[대한민국 희망 프로젝트]<316>피싱과 파밍

요즘 신종 금융사기가 늘고 있습니다. 해킹으로 수집한 주민등록번호·공인인증서 등의 개인정보를 이용해 다른 사람의 계좌를 훔치는 범죄가 기승을 부리는 것이죠. 정부가 공개적으로 공인인증서 유출 위험에 대한 공지를 하고 있지만, 나쁜 마음을 먹은 해커들은 아랑곳하지 않고 신종 기법을 개발합니다. 최근에는 파밍 등 영화에서나 나올 법한 최첨단 기법을 이용하는 사이버 양상군자들까지 등장했습니다. 커피쿠폰 등 젊은 층이 많이 찾는 스마트폰용 가짜 앱을 만들어 소액결제 피해를 입히는 행위도 등장했습니다. 피싱·파밍은 무엇이며, 이 같은 범죄피해를 당하지 않기 위해서 어떻게 해야 하는 지 알아보겠습니다.

Q:피싱이 뭔가요

A:피싱(phishing)은 개인정보(private data)와 낚시(fishing)의 합성어로 개인정보를 낚는다는 의미입니다. 가짜 웹사이트나 메일로 위장해 개인정보를 빼내 이를 불법으로 이용하는 온라인 사기입니다. 피싱으로 획득한 개인정보는 인터넷뱅킹, 텔레뱅킹 등으로 고객계좌에서 현금 인출 후 새로운 계좌를 만들어 악용하거나, 전자상거래로 고가의 상품이나 서비스를 구입하는 등 주로 온라인 금융범죄에 사용됩니다. 보이스피싱은 전화사기를 말합니다. 범행 대상자에게 전화를 걸어 허위 사실을 이야기하고, 송금을 요구하거나 특정 개인정보를 수집하는 사기 수법입니다.

Q:최근 피싱은 지능화 되고 있다는 데요

A:보이스 피싱에 이어 메신저 피싱, SNS단문 URL 피싱 등으로 사기 수법이 다양화되고 있습니다. 파밍까지 등장한 상태입니다. 피싱은 2007년 1월 모 은행 인터넷뱅킹을 위장한 사기 사이트가 개설된 게 최초입니다. 30여명의 주민등록번호, 계좌비밀번호, 보안카드 비밀번호 등이 절취되는 사건이 국내에서 발생했습니다.

주요 은행과 공공기관을 모방한 실제 피싱 사이트 출현으로 피싱 위협이 현실화되면서 금융·공공기관뿐 아니라 온라인 쇼핑몰·게임·포털 등 일반 웹 서비스 기업을 중심으로 사용자 보호책 마련이 시급해 졌습니다.

Q:파밍은 어떻게 이뤄지나요

A:파밍은 진짜 같은 가짜 웹사이트 또는 애플리케이션을 만든 후 이에 접속하는 사용자들의 정보를 빼내는 수법을 말합니다. 국내 유명 뱅킹 사이트에 접속 시 정상적인 사이트와 동일한 화면이 보이지만 실제로는 피싱사이트의 IP 주소로 접속됩니다.

피싱사이트 화면은 전자금융사기 예방서비스용 안내화면처럼 정교하게 조작돼 있습니다. 사용자의 이름·주민번호·휴대폰번호· 계좌번호·계좌 비밀번호·사용자 아이디·이체 비밀번호 등 개인금융정보를 입력하도록 현혹시켜 예금을 인출합니다.

Q:지능화된 해킹 공격은 어떻게 이뤄지나요

A:문서 파일이 많이 이용되고 있습니다. 최근 이뤄지는 첨단화된 해킹 공격에는 다양한 형태의 악성코드가 활용됩니다. 그 중에서도 문서 파일을 이용해 주로 이뤄집니다.

그 이유는 각종 문서 관련 애플리케이션들의 기능이 확장되고 복잡해짐에 따라 운용체계(OS)만큼 많은 취약성이 발견되기 때문입니다. 악성코드가 문서 파일에 포함되어 있을 경우 문서 파일의 변경에 따라 손쉽게 변종 악성코드를 만들 수 있습니다.

[관련도서]

◇`해킹 공격의 예술` 존 에릭슨(John Erickson) 지음, 에이콘출판사 펴냄

프로그래밍에서부터 공격 가능한 기계어 코드까지 해킹에 필요한 모든 것을 다룬다. 해킹의 세계를 좀 더 쉽게 이해할 수 있도록 해킹의 예술과 과학을 설파했다. 해킹을 공부하고 싶지만 어디서부터 시작해야할지 모르는 사람에게 해킹에 대해 알려준다. 실제 코드와 해킹 기법, 동작 원리 설명이 가득하다.

◇`감시사회` 한홍구 외 4명 지음. 철수와 영희 펴냄

감시와 통제로부터 자유롭게 살아갈 방법은 없을까라는 질문을 던지고, 우리 사회를 돌아보게 해 준다. 국가권력의 민간인 사찰, 보이스피싱, 인터넷 신상털기는 이제 새로운 뉴스가 아니다. 정보화로 우리는 정보를 장악한 주체에게 우리 생활 자체가 종속되고 있다는 점을 느낄 수 있다. 대한민국에서 살고 있는 우리는 누구나 예외 없이 국가권력과 자본의 감시와 통제를 받는 감시사회에 살고 있다는 점을 생각하게끔 만들어 준다.

김원석기자 stone201@etnews.com