 금융기관으로부터 “현재 시스템 개편이 진행 중입니다. 고객님의 계좌를 유지하기 위해 개인정보 업데이트가 필요합니다. 아래 버튼을 클릭하셔서 아이디와 패스워드를 입력해 주시기 바랍니다”라는 이메일을 받는다면 이것은 피싱일 가능성이 높다.

“긴급보안통지 메일의 요청을 무시할 경우 귀사의 계좌가 잠정적으로 정지될 수 있다”, “업그레이드 된 인터넷 뱅킹 기능 사용을 위해 링크된 홈페이지로 즉시 접속하라” 등의 메시지는 일단 의심하고 봐야 한다. 경품에 현혹돼 함부로 개인정보를 입력하는 일도 위험한 일이다.

강은성 안철수연구소 상무는 “피싱이나 파밍의 피해를 예방하기 위해서는 우선 금융기관으로부터 개인정보나 계좌정보 등의 업데이트를 요구하는 이메일을 받으면 클릭하지 말고 해당 금융기관 사이트에서 직접 확인해야 한다”며 “날마다 새롭게 등장하고 있는 신종 공격으로 일반 사용자는 더 위험하고 더 많은 공격에 노출되고 있으므로 인터넷을 사용하는 개인도 보안에 각별한 주의를 기울여야 한다”고 강조했다.

[김선애 기자(boan1@boannews.co.kr)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>