금융사기예방 ‘이중 인증’도 사이트 위변조 수법엔 무방비
전 금융권이 전자금융사기예방서비스를 전면 시행했다. 금융거래시 본인인증을 강화해 해킹 등의 피해를 줄이는 것이 목적인데, 본인인증 강화를 위해 사용되는 `이중인증(투채널 인증)'도 파밍 공격엔 약점이 있어 보완이 필요하다는 전문가들의 지적이 나온다.
금융권은 26일 전자금융사기예방서비스를 전면 시행했다. 전자금융사기 예방서비스는 사기범이 해킹 등을 통해 이용자 정보를 불법적으로 획득한 후 금융자산을 훔쳐 가는 피해를 예방하기 위해 도입됐다.
하지만 본인인증을 강화하기 위한 투채널 인증이 정보탈취에 따른 해킹에는 효율적일지 몰라도 은행사이트 자체를 위변조해 그대로 해커의 계좌로 이체해버리는 신종 파밍이 기승을 부리면서 투채널 인증의 약점이 노출되고 있다. 일반 이용자들은 변조된 사이트를 사실상 구분할 수 없기 때문에 투채널 인증만으로는 한계가 있다는 것이다.
보안 전문가는 "정부나 업계가 제도적으로 보호방안을 내 놓으면 불과 하루 이틀만에 이의 또다른 취약점을 노린 신종 해킹 기법이 하루에도 수없이 쏟아져 나온다"면서 "투채널 인증 역시 완벽한 사이트의 투명성을 보호하기 힘든 것이 사실인데, 해커들은 이를 훨씬 잘 알고 있다"고 경고했다.
`인터넷뱅킹 하려면 알아서 조심해라'는 식으로 금융권이 이용자의 행위만 구속하는 태도에도 문제점이 있다는 지적이다.
실제로 전자금융사기예방서비스 시행 직전 국회에서 열린 한 토론회에서 유윤상 한국은행연합회 부장은 "금융회사의 서버가 해킹을 당해 피해가 발생했다면 당연히 은행책임이지만 고객 PC의 해킹으로 발생한 사고는 고객책임"이라는 발언을 했다. 그는 특히 "이용자가 최소한의 노력을 하지 않는다면 피해에 대한 책임을 면하기는 어렵다"고 말해 금융권의 전자사기에 대한 고압적인 시각을 대변했다.
이에 대해 김경환 법률사무소 민후 대표변호사는 "전자금융사기예방서비스나 오는 11월 시행되는 전자금융거래법 개정안 등은 이용자가 스스로의 편의성을 제약하면서 불편함을 감수해야 하는 내용이 대부분"이라면서 "더구나 은행들은 금융사기가 발생했을 때 이용자가 이같은 조치를 소홀히 하지 않았는지를 살펴 오히려 책임을 전가하려는 `면피용'으로 전락할 수 있어 문제"라고 꼬집었다.
업계는 투채널 인증을 보완할 그래픽 인증, 영상, 음성서비스 인증까지 다양한 보완책이 있지만 이를 도입하는 것은 전적으로 금융기관의 투자의지가 있어야만 가능하다고 입을 모은다.
그래픽인증 솔루션을 내놓고 있는 김민수 디멘터 대표는 "이용자의 책임만 강조할 것이 아니라 금융권에서도 사용자의 PC를 훔쳐보다가 정보를 빼 가는 스니핑, 스크린캡쳐, 키로거, 숄더 서핑 등의 다양한 해킹을 효과적으로 예방할 수 있도록 적극적인 투자를 해야 한다"고 강조했다.
강은성기자 esther@
금융권은 26일 전자금융사기예방서비스를 전면 시행했다. 전자금융사기 예방서비스는 사기범이 해킹 등을 통해 이용자 정보를 불법적으로 획득한 후 금융자산을 훔쳐 가는 피해를 예방하기 위해 도입됐다.
하지만 본인인증을 강화하기 위한 투채널 인증이 정보탈취에 따른 해킹에는 효율적일지 몰라도 은행사이트 자체를 위변조해 그대로 해커의 계좌로 이체해버리는 신종 파밍이 기승을 부리면서 투채널 인증의 약점이 노출되고 있다. 일반 이용자들은 변조된 사이트를 사실상 구분할 수 없기 때문에 투채널 인증만으로는 한계가 있다는 것이다.
보안 전문가는 "정부나 업계가 제도적으로 보호방안을 내 놓으면 불과 하루 이틀만에 이의 또다른 취약점을 노린 신종 해킹 기법이 하루에도 수없이 쏟아져 나온다"면서 "투채널 인증 역시 완벽한 사이트의 투명성을 보호하기 힘든 것이 사실인데, 해커들은 이를 훨씬 잘 알고 있다"고 경고했다.
`인터넷뱅킹 하려면 알아서 조심해라'는 식으로 금융권이 이용자의 행위만 구속하는 태도에도 문제점이 있다는 지적이다.
실제로 전자금융사기예방서비스 시행 직전 국회에서 열린 한 토론회에서 유윤상 한국은행연합회 부장은 "금융회사의 서버가 해킹을 당해 피해가 발생했다면 당연히 은행책임이지만 고객 PC의 해킹으로 발생한 사고는 고객책임"이라는 발언을 했다. 그는 특히 "이용자가 최소한의 노력을 하지 않는다면 피해에 대한 책임을 면하기는 어렵다"고 말해 금융권의 전자사기에 대한 고압적인 시각을 대변했다.
이에 대해 김경환 법률사무소 민후 대표변호사는 "전자금융사기예방서비스나 오는 11월 시행되는 전자금융거래법 개정안 등은 이용자가 스스로의 편의성을 제약하면서 불편함을 감수해야 하는 내용이 대부분"이라면서 "더구나 은행들은 금융사기가 발생했을 때 이용자가 이같은 조치를 소홀히 하지 않았는지를 살펴 오히려 책임을 전가하려는 `면피용'으로 전락할 수 있어 문제"라고 꼬집었다.
업계는 투채널 인증을 보완할 그래픽 인증, 영상, 음성서비스 인증까지 다양한 보완책이 있지만 이를 도입하는 것은 전적으로 금융기관의 투자의지가 있어야만 가능하다고 입을 모은다.
그래픽인증 솔루션을 내놓고 있는 김민수 디멘터 대표는 "이용자의 책임만 강조할 것이 아니라 금융권에서도 사용자의 PC를 훔쳐보다가 정보를 빼 가는 스니핑, 스크린캡쳐, 키로거, 숄더 서핑 등의 다양한 해킹을 효과적으로 예방할 수 있도록 적극적인 투자를 해야 한다"고 강조했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
