철벽보안도 보안 불감증에는 무용지물

"인터넷뱅킹 해킹은 지능화, 이용자는 보안에 무관심"


하나은행 고객의 은행 계좌가 해킹당하는 사건이 발생한 것으로 확인됨에 따라 이용자의 경각심이 필요하다는 목소리가 커지고 있다.

보안업계에서는 뜻밖에 간단한 보안수칙을 지키지 못함으로써 공들인 보안체계가 무너지는 경우가 많다고 지적했다. 가장 철저한 보안체계를 구축했다는 금융거래 절차가 허무하게 뚫려 버린 이번 사건에서 드러나듯 결국 보안체계에는 한계가 있을 수밖에 없으며, 사용자의 보안의 식 제고가 무엇보다 시급하다는 것.

◇사건 경위는 = 11일 서울 강남경찰서에 따르면 지난달 5일 오후 3시40분께 하나은행 인터넷뱅킹을 통해 고객 S(여. 38)씨의 예금 2천100만 원이 무단인출되는 사건이 발생했다.

경찰 조사 결과 S씨는 중국에 등록된 불량 IP(인터넷주소)에서 1월4일 밤 자신의 은행계좌에 접속했다는 경고를 다음날 오전 국민은행 측으로부터 받고 공인인증서를 재발급 받은 지 3시간여 만에 피해를 봤다.

경찰은 범인이 S씨의 컴퓨터를 해킹해 공인인증서를 손에 넣고서 사용자가 입력하는 키 입력값을 실시간으로 관찰해 인터넷뱅킹 암호를 알아낸 것으로 보고 있다.

경찰은 S씨가 공인인증서를 재발급 받은 뒤 이전의 인증서로 로그인을 시도한 기록이 없다며 이는 해커가 S씨의 일거수일투족을 지켜보고 있었다는 의미로 해석된 다고 밝혔다.

업계에서는 일반적으로 `난공불락`으로 여겨지던 공인인증서와 보안카드라는 이 중 방어 시스템이 무너진 데 대해 오히려 충분히 가능한 일이라는 반응이다.

업계의 한 전문가는 "공인인증서를 해킹하는 것은 이용자 PC와 인증서 관리 서버 2곳의 잠금장치를 뚫어야 하는 탓에 굉장히 어려운 작업"이라면서도 "해커 입장에서 굳이 어려운 해킹을 하는 대신 이용자 PC에 침투하는 방법을 쓰는 것은 전혀 어렵지 않으며 이번에도 이 같은 방법을 쓴 것으로 보인다"고 말했다.

◇보안태세 비웃는 해커들 = 경찰 조사 결과에서 나타나듯 해커는 이용자 PC에서 파일 등을 빼낼 수 있는 악성코드와 함께 키 입력값을 빼내는 키로거 프로그램, 이용자 PC 화면을 그대로 볼 수 있는 프로그램 등을 사전에 심어놓은 것으로 추정된 다.

이들 프로그램을 쓰면 해커는 자신의 PC로 공인인증서를 빼돌리고 이용자의 키 입력값을 관찰해 비밀번호를 알아낼 수 있다. 은행이 제공하는 보안카드 숫자 역시 지속적으로 이용자 PC 화면을 관찰하면서 키 입력값을 분석하면 수차례 시도만으로 알아내는 데 문제가 없다.

실제로 이번 사건에서 해커가 보안카드 숫자를 알아내려고 수 차례 시도를 하는 과정에서 하나은행이 중국 IP의 접속을 알아냈을 가능성이 크다고 보안업계는 분석했다. 추정대로라면 해커는 단 한 차례의 입력 오류 끝에 보안카드 숫자를 알아냈고다음날 바로 현금을 찾아가는 데 성공한 셈이다.

이 같은 악성 프로그램은 보안업체의 백신프로그램에도 잡히지 않는 경우가 상당하다. 널리 알려진 악성 프로그램은 보안업체에서도 패턴을 분석해 백신 제품에 반영하지만, 상당수의 해커들은 주문제작 식으로 기존의 악성 프로그램을 변형시킨 프로그램을 새로 개발해 쓰는 경우가 많다.

이 같은 프로그램들은 주로 중국에서 제작돼 낱개 또는 묶음으로 판매되고 있지만 실제로 발견되는 사례는 거의 없어 백신 제품에 반영되지 않는 경우가 흔하다.

해커들은 사들이거나 직접 제작한 이들 프로그램을 이메일에 삽입하고 특정인 대상 또는 무작위로 배포한다. 이용자들이 호기심에 이들 이메일을 열고 링크된 사이트를 클릭하거나 첨부파일을 내려받는 순간 자신의 PC는 해커의 `놀이터`가 되고 마는 것이다.

◇보안태세 무관심한 이용자들 = 이처럼 해커가 이용자 PC를 제 집 드나들듯 침투할 수 있지만, 이용자들은 여전히 상황의 심각성을 모르는 경우가 태반이다.

상당수 이용자는 어느 곳에서나 바로 금융거래를 하려고 공인인증서를 자신의 이메일에 첨부하는 경우가 많지만, 이는 자신의 계좌를 고스란히 해커에게 내주는 꼴이다.

최근의 수차례의 개인정보 유출사건으로 자신의 이메일 계정정보가 해커의 손에들어갔을 가능성이 큰 형편에서 이메일에 담긴 공인인증서는 해커의 먹잇감이 되기에 그만이다. 이메일 비밀번호와 공인인증서 비밀번호가 같은 경우도 많아 해커 입장에서 계좌를 손에 넣는 것은 `식은 죽 먹기`가 되는 것이다. 마찬가지로 공인인증서 비밀번호 등을 자신의 이메일에 보관하는 것 역시 위험하다.

이메일을 통해 공인인증서를 휴대했다면 PC방 등 공용 공간에서 금융거래를 했을 가능성도 크다는 의미로, 이미 자신의 민감한 계좌정보가 해커의 손에 들어갔을 확률도 높다.

비밀번호 생성과 관리가 허술하기 짝이 없는 경우도 여전히 많다.

대다수 주요 인터넷 서비스 업체가 각종 캠페인 등을 통해 비밀번호를 변경하도 록 유도하고 있지만, 여전히 상당수 이용자는 `asdf`, `qwert`, `1111`이나 자신의 전화번호, 주민등록번호 등에서 따온 단순한 비밀번호를 그대로 쓰고 있는 형편이다.

또 일부 이용자는 은행들이 금융거래 시 작동하도록 한 온라인보안프로그램을 PC 작동이 느려진다는 이유로 꺼버리기도 하는 등 어이없는 이용 패턴을 보이는 경우도 많다고 보안업계는 지적했다.

보낸 이를 신뢰할 수 없는 이메일을 무심코 열어서 확인하거나, 믿을 수 없는 사이트와 이벤트에 자신의 개인정보를 제공하는 때도 개인정보 유출 사고의 상당 비중을 차지하고 있다.

◇피해 예방하려면 = 보안업계는 이용자의 보안의식 확립을 다시 한번 당부했다.

지구 상에 100% 완벽한 보안시스템은 존재할 수 없는 만큼, 이용자 스스로 보안의식을 높이고 평소 보안수칙을 준수하는 것의 중요성은 아무리 강조해도 지나치지 않다는 것.

마치 교통법규와 안전장치들이 교통사고를 100% 막아주지 못하기 때문에 이용자들이 스스로 방어운전을 하는 것이 중요한 것과 마찬가지라는 논리다.

보안업체의 역할은 이용자 수준의 보안조치로는 감당할 수 없는 기술적 영역의 도움을 제공하는 것이며, 이용자는 자신의 개인정보와 재산을 지키려면 이를 적극적으로 활용해야 한다고 업계는 설명했다.

이미 자신의 개인정보가 유출되거나 PC에 이상이 의심되는 경우라면 추후에라도 보안업체를 상대로 조언과 상담을 구할 필요가 있다.

주요 보안업체들은 백신프로그램을 통해 이용자 PC에서 시스템 정보를 수집하고 의심스러운 경우 파일을 검사해 악성 프로그램 여부를 진단해주는 서비스를 운영하고 있다.

안철수연구소는 `안 리포트` 서비스를 통해 신종 악성코드에 대응하고 있으며, `V3 365 클리닉`을 통해 PC 원격 검진 서비스를 제공하고 있다.

각종 비밀번호의 주기적 변경 역시 필수적이다. 보안업계에서는 적어도 3개월에 한 번씩 비밀번호를 교체해줘야 하며, 이를 위해 자신만의 비밀번호 생성법을 만들거나 여러 종류의 비밀번호를 사이트별로 나눠 쓸 것을 권했다.

보안업계의 한 전문가는 "기본적인 보안수칙을 준수하는 것만으로도 전체 보안사고의 대부분은 예방할 수 있다"며 "보안수칙을 지키지 않는 채 PC를 쓰는 것은 어린아이 손에 성냥을 쥐여주는 것이나 마찬가지"라고 말했다.

[저작권자 ⓒ연합뉴스 무단 전재-재배포 금지]