스마트 사용자 노린 스미싱, 메모리 해킹, 파밍이 온다

보안라이프/이슈&이슈 2013. 12. 6. 07:00

개그콘서트의 인기 코너인 ‘황해’는 보이스 피싱(Voice Phishing)을 소재로 공감대를 이끌어낸 뒤 예상되는 상황을 비틀어 웃음을 자아낸다. 이는 그만큼 보이스 피싱이라는 신종 범죄가 일반적인 일이 되었음을 보여주는 증거이다. 

내 어머니도 보이스 피싱을 당할 뻔한 적이 있었다. 2010년 당시 나는 대학교 1학년으로 서울에 올라와 자취를 하고 있었다. 친구들과 술자리를 가진 뒤 잠을 자고 일어나보니 어머니에게 무려 20통이 넘는 전화가 걸려 와 있었다. 정신을 차리고 전화를 해보니, 나를 잡고 있으니 500만원을 입금하라는 유괴범의 전화가 왔었다는 것이다. 어머니는 그 전화를 끊고 내게 전화를 해도 받지 않자, 정말 입금을 하려고 했었다. 다행히 내 대학 동기에게 전화해 집에 잘 들어갔음을 확인하고 피싱에 당하지 않으셨다.

이렇게 신종 사이버 범죄에는 나이와 상관없이 누구나 노출되어 있다. 특히 새로운 범죄 정보에 취약한 노년층조차 스마트폰을 쓰는 시대가 온 이후, 그 위험성은 더욱 심각해졌다. 올해 1월부터 8월까지 보이스 피싱 피해액이 439억 원이나 된다. 이뿐만 아니라, 사이버 범죄가 나날이 발전하면서 보이스 피싱을 넘어 스미싱, 메모리 해킹, 파밍이라는 새로운 범죄가 기승을 부리고 있다. 이러한 범죄를 미연에 방지하는 방법은 그 정보를 많이 알아 놓는 것이다.

신종 사이버 범죄 막아주는 방화벽은 ‘정보’

그림입니다.
원본 그림의 이름: %BB_-%~1.JPG
원본 그림의 크기: 가로 550pixel, 세로 814pixel

스미싱(Smishing)은 보이스 피싱의 발전형으로 문자를 이용한 범죄다. 악성코드가 있는 URL을 문자로 보내 사용자가 그 URL을 클릭하면 악성코드가 자동으로 설치된다. 휴대폰을 감염시키거나, 소액결제를 유도하는 문자를 보내 사용자 본인도 모르는 사이 결제가 되게 하는 방식으로 돈을 갈취한다. 

그림입니다.
원본 그림의 이름: 1.jpg
원본 그림의 크기: 가로 643pixel, 세로 747pixel

파밍(Phaming)은 컴퓨터에 악성코드를 심어 놓은 뒤, 인터넷을 켤 때 해커가 만들어 놓은 가짜 웹사이트로 이동하게 하여 개인정보를 빼내고 그 개인정보를 이용해 금융 사기와 같은 범죄에 이용하는 것이다.

그림입니다.
원본 그림의 이름: imagesCAPI953C.jpg
원본 그림의 크기: 가로 280pixel, 세로 180pixel

메모리 해킹(Memory Hacking)은 스마트폰에 몰래 해킹 프로그램이나 악성코드를 심은 뒤 메모리를 해킹하여, 사용자가 휴대폰으로 하는 모든 정보 빼내 범죄에 이용하는 것이다. 심지어 메시지 해킹, 음성 도청과 카메라 기능을 이용한 몰카, 개인의 위치정보 파악과 같은 심각한 개인정보 침해를 일으키기도 한다. 또 악성 앱을 설치하여 파밍과 같은 범죄를 유발하기도 한다. 안타깝게도 일반 사용자가 자신의 휴대폰이 몰래 해킹을 당했다는 사실을 알기는 힘들기 때문에 더욱 당하기 쉽다. 

사이버 범죄 관련 정보의 진실 혹은 거짓

이제는 많은 사람이 이러한 범죄 관련 많은 정보를 얻고 있지만, 과장되거나 거짓된 정보가 마치 진짜인 것처럼 유통되기도 하므로 주의가 필요하다. 사이버 범죄 관련 정보의 허와 실, 그 예방법을 살펴보자.

1) 정부기관에서 출두명령이나 입금을 문자로 요구한다? 

검찰청 출두, 경찰청 출두를 사칭함으로써 두려움을 주어 사람들의 이성적 판단을 흐리고 범죄에 낚이게 하는 스미싱 범죄가 빈번하게 일어난다. 기본적으로 공공기관에서는 개인에게 출두 명령이나 입금을 요구하는 문자를 보내지 않으니 속지 말아야 한다. URL을 잘 확인하는 것도 중요하다. 정부기관은 government의 약자인 go를 인터넷 도메인으로 사용한다. 그리고 일반 사기업은 corporation의 약자인 co를 사용하기 때문에 정부기관임을 확인하고 싶다면 go.kr인지 co.kr인지를 잘 확인하는 것이 좋다.

2) 스미싱 문자를 클릭만 해도 결제가 되기 때문에 절대 클릭하지 말아야 한다?

스미싱에 담긴 URL을 클릭만 해도 결제가 이루어진다는 글은 허구이다. 클릭을 하면 apk라는 악성코드가 담긴 파일이 저장되는데, 설령 클릭을 했을지라도 즉시 apk 파일을 지우기만 하면 상관없다. 예방하는 가장 간편한 방법은 모바일 백신을 설치하여 이런 프로그램이 다운로드되었을 때 자동으로 삭제하거나 위험한 프로그램임을 알려주는 기능을 이용하는 것이다. 모바일 백신은 대부분의 스미싱을 잡아낸다.

3) 전화를 걸기만 해도 자동으로 결제가 될 수 있다?

최근 SNS로 확산되는 이 이야기 역시 근거 없는 소문에 불과하다. 전화를 걸어서 나오는 안내에 따라 번호를 누르는 것은 물론 위험할 수 있다. 피싱과 관련된 전화를 자동으로 차단하거나 어떤 번호인지 알려주는 Who is call? 과 같은 애플리케이션이 시중에 많이 나와 있으므로 이것을 이용하는 것이 좋다.

4) 스미싱이 파밍보다 악질이다?

사실 스미싱보다 악질적인 것이 파밍(Pharming)이다. 파밍은 컴퓨터와 모바일을 이용한 일종의 금융사기이다. 컴퓨터에 악성코드를 심어 놓은 뒤, 기존 금융 사이트가 아닌 가짜 사이트로 이동하게 하여 ‘보안강화’와 같은 명목 하에 개인금융정보를 빼내는 방법으로 한 번에 수백에서 수천만 원에 이르는 피해를 남기기도 한다. 

금융전문가도 속을 만큼 정교하게 사이트를 제작하여 정보에 무지한 일반인은 더욱 피해를 입기 쉽다. 또한 자주 찾는 포털 사이트에서 긴급조치를 빙자하여 팝업을 띄운 뒤 ‘금융감독원’이라는 이름을 사칭하고 정보를 요구하기도 한다.

 그림입니다.
원본 그림의 이름: CAM00443.jpg
원본 그림의 크기: 가로 4160pixel, 세로 3120pixel
사진 찍은 날짜: 2013년 09월 18일 오후 11:07

▲ 실제 경험한 파밍 화면 

먼저 포털 팝업 창 뜨는 방식일 경우 그 포털 사이트의 모습을 잘 살펴보는 것이 좋다. 가짜 사이트는 특정 날짜의 포털 모습을 이미지로 따온 경우가 많다. 네이버나 다음과 같이 사람들이 주로 쓰는 포털의 경우 오늘의 정보, 뉴스, 인기검색어와 같은 섹션으로 인해  매일매일 전면부가 달라지기 때문에 이러한 팝업창이 떴을 시에 그 부분을 잘 살펴보는 것이 좋다. 역시나 기본적으로 최신 백신을 늘 구동하는 것이 가장 좋은 예방법이며, 걸렸을지라도 경찰청에서 배포하는 현재 파밍으로 인해 비정상으로 뜨는 사이트들이 있다.

 그림입니다.
원본 그림의 이름: CAM00445.jpg
원본 그림의 크기: 가로 4160pixel, 세로 3120pixel
사진 찍은 날짜: 2013년 09월 19일 오후 1:01

▲ ‘파밍캅’으로 감염된 PC를 치료하는 장면 

‘파밍캅’이라는 프로그램을 설치하여 악성코드를 제거하는 방법도 있다. Ahn


그림입니다.
원본 그림의 이름: 황윤준님_증.jpg
원본 그림의 크기: 가로 354pixel, 세로 472pixel
사진 찍은 날짜: 2013년 08월 09일 오후 13:44       대학생기자 황윤준 / 홍익대 영어교육전공

 

댓글을 달아 주세요

  1. 긍정맨 혀니 ^^ 2013.12.06 12:49  Address |  Modify / Delete |  Reply

    사이버 범죄 관련 정보의 진실 혹은 거짓 내용에서 정말 궁금한 점이 있었는데 해결되었어요. 주의 깊게 잘읽었습니다 ^*^

  2. 지나가다 2013.12.12 08:48  Address |  Modify / Delete |  Reply

    저희 회사 직원 PC에서도 파밍에 걸린 적이 있었습니다. 알고보니 hosts 파일을 변조한 거더군요 정교하게 만들었기는 하지만 보안카드 숫자를 모두 요구하는 방식은 동일해서 잘 모르는 저희 회사 직원들도 쉽게 속지않고 저한테 바로 물어보더군요

추석에 빈집 보안만큼 챙겨야 할 정보보안 3계명

보안라이프/이슈&이슈 2013. 9. 18. 22:04

올해도 어김없이 민족의 명절 추석이 찾아왔다. 많은 사람이 명절을 맞아 고향에 내려가 친지 또는 고향 친구들과 만나 명절을 보낸다. 설이나 추석 같은 긴 연휴에는 대부분 장기간 집을 비우기 때문에 집을 나오기 전 방범에 신경을 많이 쓰게 된다. 특히나 이번 추석 연휴는 휴가를 이용하여 최대 9일 간 황금연휴를 보낼 수 있기 때문에 더욱 신경을 쓸 수밖에 없는데, 이에 따라 많은 사람이 CCTV 설치나 잠금장치 교체, 방범 업체 의뢰 등으로 자신의 집을 지키고 있다.

그렇다면 추석 기간 내 컴퓨터, 스마트폰의 보안에는 문제가 없을까? 다음은 2010년도 월별 해킹 사고 자료이다.

1

2

3

4

5

6

7

8

9

10

11

12

합계

건수

898

1,076

1,053

1,468

1,062

1,160

1,300

1,644

2,183

1,732

1,412

1,307

11,690

위 표에서 볼 수 있듯 명절이 있는 2(), 9(추석)에 피해 건수가 상당히 많다. 추석 기간에 인터넷 사용량이 급증하는 것도 우려되는 부분이다. 대부분 오랜 시간이 걸리는 추석 귀경길을 스마트폰을 이용하여 무료함을 달래는 경우가 많기 때문에 평소보다 인터넷 사용량이 급증한다. 사용량이 늘어나면 그만큼 위험에 노출되기가 쉽다. 

최근에는 스마트폰 유저가 악성코드 설치를 유도하는 문자 메시지로 인해 이른바 스미싱’의 피해를 입는 경우가 늘고 있다. 추석에는 가족, 친지의 안부를 가장한 스미싱이 많이 발생할 것으로 예상된다.

이러한 위험 요소들이 증가함에 따라, 안랩에서도 추석 기간에 지켜야 할 ‘3X3 보안수칙을 내놓았다. 안랩이 제시한 ‘3X3 보안수칙은 추석 연휴에 개인이 많이 이용하는 PC와 스마트폰에 대한 보안 수칙과, 기업의 보안 담당자가 유의해야 할 가장 중요한 수칙을 3가지씩 선정한 것이다. 안랩이 발표한 3X3 보안수칙을 살펴보고 이것을 지켜야 하는 이유를 알아보자.

* PC 보안 3계명  

1. 윈도우 운영체제, 인터넷 브라우저(IE, 크롬, 파이어폭스 등), 오피스 SW 등 프로그램의 최신 보안 패치를 모두 적용한다.

운영체제나 브라우저는 최신 버전을 쓰는 것이 소프트웨어 자체가 가진 취약점을 노린 신종 악성코드, 해킹 방지에 적합하다 

2. 백신 프로그램은 반드시 설치하고 항상 최신 버전의 엔진으로 유지한다. 또한 실시간 감시 기능이 항상 작동하도록 설정한다. 안랩의 대표적인 보안 소프트웨어로는 무료백신 V3 Lite, 방화벽과 백신이 통합된 유료 보안 서비스 ‘V3 365 클리닉등이 있다.

컴퓨터의 효율성을 높이기 위해 실시간 감시 기능이나 백신 프로그램 자체를 꺼두는 경우가 있는데, 기술의 발달로 CPU 점유율은 생각보다 높지 않다. 백신은 최신 버전을 사용해야 연휴를 틈탄 신종 악성코드나 바이러스에 대응할 수 있다. 

3. 제목이 자극적이거나 출처가 불분명한 메일에 첨부된 파일은 실행을 자제하고 링크 주소를 클릭하지 않는 것이 안전하다.

업무메일, 이벤트 당첨 메일, 친구 메일을 가장해 악성코드가 담긴 메일을 보내 사용자의 정보를 빼내는 경우가 늘고 있다. 링크를 클릭하거나 담긴 파일을 열자마자 악성 프로그램이 자동으로 설치되어 피해를 자신도 모르게 입는 경우가 많다. 

* 스마트폰 보안 3계명  

1. 앱은 공식 마켓에서 다운로드해 설치하고 공식 마켓에도 악성 앱이 등록되어 있을 수 있어 평판 정보를 반드시 확인한다.

안드로이드 기반 스마트폰용 앱은 구글 플레이에서 다운로드하는데, 사전 검증 없이 앱을 올리는 구조인 탓에 악성 앱이 업로드되는 경우가 많다. 악성 앱의 증가로 구글에서 ‘App checker’‘Bouncer’라는 보안 시스템을 적용했지만, 악성 앱이 올라오는 것을 완전히 막기에는 아직 어려움이 있다. 따라서 앱을 다운로드하기 전에 자료를 올린 사람이 신뢰할 만한 게시자인지, ‘평판은 어떤지 확인하는 것이 좋다.

다른 방법으로는 삼성전자 앱스토어처럼 안랩의 앱 검증 솔루션이 적용되어 게시하기 전 사전 검증을 하는 마켓에서 다운로드하는 방법도 있다 

2. 부득이하게 문자 메시지 등에서 단축 URL을 클릭해 앱을 설치하거나 의심스러운 파일을 다운로드한 경우에는 반드시 최신 버전의 보안 소프트웨어(V3 Mobile 등)로 악성코드 검사를 해야 한다.

앞서 말했듯 문자 메시지를 이용한 스미싱 피해가 늘고 있을 뿐만 아니라 스마트폰을 대상으로 한 사이버 범죄가 전체적으로 증가하고 있기 때문에, 모바일 백신을 설치하고 사용할 땐 늘 켜두는 것이 좋다. 삼성전자, LG전자 같은 국내 브랜드의 스마트폰에는 V3 Mobile이 탑재되어 있지만, 배터리 사용과 CPU 점유율에 대한 걱정으로 인해 켜두지 않는 경우가 많다. 하지만 V3 Mobile은 CPU 점유율이 1%도 되지 않고 배터리에 미치는 영향도 미미하다고 하니 켜두는 것이 좋다.

3. 중요한 개인정보(타 사이트ID, 각종 비밀번호 등) 및 금융 정보(계좌번호, 보안카드 일련번호, 비밀번호 등)는 스마트폰에 저장하지 않는다.

잦은 비밀번호 변경으로 인해 잊어버리기 쉬운 개인정보를 스마트폰에다 메모하는 경우가 많다. 혹시라도 스마트폰이 감염되었을 시에 정보가 유출될 수 있으므로 스마트폰에 금융정보나 개인정보를 보관하는 것은 바람직하지 않다 

* 기업 보안 3계명  

1. 사내 모든 PC및 서버의 OS(운영체제), 응용 소프트웨어의 최신 보안 패치가 적용될 수 있도록 조치를 한다.

이는 PC보안 3계명 중 첫째 항목과 일맥상통하는 부분이다. 특히 정보 유출의 위협이 많은 기업은 이 원칙을 철저히 지켜야 한다 

2. 연휴기간에 서비스하지 않는 시스템의 경우 기업 네트워크로부터 차단될 수 있도록 정책을 변경하고 장기간 사용하지 않는 PC는 전원을 끄고 네트워크에서 분리해 둔다.

가장 안전한 방법은 물리적으로 네트워크와 분리하여 해커들이 기업의 정보에 접근하지 못하도록 막는 것이다. 기업의 보안담당자가 없는 상황에서 쓰지 않는 사내 컴퓨터를 켜둔 채로 놔두는 것은, 해킹(정보유출)에 그대로 노출되는 것이나 마찬가지이다

3. 보안 담당자들은 비상 연락 체계를 구축하고 유관 부서와 공유해야 한다. 보안관제 서비스를 받고 있는 경우는 해당 보안관제 업체의 24시간 상황실 연락망을 공유하고 자체 보안관제 시스템을 운영하는 경우 자체 비상 연락망을 공유한다.

연휴 동안 혹시 있을지 모를 사고에 발 빠르게 대처하기 위해, 기업의 보안 담당자와 보안 업체와의 비상 연락망을 가지고 있는 것이 사고의 피해를 줄이는 데 큰 도움이 된다. 

안랩은 이러한 위험에 대비하여 연휴 기간 동안에도 24시간 근무 체제를 가동한다. 연휴 기간에 보안 사고가 발생하더라도 신속한 해결책을 제공할 수 있도록 단계별 비상대응체제를 가동하여 긴급한 상황이 발생할 경우

트위터[twitter.com/AhnLab_man]

블로그[blog.ahnlab.com/asec, blog.ahnlab.com/ahnlab],

페이스북[www.facebook.com/ahnlabofficial]

과 같은 다양한 채널로 신속하게 실시간 경보를 울릴 계획이라고 한다. Ahn

 

대학생기자 황윤준 / 홍익대학교 영어교육과

인생은 속도가 아니라 방향이다.

조급해하지 말자.

 

 

댓글을 달아 주세요