휴대폰 인증번호도 `스미싱 범죄` 악용

'인증번호 전송' 사기문자 악성코드 설치 등 유도
번호받아 아이핀 발급도
범죄자들이 휴대폰 문자사기(스미싱) 등을 이용해 본인인증 서비스마저 공격하고 있어 이용자들의 각별한 주의가 요구된다.

2일 업계에 따르면 인터넷서비스 및 결제 등을 이용하기 위해 본인인증 수단으로 널리 이용되는 '휴대폰 본인확인 서비스'를 노리고 개인 이용자들에게 스미싱을 보내는 범죄가 급증하고 있는 것으로 나타났다.

지난달 28일 서울 서대문경찰서는 휴대폰 본인확인 메시지를 탈취하려고 스미싱 문자를 다량으로 유포하고, 이에 속아넘어가 스마트폰에 악성코드를 설치한 이용자들로부터 인증문자를 탈취해 가짜 아이핀을 발급받은 일당을 검거했다.

한 보안 전문가는 "스미싱은 대다수가 금전탈취를 목적으로 하고 있는데, 가짜 모바일뱅킹 앱을 설치하거나 소액결제 금액을 가로채기 위해 인증문자 등을 탈취하는 것이 전형적인 수법"이라면서 "최근 범죄수법은 스미싱으로 인증문자를 탈취한 뒤 불법적으로 입수한 개인정보와 결합해 보다 대담한 범죄를 저지르려는 형태로 교묘하게 고도화되고 있다"고 설명했다.

휴대폰 본인확인 서비스는 정부가 주민등록번호 수집 및 이용제한 조치를 대폭 강화하면서 국내 주요 인터넷 서비스와 결제 사이트에서 폭넓게 활용하고 있다. 이용자 역시 자신의 개인정보를 직접 입력하기 보다 휴대폰으로 전송된 문자메시지를 입력해 본인임을 확인 받는 것이 안전하다고 생각해 아이핀과 같은 대체 인증번호보다 오히려 널리 활용하는 추세다.

그런데 이 본인인증 서비스를 노려 인증 메시지를 탈취하는 스미싱이 기승을 부리면서 휴대폰 본인확인서비스의 안전성 마저 의심받는 상황이다.

보안 전문가는 "지난해 9월 26일부터 시행한 전자금융사기예방서비스도 휴대폰 본인인증을 강화해 인터넷뱅킹 사기 등을 막는다는 게 골자였는데, 바로 이 휴대폰 본인인증을 노린 범죄가 확산되면 자칫 대형 금융사고가 발생할 수 있다"고 경고했다.

문제는 이같은 스미싱이 급속히 확산되고 있음에도 그저 '이용자가 스스로 조심'하는 것 외에는 뾰족한 방법이 없다는 점이다.

보안전문가들은 "스마트폰에 스미싱이나 악성코드를 탐지하는 보안 프로그램을 설치하고 최신 버전으로 업데이트 하는 등 노력을 해야겠지만, 해커는 이런 보안 프로그램이 미처 감지하지 못하는 코드를 사용하거나 지인을 사칭하는 등 사회공학적인 수법으로 공격하기 때문에 사실 효과가 크지는 않다"고 지적했다.

이동통신 3사는 스미싱 방지를 위해 가입고객을 대상으로 무료 스미싱 방지 애플리케이션 등을 개발해 서비스하고 있다. 또 스미싱으로 인한 소액결제가 염려되는 고객을 위해 휴대폰 소액결제 차단 서비스도 제공한다.

그러나 이 역시 결제 차단이나 스미싱 사후 방지일 뿐 감염된 스마트폰의 문자를 탈취해 본인인증을 악용하는 범죄를 근본적으로 차단하긴 어렵다는 지적이다.

보안 전문가들은 "현재로써는 이용자가 문자메시지나 메신저, SNS의 모든 인터넷 주소(URL)를 절대 클릭하지 말고 조심하는 수밖에 없다"고 조언했다.

강은성기자 esther@