인터넷뱅킹 적용 어렵지만 범죄 가능성 존재
데이터 절취ㆍ변조 수법
범죄악용땐 금융질서 위협
지방에서 근무하고 있는 직장인 이 모씨(48)는 서울에 있는 대학생 딸에게 생활비를 보내기 위해 여느 때와 마찬가지로 인터넷뱅킹의 계좌이체로 돈을 송금했다. 그러나 며칠 후 딸에게서 돈이 송금되지 않았다는 전화를 받고 깜짝 놀라 확인해보니 자신의 송금한 돈이 딸의 계좌가 아닌 다른 계좌로 빠져나갔다는 것을 확인할 수 있었다. 그는 이를 해당 은행에 신고했으나 은행에서 정확한 설명을 듣지 못했다.
최근 정보보호업계에서 이슈화되고 있는 메모리 해킹이 실제 발생했을 때를 가상해서 만든 시나리오다. 메모리 해킹이란 램(RAM)이라고 불리는 주기억장치에 저장되는 데이터를 절취하거나 이를 조작하는 해킹 기법이다.
기존의 피싱과 파밍 등의 해킹 수법들이 메일이나 전화 등 외부수단을 이용해 사용자의 계좌와 비밀번호 등의 금융정보를 빼내는 것과 PC 해킹을 통해 백도어 프로그램을 설치한 뒤 전용 툴을 통해 메모리 상의 데이터를 절취하고 변조한다는 점에서 차이가 있다.
이러한 메모리 해킹을 통한 인터넷뱅킹의 실질적인 피해는 아직 보고된 바가 없지만 메모리 해킹 방식이 범죄에 악용될 경우 인터넷뱅킹 자체의 신뢰성과 안정성에 큰 위협이 된다는 점에서 최근 금융권과 정보보호업계에서 이슈로 떠오르고 있다.
◇대규모 피해 가능성은 낮지만 위험성은 존재=그렇다면 이러한 메모리 해킹이 실제 발생할 수 있는 가능성은 얼마나 될까. 업계 보안전문가들은 메모리해킹의 위험성에 대해서는 대부분 인정하면서 실제 메모리해킹이 인터넷뱅킹 범죄에 악용되는 것은 쉽지 않을 것으로 보고 있다. 기본적으로 해커가 사용자의 PC를 해킹한 상태에서 PC를 모니터링해 인터넷뱅킹 기반이 되는 인터넷 익스플로러와 같은 프로그램들이 암호화되지 않은 데이터들을 메모리의 어떤 위치에 배치하는지를 파악하는 것이 쉽지 않다. 즉 메모리 상에서의 암호화되지 않은 데이터들을 알 수는 있지만 정작 자신이 원하는 데이터를 알기란 쉽지 않다는 것이다.
또 사전에 거래가 발생한 데이터를 저장했다가 동일한 거래가 발생할 때 활용되는 방식이기 때문에 해당 PC가 인터넷뱅킹에 활용되는 PC인지 알 수 없는 상황에서 해킹을 했다고 해서 인터넷뱅킹 범죄에 바로 적용할 수 있는 것도 아니다.
예전부터 게임분야에서는 사이버머니와 아이템 등을 절취하기 위한 방식으로 이러한 메모리 해킹이 통용돼 왔지만 계좌번호, 비밀번호, 이체비밀번호, 인증서암호, 보안카드번호(일회용비밀번호) 등 다양한 정보가 입력돼야 하는 인터넷뱅킹은 아이디와 패스워드만을 입력하는 게임과는 다른 차원의 이야기라는 것이다.
한 보안업계 전문가는 "메모리 해킹을 할 수 있는 프로그램이 많이 있고 그 위험성은 분명 존재한다" 면서도 "그러나 로컬이 아닌 원격에서 해당정보가 놓여있는 메모리 상의 해당 문자열을 파악하고 사용자 모르게 그것을 조정한다는 것은 말처럼 쉬운 일이 아니다"라고 말했다.
금액변조로 인한 큰 금전적 이득을 취득하는 것도 사실상 불가능하다. 대부분의 은행에서 금액에 관한 부분이 캐릭터 형식으로 입력되기 때문에 같은 자릿수 상에서의 변조는 가능하지만 다른 자릿수로의 변조(예를 들면 1000만원에서 1억원으로의 변조)는 어렵다는 게 전문가들의 중론이다. 이는 대부분의 인터넷뱅킹 사용자들이 소액 이체 거래가 많다는 점을 감안하면 이체 금액 변조로 인한 대규모 피해가 발생하기가 쉽지 않다는 것을 의미한다.
일각에서는 해커들이 모든 은행에 적용되는 인터넷뱅킹 범용 해킹 툴을 제작하는 데 걸리는 시간과 노력에 비해 실제 해킹을 통해서 취할 수 있는 금전적 이득이 많지 않다는 점에서 이를 직접적으로 범죄에 활용하는 사례가 있을 지는 의문이라는 의견도 제기되고 있다.
◇금융보안연구원, 메모리해킹 관련 대책 마련에 부심=그러나 해커들이 대규모 조직을 구성, 메모리 해킹을 통해 인터넷뱅킹 PC들을 집중 모니터링해 범죄타깃을 잡아 미리 개설해 놓은 여러 대포통장의 계좌들로 이체 자금들을 빼돌리는 방식으로 범죄에 악용할 수는 있어 가능성이 전혀 없다고 볼 수는 없다.
금융보안연구원(원장 정성순)도 이러한 메모리해킹의 위험성을 인식하고 다각도의 대책 마련에 나서고 있다. 금보연은 지난달 말 시중은행 보안담당자들과 회의를 갖고 공동으로 메모리해킹 방지 대책 마련에 나서기로 하는 등 적극적인 움직임을 보이고 있다.
현재 금보연은 △음성매체를 통한 계좌정보 분할 입력 방식 △음성매체를 통한 최종승인 방식 △보안 키패드를 통한 계좌번호 입력 방식 △보안이미지를 통한 최종승인 방식 등 6가지 방안을 고려하고 있으며 이에 대한 테스트베드를 마련해 실제 운용환경에서의 보안적합성 테스트를 거쳐 방안을 최종 확정할 계획이다.
금보연 성재모 보안기술팀장은 "현재 검토하고 있는 방안 외에 은행 및 보안업계 의견들을 광범위하게 수렴, 추가적인 방안 마련에도 노력할 계획" 이라면서 "여러 방안들에 대한 보안성 및 적용가능성 등을 다각적으로 검토한 뒤 이 달 말까지 확정된 방안을 은행들에 제시, 연말까지 구축을 완료하도록 할 계획" 이라고 말했다.
데이터 절취ㆍ변조 수법
범죄악용땐 금융질서 위협
지방에서 근무하고 있는 직장인 이 모씨(48)는 서울에 있는 대학생 딸에게 생활비를 보내기 위해 여느 때와 마찬가지로 인터넷뱅킹의 계좌이체로 돈을 송금했다. 그러나 며칠 후 딸에게서 돈이 송금되지 않았다는 전화를 받고 깜짝 놀라 확인해보니 자신의 송금한 돈이 딸의 계좌가 아닌 다른 계좌로 빠져나갔다는 것을 확인할 수 있었다. 그는 이를 해당 은행에 신고했으나 은행에서 정확한 설명을 듣지 못했다.
최근 정보보호업계에서 이슈화되고 있는 메모리 해킹이 실제 발생했을 때를 가상해서 만든 시나리오다. 메모리 해킹이란 램(RAM)이라고 불리는 주기억장치에 저장되는 데이터를 절취하거나 이를 조작하는 해킹 기법이다.
기존의 피싱과 파밍 등의 해킹 수법들이 메일이나 전화 등 외부수단을 이용해 사용자의 계좌와 비밀번호 등의 금융정보를 빼내는 것과 PC 해킹을 통해 백도어 프로그램을 설치한 뒤 전용 툴을 통해 메모리 상의 데이터를 절취하고 변조한다는 점에서 차이가 있다.
이러한 메모리 해킹을 통한 인터넷뱅킹의 실질적인 피해는 아직 보고된 바가 없지만 메모리 해킹 방식이 범죄에 악용될 경우 인터넷뱅킹 자체의 신뢰성과 안정성에 큰 위협이 된다는 점에서 최근 금융권과 정보보호업계에서 이슈로 떠오르고 있다.
◇대규모 피해 가능성은 낮지만 위험성은 존재=그렇다면 이러한 메모리 해킹이 실제 발생할 수 있는 가능성은 얼마나 될까. 업계 보안전문가들은 메모리해킹의 위험성에 대해서는 대부분 인정하면서 실제 메모리해킹이 인터넷뱅킹 범죄에 악용되는 것은 쉽지 않을 것으로 보고 있다. 기본적으로 해커가 사용자의 PC를 해킹한 상태에서 PC를 모니터링해 인터넷뱅킹 기반이 되는 인터넷 익스플로러와 같은 프로그램들이 암호화되지 않은 데이터들을 메모리의 어떤 위치에 배치하는지를 파악하는 것이 쉽지 않다. 즉 메모리 상에서의 암호화되지 않은 데이터들을 알 수는 있지만 정작 자신이 원하는 데이터를 알기란 쉽지 않다는 것이다.
또 사전에 거래가 발생한 데이터를 저장했다가 동일한 거래가 발생할 때 활용되는 방식이기 때문에 해당 PC가 인터넷뱅킹에 활용되는 PC인지 알 수 없는 상황에서 해킹을 했다고 해서 인터넷뱅킹 범죄에 바로 적용할 수 있는 것도 아니다.
예전부터 게임분야에서는 사이버머니와 아이템 등을 절취하기 위한 방식으로 이러한 메모리 해킹이 통용돼 왔지만 계좌번호, 비밀번호, 이체비밀번호, 인증서암호, 보안카드번호(일회용비밀번호) 등 다양한 정보가 입력돼야 하는 인터넷뱅킹은 아이디와 패스워드만을 입력하는 게임과는 다른 차원의 이야기라는 것이다.
한 보안업계 전문가는 "메모리 해킹을 할 수 있는 프로그램이 많이 있고 그 위험성은 분명 존재한다" 면서도 "그러나 로컬이 아닌 원격에서 해당정보가 놓여있는 메모리 상의 해당 문자열을 파악하고 사용자 모르게 그것을 조정한다는 것은 말처럼 쉬운 일이 아니다"라고 말했다.
금액변조로 인한 큰 금전적 이득을 취득하는 것도 사실상 불가능하다. 대부분의 은행에서 금액에 관한 부분이 캐릭터 형식으로 입력되기 때문에 같은 자릿수 상에서의 변조는 가능하지만 다른 자릿수로의 변조(예를 들면 1000만원에서 1억원으로의 변조)는 어렵다는 게 전문가들의 중론이다. 이는 대부분의 인터넷뱅킹 사용자들이 소액 이체 거래가 많다는 점을 감안하면 이체 금액 변조로 인한 대규모 피해가 발생하기가 쉽지 않다는 것을 의미한다.
일각에서는 해커들이 모든 은행에 적용되는 인터넷뱅킹 범용 해킹 툴을 제작하는 데 걸리는 시간과 노력에 비해 실제 해킹을 통해서 취할 수 있는 금전적 이득이 많지 않다는 점에서 이를 직접적으로 범죄에 활용하는 사례가 있을 지는 의문이라는 의견도 제기되고 있다.
◇금융보안연구원, 메모리해킹 관련 대책 마련에 부심=그러나 해커들이 대규모 조직을 구성, 메모리 해킹을 통해 인터넷뱅킹 PC들을 집중 모니터링해 범죄타깃을 잡아 미리 개설해 놓은 여러 대포통장의 계좌들로 이체 자금들을 빼돌리는 방식으로 범죄에 악용할 수는 있어 가능성이 전혀 없다고 볼 수는 없다.
금융보안연구원(원장 정성순)도 이러한 메모리해킹의 위험성을 인식하고 다각도의 대책 마련에 나서고 있다. 금보연은 지난달 말 시중은행 보안담당자들과 회의를 갖고 공동으로 메모리해킹 방지 대책 마련에 나서기로 하는 등 적극적인 움직임을 보이고 있다.
현재 금보연은 △음성매체를 통한 계좌정보 분할 입력 방식 △음성매체를 통한 최종승인 방식 △보안 키패드를 통한 계좌번호 입력 방식 △보안이미지를 통한 최종승인 방식 등 6가지 방안을 고려하고 있으며 이에 대한 테스트베드를 마련해 실제 운용환경에서의 보안적합성 테스트를 거쳐 방안을 최종 확정할 계획이다.
금보연 성재모 보안기술팀장은 "현재 검토하고 있는 방안 외에 은행 및 보안업계 의견들을 광범위하게 수렴, 추가적인 방안 마련에도 노력할 계획" 이라면서 "여러 방안들에 대한 보안성 및 적용가능성 등을 다각적으로 검토한 뒤 이 달 말까지 확정된 방안을 은행들에 제시, 연말까지 구축을 완료하도록 할 계획" 이라고 말했다.
