은행 웹주소 정확히 입력해도, 가짜사이트로…예방법은?

복합적 공격에 대응도 다방면으로…최신 버전 업데이트 기본, 공인인증서는 외부 저장

/사진제공=경찰청

해킹으로 금융 정보를 수집해 수억원을 빼돌린 일당이 경찰에 덜미를 잡혔다. 이들 수법은 최근 전자금융사기의 특징인 '복합성'을 보여준다. 보안 전문가들은 갈수록 사이버 범죄가 여러 기술을 한꺼번에 사용해 목표물을 노리는 방식으로 진화하고 있다고 말한다. 치밀해진 범죄 수법에 사용자들도 다방면 보안 수칙을 지켜야 피해를 막을 수 있게 됐다.

경찰청은 악성코드 유포 등을 통해 금융 정보를 빼돌려 2억원 상당을 가로챈 중국 범죄단을 붙잡았다고 25일 밝혔다. 이들은 여러 차례 피해자에게 접근해 필요한 정보를 순차적으로 빼돌리고, 이를 조합해 돈을 빼돌린 것으로 조사됐다.

범죄 첫 단계에 활용된 것은 개인 PC의 보안 취약점을 노린 악성코드 유포다. 여러 웹사이트를 해킹해 악성코드를 심어 둔 후 해당 사이트에 접속한 사용자를 공격하게 되는데 이때 보안이 취약한 사용자들만 악성코드에 감염되게 된다.

이런 피해를 막기 위해서는 운영체제(OS)부터 모든 프로그램을 최신 버전으로 업데이트하는 것이 기본이다. 백신 프로그램을 항상 최신 버전으로 유지하는 것은 물론이고 OS, 웹브라우저, 자바(JAVA), 플래시 플레이어(SWF) 등도 수시로 업데이트해야 한다. 이번 사건처럼 사이버 범죄자(해커)들이 이런 프로그램의 새로운 취약점을 이용해 악성코드를 제작하기 때문이다.

마이크로소프트(MS) OS인 윈도의 경우 '시작' 메뉴에서 제어판으로 들어가 '원도우 업데이트'를 클릭하면 바로 최신 버전으로 업데이트 할 수 있다. 각종 웹브라우저, 자바, 플래시 플레이어도 해당 업데이트 사이트를 통해 무료로 최신 버전을 다운로드 받을 수 있다.

이번 사건에서 유포된 악성코드는 PC에 저장된 공인인증서 정보를 빼돌리는 데 사용됐다. 공인인증서는 추후 돈을 빼돌리는데 결정적 역할을 했다. 이를 막기 위해서는 공인인증서를 안전하게 사용하는 것이 중요하다.

우선 USB(이동식저장장치), 보안토큰, 스마트폰 유심(USIM)칩 등 PC 하드디스크 보다 안전한 저장 방식을 선택하는 것을 권장한다. 비밀번호는 특수문자, 숫자 등을 포함해 설정하고 두 달에 한번은 바꿔주는 것이 좋다.


빼돌린 공인인증서로 돈을 빼내기 위해 검거된 일당이 나머지 금융정보를 얻은 수법도 유의해서 봐야 한다. 이들은 포털사이트 접속 시 피싱용 팝업창을 띄우거나 인터넷뱅킹 접속 시 실제 시중은행과 구분이 어려운 파밍 사이트로 유도해 사용자들에게 보안카드번호 등 정보를 요구했다. 이 과정에 공격 성공률을 보다 높일 수 있는 'DNS(도메인네임서버)변조 방식'을 택한 것도 특징이다.

이를 예방하기 위해서 사용자는 인터넷 뱅킹 등 전자금융거래 시 주소창을 통해 파밍사이트가 아닌지 여러 차례 확인하는 것이 중요하다. 공인된 웹사이트의 경우 주소창이 노란색으로 표시되고, 자물쇠 모양이 뜬다.

보안전문가들은 전자금융사기를 피하기 위해서 일회성 비밀번호 생성기(OTP)를 사용하고, 공인인증서, 보안카드, 비밀번호는 PC나 이메일에 저장하지 말 것을 권한다. 경찰청은 피해 발생 시에는 즉시 거래 은행이나 금융기관 콜센터로 피해 사실을 알리고, 공인인증서와 보안카드는 즉시 폐기할 것을 당부하고 있다.