진화하는 피싱/파밍과 금융정보보호

갈수록 지능화하는 피싱 및 파밍 피해 손해만 7년간 4380억원에 달해

금융회사의 피해방지 노력과 이용자의 적극적인 신고등 자기보호 필요

피싱과 파밍 공격에 의한 전자금융 이용자의 주요 금융정보 유출 위협이 끊이지 않고 있다. 이들 공격 수법은 근래에 등장한 새로운 기술이 아님에도 불구하고, 갈수록 다양화되고 지능화됨에 따라 사전에 차단하거나 피해를 예방하기가 쉽지 않다. 실제 ’06년부터 ’13. 5월까지 경찰청에 신고·집계된 피싱사기로 인한 피해 규모는 4,380억원에 이르며, 지속적으로 증가하는 추세이다.
이에 금융회사는 새로운 보안기술 도입 및 이용자 홍보 등을 통해 피해를 막고자 노력하고 있다. 하지만 금융회사의 노력만으로는 분명 한계가 있으며, 이용자 및 관련 기관 등의 공동 노력이 뒷받침되어야 실제적으로 피해를 예방하고 줄일 수 있을 것이다. 이와 관련해 본 기고에서는 진화된 피싱, 파밍의 위협 사례를 알아보고 대응방안에 대해 이야기하고자 한다.

첫 번째는 진화된 피싱사이트에 의한 주요 금융정보의 유출 위협이다. 초창기 피싱공격은 이메일 및 게시판 글 본문 등에 접속주소를 삽입하여 이용자 접속을 유도하는 방식이 주를 이뤘으나, 최근에는 금융회사 사이트 도메인과 유사한 피싱사이트를 개설한 후, 불특정 다수에게 문자메시지를 발송해 피싱사이트로 접속을 유도하여 금융정보를 탈취하는 스미싱(Smishing) 방식이 주로 사용되고 있다.

이러한 문자메시지의 내용은 개인정보 유출 안내와 같은 최근 사회적 이슈를 포함하고 있기 때문에 이용자들이 현혹당하기 쉽고, 다수의 피해자가 발생 할 수 있다. 이와 관련해 금융회사는 고객별 고유 접속주소, 사전에 지정된 이미지나 문자 표시, 녹색 주소창 확인 등의 대응기술을 제시하고 있으며, 그 효과는 이용자들이 얼마나 해당 서비스에 대해서 인지하고 있는지와 서비스 활성화 여부에 달려 있다. 무엇보다도 피싱사이트에 대처하는 가장 효과적인 방법은 피싱사이트를 사전에 탐지·제거하는 것으로 금융회사와 관련 기관의 지속적인 대응이 필요한 부분이다.

두 번째로 고려해야 할 사항은 악성코드에 의한 파밍과 피싱의 결합된 형태의 공격이다. 악성코드에 의한 파밍 공격의 경우, 기존에는 단순히 이용자 PC의 파일을 변조하여 피싱사이트로 접속을 유도하는 방식이 주로 사용되었으나, 최근에는 특정기관을 사칭한 팝업창이 출력되어 보안승급에 따른 금융정보 입력을 유도하는 방식 등 이용자의 불안감을 이용하는 공격방법들이 발견되고 있다.

악성코드를 활용한 파밍 공격에 대응하기 위해서는 특히 이용자 스스로 피해를 예방하기 위한 노력이 중요하다. 출처가 불분명한 파일등은 다운받지 않도록 하여 악성코드 감염을 사전에 예방하고, 의심스러운 링크에 대한 접속주의와, 최신 보안 패치 및 백신 업데이트, 주기적인 PC검사 등을 통해 금융정보 유출에 대비해야 한다.
마지막으로 금융정보 유출에 의한 2차 피해 예방을 위한 전방위적인 노력이 지속적으로 이어져야 할 것이다. 금융정보의 유출은 곧바로 금전적인 사고로 이어질 수 있으므로 금융회사와 이용자 모두의 주의가 필요하다. 금융회사는 신청자에 한해 전자금융사기 예방서비스(단말 지정, 문자인증, 2채널 인증)를 제공하고 있으며, 올해 9월부터는 모든 금융이용자를 대상으로 전면 시행할 예정이다.

이는 금융정보 유출에 의한 2차 피해를 최소화 시킬 수 있도록 하고자 함이다. 진화하는 공격방법에 대응하기 위해서는 그에 상응하는 노력과 대응이 필요하며, 이는 금융회사, 관련기관, 이용자 모두의 노력을 전제로 한다. 금융정보 유출에 의한 금전적인 사고는 금융회사 및 이용자 모두가 피해자가 될 수 있다.

따라서 금융회사는 사전예방과 2차 피해를 방지하기 위한 노력을 지속적으로 기울여야 할 것이며, 이용자들 또한 피싱사이트의 적극적인 신고와 전자금융사기 예방서비스 활용 등을 통해 스스로를 보호하여야 한다. 이와 관련하여 금융보안연구원에서는 유사도메인과 피싱사이트 탐지 시스템을 통해 피싱공격을 조기에 탐지하여 금융이용자 피해 예방에 노력을 기울이고 있으며, 새로운 형태의 금융정보 탈취 관련 악성코드에 대한 분석을 지속적으로 수행 할 것이다.


관리자 기자