[보안포럼]안철수硏, "금융보안엔 王道가 없다"

조직화된 해커, 지능화된 해킹 트렌드 설명.."거래 모든 과정이 해커들의 표적, 완벽만이 대안"

(사진) 김창희 안철수연구소 서비스기획팀 차장이 3일 아시아경제신문과 금융보안포럼이 공동 주최한 '금융 정보기술(IT) 포럼'에서 해킹 사례를 직접 시연하고 있는 모습.

[아시아경제 임선태 기자]#사례1. 김모씨(42)는 최근 자신의 계좌에서 5000만원이 강제로 인출된 사실을 알고 충격에 빠졌다. 사건의 구성은 이렇다. 해킹목적으로 개설된 한 재테크 카페에 방문한 김씨는 카페 글을 읽음과 동시에 자신도 모르게 해킹툴이 자동으로 다운로드됐다. 이후 전문 해커는 김씨 컴퓨터에 설치된 해킹툴을 통해 로그인, 인증서 비밀번호, 보안카드 비밀번호를 탈취, 김씨의 인증서를 폐기하고 재발급받았다. 해커는 로그인과 로그아웃을 수차례 반복해 보안카드 30개의 비밀번호 중 알고 있는 번호와 일치한 케이스를 찾아내 5000만원 인출에 성공했다.

온라인포털을 통한 변종된 금융보안 피해 사례다. 거래가 일어나는 모든 과정이 해커들의 해킹 대상이다. 해커들은 보다 조직적이고 다변화된 해킹툴로 진화하고 있다. 이 같은 금융보안 피해 대책에 대해 안철수연구소는 "스마트한 보안 방법은 결국 모든 거래 과정의 보호에 완벽을 기하는 것"이라고 발언했다. '금융보안에는 왕도(王道)가 없다'는 의미다.

안철수연구소는 3일 아시아경제신문과 금융보안포럼이 공동 주최한 '금융 정보기술(IT) 포럼'에서 지름길이 없는 금융보안의 특수성에 대해 설명하고 이용자들의 '철저하고 체계적인 보안시스템 구축 노력'을 강조했다.

발표자로 나선 김창희 안철수연구소 서비스기획팀 차장은 "스마트뱅킹에서 새로운 보안 위협을 대처하는 방법은 결국 모든 트랜잭션(거래)을 보호해야 한다는 것"이라며 "특히 변종의 해킹툴이 지속적으로 등장해 백신프로그램으로만 대처하는게 사실상 불가능한 상황"이라고 말했다.

즉 ▲웜, 바이러스, 스파이웨어 제거 ▲키보드 입력 보호 ▲마우스 모션 캡쳐 방지 ▲키로거(Keylogger) 접근 탐지 ▲해킹툴 차단 ▲프로세스 접근 차단 ▲메모리 해킹 방지 ▲웹페이지 변조 감지 ▲XSS 차단 ▲안티디버깅·안티리버싱 ▲스크린캡쳐 감지 ▲모조 SSL 탐지 등의 전 과정에 대한 보안 노력만이 안전한 스마트뱅킹을 보장할 수 있다는 것이다.

해커의 조직화 특성 및 지능화된 해킹툴에 대한 설명도 이어졌다. 김 차장은 "지난 9월 미국에서 제우스(Zeus)라는 해킹툴을 이용한 국제 금융 해커 60여명이 기소됐다"며 "지난달에는 조직의 돈세탁 목적으로 2500억원을 탈취하려는 여성해커가 체포됐다"며 조직화되고 있는 해킹 특성에 대해 설명했다.

온라인뱅킹 트로이목마 Zeus는 해커들 사이에서 최고의 DIY(Do it yourself) 패키지로 평가받는 해킹툴이다. 키로깅 공격, 화면캡쳐, PC의 파일 탈취 등을 통해 복합적, 입체적인 거래 공격이 가능하다. 3000~4000달러에 구매가능하며 위장 메일을 발송하고 Zeus를 PC 등에 감염, 금융 정보를 탈취하는 방식으로 해킹이 이뤄진다.

일회성비밀번호(OTP) 등 최근 금융보안 대안으로 활용되고 있는 툴의 해킹 방식과 관련 김 차장은 "수신인, 이체금액, OTP를 입력하는 OTP 방식은 수신인과 금액을 변경하는 방식으로 해킹이 이뤄지고 있다"며 "지난해 10월에는 브라우저와 온라인 은행 사이트 사이의 SSL연결을 가로채는 새로운 은행 트로이목마가 출현해 바이러스 백신 소프트웨어를 방해하고 다른 은행 트로이목마를 제거한 후 윈도우를 원격으로 접근하는 사례가 발생했다"고 언급했다.

한편 이날 안철수연구소는 별도의 해킹툴을 이용해 '포털사이트 로고의 임의적 변경', '아이디·비밀번호 창 덮기' 등의 해킹 사례를 직접 시연했다.