"백약이 무효"…계좌ㆍ비번 노리는 악성코드 창궐

피싱이나 파밍, 메모리해킹 등 금융계좌를 노리는 변종 악성코드가 창궐하면서 금융당국이 각종 인증절차를 강화했지만, 새로 발견된 악성코드는 이 인증방법마저 우회해 이용자들의 각별한 주의가 요구된다.

15일 한국인터넷진흥원은 "금융당국이 전자금융사기 피해를 막기 위해 100만원 이상 이체 시 추가인증(2채널 인증) 절차를 거치도록 보안을 강화했으나, 이를 우회하는 지능화된 악성코드가 발견됐다"고 경고했다.

인터넷진흥원이 지난 2013년 9월부터 7개월간 악성코드 은닉사이트 탐지 시스템을 통해 탐지된 악성코드를 분석한 결과, 최근 악성코드가 기존 PC 인터넷 뱅킹을 노리는 파밍에 스마트폰의 금융정보를 노리는 악성코드가 결합한 형태로 진화하고 있는 것으로 확인됐다.

파밍은 악성코드에 감염된 PC를 조작해 이용자가 금융회사 등의 정상적인 홈페이지 주소로 접속해도 가짜사이트로 유도, 범죄자가 개인 금융 정보 등을 몰래 빼 가는 수법이다. 여기에 최근 모바일뱅킹이 확산되면서 스마트폰에 금융정보를 저장하는 이용자가 늘면서 스마트폰에 가짜 모바일뱅킹 앱을 설치하는 형태의 악성코드까지 급증하는 상황이다.

특히 해커는 PC를 악성코드로 감염시켜 금융정보를 빼 내더라도 2채널 인증 등으로 휴대폰 문자 추가 인증이 필요하게 되자 해당 PC 사용자 스마트폰에까지 악성코드를 감염시키기 위해 QR코드로 추가 인증(2채널 인증)을 유도했고, QR코드에 저장된 인터넷주소(URL)를 스마트폰으로 불러오는 방식으로 악성 앱을 설치하도록 했다.

설치된 악성 앱은 전화번호, 문자메시지 등 정보를 탈취하고, 문자 수신 방해, 착신 전환 서비스 설정 등을 시도할 수 있는 것으로 분석됐다. 이러한 방식을 악용한다면 전자금융거래 자금 이체 시 SMS, ARS 등 추가 인증을 해커가 중간에서 가로채 금융사기에 악용할 수 있다.

박상환 인터넷진흥원 코드분석팀장은 "악성코드로 인한 피해를 예방하기 위해서는 백신, 웹 브라우저 등 응용소프트웨어의 보안을 최신 버전으로 유지하도록 관리해야 한다"면서 "QR코드 등을 통해 악성 앱이 설치되는 것을 예방하기 위해 스마트폰에서 `출처를 알 수 없는 앱 설치' 허용 옵션을 사용하지 않도록 설정을 변경해야 한다"고 조언했다. 이어 그는 "만약 모든 보안카드 번호 등 비정상적으로 많은 정보를 요구하면서 QR코드 등으로 추가적인 스마트폰 앱 설치를 권하면 일단 의심해 보아야 한다"며 주의를 당부했다.

강은성기자 esther@