[IT&LIFE] 무서운 ‘파밍’ 내 통장이 위험하다

 

# 사례 1 유 모 씨(인천·30대 후반)는 지난해 11월 초 아이의 학원비를 이체하기 위해 은행 사이트를 방문했다. 포털 사이트에 A은행이라는 단어를 검색해 해당 은행 사이트에 접속했다. 이체를 위해 계좌번호, 계좌 비밀번호, 보안카드 번호 등을 입력했는데 나흘 뒤 유 씨의 A은행 계좌에서 1,763만 원이 빠져나갔다.   # 사례 2 김 모 씨(경기도·40대 후반)는 지난해 11월 인터넷뱅킹을 하기 위해 컴퓨터 즐겨찾기에 등록해 놓은 B은행 사이트에 접속했다. 팝업창이 나타나 계좌번호, 계좌 비밀번호, 보안카드 번호 입력을 요구했다. 며칠 뒤 김 씨의 B은행 계좌에서 총 5회에 걸쳐 1,039만 원이 이름 모를 특정 계좌로 이체됐다.

위는 최근 금융감독원이 밝힌 인터넷 금융 사기 피해 사례를 모은 것이다. 두 사람은 평소대로 포털 사이트를 통해 특정 은행을 검색하거나, 사용자 PC의 즐겨찾기를 이용해 은행 사이트에 접속했다. 그리고 사이트가 요구하는 대로 정보를 입력하고 인터넷뱅킹을 시도했다. 그런데 금융사기라니! 무엇이 문제였을까?

이들은 신종 금융사기인 ‘파밍(Pharming)’을 당한 것이다. 파밍이란, 사용자의 컴퓨터에 악성코드를 감염시켜 은행 사이트에 접속할 경우 가짜 사이트로 연결되도록 조작해 금융정보를 빼내는 신종 사기 수법이다. 지난해 11~12월 2개월 간 국내에서 발생한 파밍 사기는 146건으로 피해액은 9억 6000만 원에 달한다. 하지만 파밍은 비교적 널리 알려진 피싱(Phishing)에 비해 덜 알려진 데다, 일반인이 알아채기 어려울 정도로 교묘하게 이뤄지고 있어 그 피해가 점차 늘고 있다. 보안에 신경을 쓰지 않는다면 누구든 파밍의 피해자가 될 수 있다는 말이다.

 

 

파밍, 진화된 피싱…정상 접속해도 가짜 사이트로

피싱과 파밍은 어떤 차이가 있을까? 피싱은 가짜 홈페이지를 만들어 놓고 불특정 다수에게 메일이나 문자 등의 미끼를 던져 해당 사이트로 유인한 뒤 개인의 금융정보를 빼내 불법적으로 이용하는 사기 수법이다.

반면 파밍은 가짜 홈페이지를 이용하는 것은 피싱과 같지만, 시스템 기법을 이용해 진짜 사이트 주소를 입력해도 가짜 사이트에 접속하도록 만든다는 점에서 피싱의 진화된 형태로 볼 수 있다. 파밍은 대개 파일 공유 사이트 등에 접속한 이용자의 PC에 트로이목마와 같은 악성코드를 유포하는 것에서 시작한다. 이 악성코드는 사용자 컴퓨터의 호스트(host) 파일 변조, 도메인 네임 시스템(DNS) 변조, 프록시(Proxy) 서버 주소 변조 등의 방법으로 사용자가 정상 금융회사 홈페이지에 접속해도 가짜 사이트가 접속되도록 한다.

 
 

 

[그림 1] 파밍에 의한 금융 거래 정보 편취 수법 (출처:금융감독원 블로그)

 

 

악성코드가 웹 주소를 변조하는 방법들

▲ 호스트 파일 변조 방식
공격자는 호스트 파일을 변조해 특정 은행 사이트에 접속할 경우 피싱 사이트로 연결되도록 설정해 놓는다.

▲ DNS 변조 방식
공격자는 DNS 주소를 변조해 피싱 사이트에 접속되도록 설정해 놓는다. 사용자의 의심을 피하기 위해 일반적으로 사용하는 포털 사이트 등은 그대로 두고 타깃으로 삼은 은행 사이트만 가짜 사이트로 연결해 놓는 것이다.

▲ 프록시 서버 주소 변조
공격자는 프록시 서버 주소를 변조해 정상 은행 사이트에 접속해도 가짜 사이트가 접속되도록 한다.

 

 

“보안 승급 하세요”… 교묘한 파밍 사기 수법

파밍이 무서운 진짜 이유는 은밀하게 사용자의 PC에 파고들어 사용자 몰래 금융정보를 빼낸 뒤 실제 금전적 피해를 일으킨다는 점이다. 피싱 사이트의 웹 주소는 실제 사이트의 주소와 비슷하거나 실수로 넣을 수 있는 문구를 넣는다는 점에서 사용자가 주소창을 꼼꼼히 살핀다면 피해를 막을 수 있다. 반면 파밍은 화면에 보여지는 가짜 웹 사이트의 주소가 진짜 사이트 주소와 같은 데다, 사이트 구성도 실제 은행 웹 사이트와 매우 유사하기 때문에 사용자는 파밍 사이트임을 알아채기가 쉽지 않다.

“보안 승급이 필요합니다”, “개인정보가 유출됐습니다”라고 하는 등 파밍 사이트는 사용자의 의심을 피하기 위해 이 같은 문구로 사용자의 금융정보를 요구한다. 이들이 요구한 정보를 모두 입력한 사용자는 자신의 계좌에서 돈이 모두 빠져나간 뒤에야 자신이 파밍 사기를 당했음을 알게 된다.

은행은 개인정보 유출 등의 긴급한 사항을 사이트를 통해 공지하지 않으며, 절대 보안 강화를 이유로 개인의 금융정보와 보안카드 정보를 요구하지 않는다는 점을 명심하자.
 

 

[그림 2] 금융정보 강화를 이유로 개인정보 요구하는 피싱 사이트 팝업창

 

 

보안카드 번호 전체 요구는 100% 파밍 사기

그렇다면 파밍 사기를 피할 수 있는 방법은 없을까? 일단 무리한 개인정보를 요구하는 것은 피싱과 파밍의 위험이 있을 수 있다는 점에서 의심해야 한다. 사이트에서 계좌번호, 계좌 비밀번호, 보안카드 번호 전체(일련번호, 코드번호)를 요구한다면 파밍 사기라고 보면 된다.

일반적인 인터넷뱅킹은 공인인증서로 로그인하기 때문에 별도로 계좌번호를 묻지 않으며, 보안카드 번호도 코드번호 2자리(ex. 33 앞 2자리, 15 뒤 2자리)만을 요구한다.
 

 

[그림 3] 금융보안 강화를 이유로 개인정보를 요구하는 피싱 사이트 팝업창

 

파밍을 위한 악성코드에 감염됐다고 하더라도 계좌번호, 계좌 비밀번호, 보안카드 비밀번호를 입력하지 않았다면 일단 금융 사기 피해는 막을 수 있다. 하지만 이미 사용자의 컴퓨터가 악성코드에 장악된 상태이므로 V3 정밀 검사로 악성코드를 치료해야 한다. 공인인증서 등의 개인정보가 유출됐다면 즉시 은행에 연락해 관련 인증서를 전부 폐기하고 재발급 받아야 한다.

현재까지 알려진 파밍을 유포하는 악성코드는 V3를 통해 치료가 가능하다. 계속 진화된 악성코드가 등장한다는 점에서 백신 프로그램 자동 업데이트는 인터넷뱅킹 피해를 막는 가장 쉬우면서도 효과적인 방법이라고 할 수 있다. 김창희 안랩 세일즈마케팅팀 차장은 “아직 국내의 파밍 수법은 해외만큼 정교화되지 않았지만 점차 고도화되는 추세여서 이로 인한 피해가 더 늘어날 것으로 보인다”며 “현재 알려진 악성코드는 V3로 진단 및 치료가 가능하므로 인터넷뱅킹을 이용할 때에는 가급적 V3 검사를 하고 접속하는 게 좋다”고 조언했다.@

 

 

안전한 인터넷뱅킹을 위한 사용자 가이드 온라인뱅킹 악성코드 감염 예방법 - 백신 프로그램의 자동 업데이트를 설정한다. - 잘 모르는 웹사이트는 가급적 접속하지 않는다. - 정품 소프트웨어를 사용한다. - 출처가 불분명한 파일은 다운로드하지 않는다. - 이메일의 첨부파일을 열기 전, 온라인뱅킹을 이용하기 전에는 V3 검사를 한다. - 이메일 등을 통해 전달된 링크는 직접 클릭해 접속하기 보다는 주소창에 입력해서 확인한다. 온라인 금융 사기 방지법 - 금융회사는 절대 보안 승급을 요청하지 않는다. 계좌번호, 계좌 비밀번호, 보안카드 번호 전체를 요구하면 바로 금융기관에 신고한다. - 서비스 이용 시 의심스러운 부분이 있으면 해당 금융기관에 확인해본다. - 만약 개인 금융정보가 유출됐다면 즉시 경찰청 112센터나 금융회사에 신고해 지급정지를 요청한다.