[전문가 기고] 한국쓰리콤 이수현 사장

최근 인터넷 포털 사이트에 대출 광고를 게재하고 은행 직원을 사칭, 거래 실적이 필요하다며 돈을 입금하도록 한 뒤 비밀번호 등 개인 정보를 불법으로 취득해 예금을 인출하는 신종 전자금융 사기가 발생했다. 금융감독원에 따르면 지난 9월 한달 간 이러한 신종 전자금융 사기로 총 5건, 1억6986만원의 피해가 발생됐다고 한다.

이렇게 피싱은 금융기관, 카드사 등의 명의로 불특정 다수의 일반인에게 은행이나 카드사 사이트의 로고 등을 포함한 이메일을 보낸 뒤 이를 클릭하면 해커가 작성한 가짜 웹사이트로 연결시켜 고객의 계좌번호, 신용카드번호 등을 빼내는 금융사기로 그 피해와 심각성이 날로 커지고 있다. 또한 기술적인 면에서도 수법이 점점 다양화되고 교묘해지고 있다.

피싱 수법이 진화하는 동안 피싱에 대한 대책은 주로 신원이 불명확한 첨부 파일은 열지 말고 금융기관으로부터 개인정보, 계좌정보 등의 업데이트를 요구하는 e메일을 받으면 클릭하는 대신 해당 금융기관 사이트에 가서 직접 확인하라는 등 단순히 사용자에게 주의를 촉구하거나, PC에 방화벽을 설치하여 해커 침입을 탐지하는 등 주로 개인적인 차원에서 대처하는 차원에 머물렀다.
그러나 교묘하고 다양화된 수법의 피싱을 단순히 개인적 차원에서 주의하는 것으로 예방하는 데는 한계가 있다. 피싱을 근본적으로 해결하기 위해서는 사칭 대상이 되는 금융기관이 발벗고 나서서 자사 사이트의 헛점을 보완하고 고객들에게 발송되는 피싱 메일을 방어할 수 있는 피싱 방지 시스템을 도입하는 등의 보다 능동적인 대처가 필요하다.

이는 비단 고객의 이익을 위해서라는 명목을 내세우지 않더라도 각 금융기관의 생존을 위한 필수 사항이다.

피싱이 발생할 경우 금융기관이 입는 피해는 생각보다 훨씬 크다. 피싱 피해 사례가 많은 미국의 경우, 대부분의 경우 피싱 사기의 사칭 대상이 된 금융기관들이 고객의 피해액을 보상해주고 있다. 뿐만 아니라 금융기관의 생명인 신뢰성이 훼손되면 이를 복구하는 금액은 상상을 초월한다.

피싱으로 인한 금융 기관의 피해는 경제적인 부분에 그치지 않는다.

미국의 한 보안 업체 조사에 따르면 미국 내 소비자들의 40%가 온라인 개인정보 범죄로부터 더 안전한 은행이나 신용카드 회사로 바꿀 의사가 있다고 대답했다.
또한 약 90%의 응답자가 금융기관은 피싱 등 금융 범죄들로부터 고객들의 정보를 보호할 권리가 있다고 답했으며 약 50%는 현재 이용하고 있는 업체들이 개인정보를 제대로 보호하지 못한다고 생각하는 것으로 나타났다. 이 같은 조사 결과는 고객의 정보를 안전하게 보호하는 것이 금융기관의 사업 성패를 결정지을 수도 있다는 것을 여실히 보여준다.

위와 같이 금융기관들은 피싱 방지 제품들을 도입해야 하는 필요에 직면해 있다. 현재 피싱 메일을 차단용 제품들이 시장에 많이 출시되고 있다.

그러나 이들 제품 중에는 사용자 단에서 대량으로 유포되는 메일을 피싱 메일로 간주하여 차단하는 기능을 갖춘 경우가 많다. 그러나 이러한 경우는 사실 피싱 자체를 원격 차단하는 데는 한계가 있다. 그렇다면 과연 기업 차원에서 피싱 방지 시스템을 도입하기 위해 고려해야 할 점들은 무엇일까?

첫째, 웹사이트의 취약점을 점검해 개선함으로써 피셔(피싱 행위를 하는 사람들)들이 금융기관의 웹사이트 헛점이나 서버상의 시스템 오류를 이용해 피싱 사이트를 위장하는 것을 사전에 차단할 수 있도록 해야 한다.
둘째 네트워크 상에서 대량의 피싱 메일들을 사전에 차단하는 기능도 갖추고 있어야 한다. 애초에 피싱 메일이 사용자에게 전송되지 않도록 네트워크 상에서 필터링 작업을 해준다면 피싱으로 인한 피해를 대폭 줄일 수 있기 때문이다.

셋째, 설령 고객이 피싱 메일을 받았다 하더라도 메일의 위험성을 알림으로써 고객들이 피싱 사이트에 접속하는 것을 막도록 해야 한다.

넷째, 위험성 경고에도 불구하고 고객이 피싱 메일에 적혀있는 링크를 클릭했을 경우 링크된 유해 사이트 자체를 차단함으로써 고객 정보가 노출되는 것을 완벽히 막을 수 있어야 한다.

그 밖에도 이메일의 제목과 콘텐츠 분석을 통해서 피싱 메일의 특징을 분석해 내는 것도 피싱 방지 솔루션의 필수적인 기능이다. 이렇게 피싱 메일을 분석한다면 축적된 데이터를 통해 경제적으로 피싱을 방어하고 추후 피싱의 피해를 막을 수 있다. 정보보호진흥원의 보고서에 따르면 올 상반기 국내 피싱 사기는 468건으로 작년 같은 기간의 36건에 비해 무려 13배나 늘어났다고 한다.

상황에서 각 금융기관들은 피싱이 단순히 개인적인 차원에서 해결할 수 있는 문제가 아니며 가장 큰 피해자가 금융기관 자신들이 될 수 있음을 인식해야 한다.

이 같은 피해를 막기 위해서 각 금융기관은 다양한 방법을 통해 피싱을 철저히 방어할 수 있는 피싱 방지 솔루션을 도입하는 데 투자를 아끼지 말아야 할 것이다.



관리자 기자