마이크로소프트나 맥아피 등 전 세계적으로 널리 쓰이는 유명 보안 소프트웨어(SW)가 인터넷뱅킹 사이버 공격에는 기대 이하의 성능을 보인 것으로 나타났다. 인터넷뱅킹 관련 금융 개인정보를 탈취해 돈을 훔쳐내는 전자금융사기가 갈수록 기승을 부리고 있다는 점에서, 해당 기능의 보완이 요구되고 있다.
12일 업계에 따르면 독립보안성능평가기관 MRG에피타스는 인터넷뱅킹 및 웹 브라우저의 보안 성능평가를 시행한 보고서를 최근 공개했다. 이 보고서는 인터넷뱅킹 이용자를 노린 사이버 공격이 전 세계적으로 급증하면서 보안 SW가 해당 공격을 얼마나 잘 막아내는지 관련 공격에 특화해 평가한 내용을 담고 있다.
평가는 △금융 기밀정보를 훔쳐내 이를 공격자에게 전송하는 API 후킹 공격(API Hooking attacks)에 얼마나 효과적으로 대응하는지 △은행 정보를 탈취하거나 온라인 결제 서비스의 정보 교환 프로세스를 방해하는 악성코드에 얼마나 잘 대응하는지 △최신 봇넷 대응 능력은 어떤지 총 3단계에 걸쳐 진행됐다.
먼저 MRG는 브라우저에 악성코드를 주입해 금융정보를 탈취하는 API 후킹 모의 공격을 4번에 걸쳐 시행했는데, 마이크로소프트 시큐리티에센셜4.6은 4번의 공격을 모두 막아내지 못했다. 맥아피 인터넷시큐리티2014도 네 번 모두 방어하지 못했으며 시만텍 노턴 인터넷시큐리티2015도 마찬가지였다.
사이버 공격에 광범위하게 사용되는 406개의 악성코드를 탐지하는 평가에서도 100% 차단율을 자랑한 보안SW가 있는가 하면 마이크로소프트 시큐리티에센셜은 93% 차단율에 그쳐 최하위를 차지했다. 맥아피 인터넷시큐리티가 96.6%로 낮은 차단율을 보였다.
업계 관계자는 "보안 SW는 단 하나의 악성코드를 막지 못해도 전체가 다 뚫리는 특성이 있다"면서 "99%를 막아도 1%의 구멍이 보안 위협이 되기 때문에 사실 100%냐 아니냐의 싸움"이라고 설명했다.
또 다른 업계 관계자는 "온라인 결제 서비스는 서비스와 고객 간의 정보 교환을 방해해 고객 계좌 정보에 접근할 수 있다는 맹점이 있어 사이버 범죄자들의 표적으로 떠오르고 있다"며 "보안SW라면 금융 사이버 위협으로부터의 사용자 보호를 최우선 목표로 삼고 인터넷 뱅킹을 보호할 수 있는 최신 기술을 반드시 갖춰야 한다"고 강조했다. 강은성기자 esther@dt.co.kr
API 후킹공격 방어 평가 결과. 4번에 걸친 모의 공격 평가결과 마이크로소프트, 맥아피 등이 단 한번도 방어에 성공하기 못했다. 출처 MRG에피타스.
