[Special Report8] 모바일 등 개방화되는 전자금융, 해커에게 길 열어주나

8부_인터넷 금융 보안 동향 및 전망
전자금융 개방화, 해커에게 길 열어주나

2010년 가장 대표적인 인터넷 금융 보안 이슈로는 제우스(Zeus)를 빼놓을 수 없다. 특히 제우스에 직접적인 피해를 입은 해외의 경우 인터넷 뱅킹 취약점에 따른 새로운 형태의 인터넷 뱅킹 보안 체계에 대한 요구가 증가하고 있다.

2010년 인터넷 금융 보안 이슈를 간략하게 정리해보면, 우선 국내의 경우에는 스마트폰 보급과 관련된 모바일 뱅킹/모바일 증권, 공인인증서 이외의 수단 허용과 관련된 전자금융거래 인증방법 다양화, HTS 안정성 제고와 관련된 금융감독원의 개선방안 마련, 공인인증서 암호체계 고도화 추진 등을 주요 이슈로 들 수 있다.
 

한국인터넷진흥원은 2010년 공인인증서 자체에 대한 해킹방지 등 안전성 강화를 위해 공인인증서 암호체계 고도화를 추진했다. 이로써 2011년에 발급되는 공인인증서는 전자 서명키 길이가 상향 조정되었으며, 해시 함수 또한 SHA-1이 아닌 SHA-256으로 교체되었다.

2010년에는 스마트폰 이용자가 급증하면서 스마트폰을 이용해 은행이나 증권, 카드 거래 등을 하는 ‘스마트폰 금융’도 증가하고 있다. 이에 국내에서 10년 동안 유지되어 왔던 ‘공인인증서’ 기반의 금융보안체제도 대 변화가 시작되었다. 무엇보다 이와 관련해 금융위원회는 전자금융 거래 시 공인인증서 이외 인증방법의 사용을 허용하는 내용의 전자금융감독규정 개정안을 의결했다. 이로써 그 동안 인터넷과 스마트폰 등에서 제약이 있었던 금융 서비스가 더욱 활성화 될 것으로 기대되고는 있지만, 이에 반해 보안에 대한 인식이 낮아질 수도 있다는 우려도 낳고 있다.
한편 금융감독원은 메모리 해킹과 리버스 엔지니어링, 디버깅 등을 방지하기 위해 HTS 프로그램 보호 대책 강화 등을 담은 ‘HTS 안정성 제고 개선방안’을 마련했다.

해외 인터넷 금융 보안 이슈로는 앞서 언급했듯이 제우스(Zeus) 봇넷을 이용한 금융시스템 대상 범죄 증가를 빼놓을 수 없다. 2010년에는 영국 등에서 이 제우스 봇넷을 이용해 금융 거래 증명서를 훔치거나 자동결제시스템, 급여 시스템의 비인증 온라인 거래를 하는 등의 범죄가 발생해 막대한 피해를 가져왔다. 특히, 제우스는 SSL기반의 인터넷 표준을 사용하는 해외 인터넷 뱅킹의 보안 기능으로는 방어가 불가능하며, 기존 백신으로도 감지가 매우 어려운 상황이다. 따라서 제우스로 인한 해외 인터넷 뱅킹 피해사례는 꾸준히 증가할 것으로 예상된다.

이 밖에도 가트너(Gartner)가 보고서를 통해 인터넷 뱅킹 시스템 노출을 경고한 바 있으며, 안드로이드폰의 가짜 모바일뱅킹 애플리케이션들이 50개 이상이 발견되는 등 모바일 뱅킹 애플리케이션 관련 보안문제가 발생했다. 또한 Bugat 트로이목마를 이용한 금융정보 수집 등이 2010년 해외 인터넷 뱅킹과 관련해 이슈가 되었다.

2011년, 국내 전자금융 수단 변화에 따른 위협 예상돼

금융감독원은 사이버테러 공격 발생 위험의 증가, 전자결제수단의 다양화에 따른 금융소비자의 피해, 규제완화에 따른 공인인증서 외 인증방법의 적용, 개인정보보호법 및 장애인차별금지법 등 규제 강화에 대한 대응 등을 2011년 전자금융부문에서 주요 이슈로 꼽고 있다. 특히, 스마트폰, 태블릿 PC 등 새로운 전자금융 수단에 대한 보안위협에 가장 중점을 두고 있다. 이를 비롯해 2011년 국내 인터넷 뱅킹과 관련해 전망되는 이슈를 정리해보면 다음과 같다.

스마트폰, 태블릿 PC기반 금융서비스의 보안
한국은행에 따르면, 2009SUS 4분기 1만3천명에 불과했던 스마트폰 뱅킹 사용자는 2010년 3분기말(9월말 기준)에는 136만 명으로 폭증했다. 이에 우리나라 금융 역사상 이처럼 비대면 채널이 급성장한 적은 없었던 것으로 평가되고 있다. 이에 따라 스마트폰 악성코드 및 앱 위변조 등의 보안 위협이 증가할 것으로 예상되며, 특히 이러한 위협에 취약한 안드로이드, 윈도우모바일 기반의 스마트폰, 태블릿 PC에 대한 다양한 보안 솔루션 도입이 이어질 전망이다.

오픈뱅킹, 웹 접근성 강화
오픈뱅킹은 현재 윈도우 운영체제와 인터넷익스플로러(IE)에서만 가능했던 금융서비스를 맥, 리눅스와 같이 다양한 운영체제와 파이어폭스, 사파리 등 다양한 웹 브라우저에서도 가능하도록 구축한 것이다. 2010년에 우리은행에서 최초로 도입하였으며, 2011년에는 타 은행 및 금융기관에서도 도입할 것으로 예상된다. 이로 인해 국내 금융서비스도 해외처럼 웹 표준화 준수 및 접근성이 강화되겠지만, 반면 보안 취약함이 발생하는 역기능도 있을 것으로 예상된다. 아울러 스마트폰 뱅킹 이슈로 완화된 금융당국의 규제로 인해 오픈뱅킹이 더욱 활성화될 것으로 보인다. 이에 따라 다양한 보안 솔루션의 추가 도입이 있을 것으로 기대된다.

웹 위변조 공격(MITB Attacks)을 통한 금융거래정보 탈취
국내의 금융서비스의 웹 표준화 시도에 따라 해외와 같이 제우스 등 웹 공격을 통한 금융정보 해킹 위협이 국내에도 이슈화될 전망이다. 기존과 같이 단순한 키로깅 공격이 아닌 위조된 웹 페이지를 통한 사회공학적 해킹 등 웹을 통한 복합적이고 입체적인 공격이 증가하여 이에 대한 보안 대응이 필요할 것으로 예상된다.

금융보안 인프라 교체
지난 2010년 2048비트로 암호강도가 강화된 새로운 공인인증서의 도입과 개인정보보호법안이 통과되었다. 이에 따라 DB 암호화 등 금융 보안 인프라 전반에 걸친 공인인증서 모듈 교체, DB암호화 수요가 상당히 늘어날 것으로 보인다. 한편 금융감독원은 그간 대부분 금융권에서 겸직해왔던 최고정보보호책임자(CISO)를 전문 인력의 전임 형태로 두지 않을 경우 금융기관의 IT경영평가에서 불이익을 주겠다고 밝혀 이로 인한 전문 인력 수요도 상당히 증가할 것으로 예상된다.

해외, 뱅킹 트로이목마 증가할 듯

스마트폰 뱅킹 보안
해외에서도 스마트폰을 통한 인터넷뱅킹 사용자가 증가하고 있으며, 이에 대한 보안이 이슈화될 전망이다. 실제로 최근 영국 IT언론 리지스터(The Register)의 보도에 따르면, 애플 아이폰의 사파리 브라우저 모바일버전에서 합법적인 사이트로 위장한 악성 웹사이트가 허용되어 웹 공격을 받을 수 있는 취약점이 한 연구원에 의해 소개됐다. (http://www.theregister.co.uk/2010/11/29/iphone_phishing_threat/) 이 밖에도 스마트폰에서 구동 및 공격이 가능한 제우스(ZeuS)가 등장함에 따라 이에 대한 보안 위협이 증가할 것으로 보인다.

제우스(ZeuS) 등 뱅킹 트로이목마 기승
2010년과 마찬가지로 해외에서는 제우스의 공격 등이 지속될 것으로 예측된다. 특히 금융서비스 사용자에 대한 공격뿐만 아니라 은행이나 금융기관 시스템에 침투하는 트로이목마의 공격 등 다양하고 진화된 공격이 더욱 증가할 것으로 보인다. 실제로 뱅크인포시큐리티(BankInfoSecurity)는 웜과 트로이목마의 특성을 결합한 Qakbot이 대형은행이나 글로벌 금융기관 시스템에 침투하는 공격을 경고했다. Qakbot은 웜처럼 설계되어 여러 대의 컴퓨터에 전파되고 데이터를 탈취하는 트로이목마의 기능이 정교하게 결합된 것으로 알려졌다. 실제로 2010년 초, Qakbot이 영국 국립보건서비스 네트워크를 공격해 짧은 시간 동안 4GB의 데이터를 탈취한 것을 보건국 감시 서버를 통해 확인된 일이 있었다.@