피싱과 해킹 기술 결합… 특정 타겟층 겨냥한 '스피어 피싱'도 등장
국내 금융기관의 홈페이지를 위장해 개인정보를 빼낸 고교생 피싱 사기범이 국내에서 첫 검거되면서 우리나라도 더 이상 피싱사고 안전지대가 될 수 없음이 확인됐다.

피싱(phising)이란 유명 금융기관 등의 명의로 불특정 다수의 일반인에게 은행이나 유명 쇼핑몰 사이트의 로고 등을 포함한 이메일을 보낸 뒤 로고 등을 클릭하면, 해커가 작성한 가짜 웹사이트로 연결시켜 고객의 아이디, 비밀번호, 계좌번호, 신용카드번호, 주민번호 등 신상 정보를 빼내는 해킹기법.

해마다 피싱사기 피해건수가 급증하고 있는 다른 여러 국가들과는 달리, 인터넷뱅킹시 공인인증서를 사용하는 우리나라의 경우, 피싱사기는 '남의 나라 일' 정도로 치부해왔던 게 사실이다. 단순한 피싱 수법으로는 공인인증서 비밀번호의 유출이 불가능한 것으로 인식돼왔기 때문.

◆피싱 해킹, '위력도 곱절'=그러나 이번 국내 첫 피싱 범행에 사용된 기법의 경우, 단순한 피싱 기법에 해킹 기법을 결합시킨 지능화된 수법이 동원됐다.

가짜 웹사이트에 유인된 피해자들에게 '실명인증 프로그램을 설치해야한다'고 속여 원격관리 프로그램을 내려 받게 한 뒤 또다시 해킹 프로그램을 설치해 이용자의 키보드 입력정보를 빼냈던 것.

단순 피싱의 경우, 피해자가 가짜 웹사이트에 직접 입력한 금융정보만 1회성으로 노출되는 반면, 이번 사건의 경우, 이용자 컴퓨터에 설치된 해킹 프로그램을 통해 금융정보를 포함한 PC의 모든 정보를 수시로 유출될 수 있었던 것으로 경찰 조사결과 밝혀졌다.

물론 이번 피싱사기의 주범은 단순히 PC이용자들의 게임 이용자 정보만 노렸으나, 맘만 먹으면 거의 모든 금융거래정보까지 유출될 수 있었던 것으로 드러났다.

더욱이 국내 은행사이트들이 이제껏 복제나 위조를 방지할 수 있는 아무런 대비책이 없는 것으로 밝혀져, 유사범죄가 이어질 가능성도 적지않은 것으로 지적되고 있다.

이제는 피싱 사기가 해킹 기술과 결합되는 등 빠르게 지능화되면서 PC이용자들을 더욱 혼란에 빠뜨리고 있는 것.

◆스피어 피싱, 당신을 정조준한다=실제, 비즈니스위크 등 외신들에 따르면, 미국, 유럽 등지에서는 최근 불특정 다수를 대상으로 한 기존 피싱수법과 달리, 확실한 타겟대상을 겨냥한 '스피어 피싱(Spear Phising)' 피해가 속출하고 있는 것으로 전해졌다.

기존 피싱이 이베이, 옥션 등 상거래 업체와 은행 등 금융기관을 가장하면서 불특정 다수를 대상으로 했던 반면, '스피어 피싱'이라는 이름이 붙여진 이 사기수법은 회사의 내부 구성원 등 보다 확실한 타겟을 목표로 한다.

스피어 피싱은 수신자의 회사 인사팀이나 전산팀에서 온 것으로 위장돼 전달된다.
일반적으로 낯선 송신자로부터 온 메일의 경우, 대부분의 PC이용자들이 수신자가 스팸, 또는 바이러스로 인식하고 열어보지 않는 경우가 많았지만, 자신이 속한 조직을 사칭하거나 업무와 관련된 메시지를 담은 경우, 무심코 관련 정보를 입력하기 쉽다는 점을 악용한 것.

'전산팀 보안 담당', '인사팀 급여담당' 등을 사칭한 메일은 직원들에게 이름과 인트라넷 비밀번호 등을 입력하게 하고, 이렇게 되면 해커들은 해당 기업 또는 조직의 네트워크 접근 정보를 확보하게 돼 그 기업의 각종 데이터를 빼내갈 수 있게 된다.

또 스피어 피싱 메일에 숨겨진 마이톱 웜 등이 개인 컴퓨터를 감염시켜 개인정보를 빼내가는 악성 프로그램 등을 설치할 수도 있다.

이런 스피어 피싱은 기존의 피싱 사기가 주로 금융거래상의 비밀번호 등을 훔치는 등 금전적인 목적에서 이뤄지는 반면, 경쟁사 정보 유출, 경쟁자 활용 제한을 위한 자료 확보 등 정치적, 사회적인 동기로 확대된다는 것이 특징이다.

이 경우, 전통적인 피싱보다 피해는 더욱 크다. 과거 업무 관련된 파일을 첨부했다는 메시지를 담은 웜이 순식간에 퍼져나갔던 것과 같은 이치다. 이와 관련, 영국의 이메일 보안업체 메시지랩은 이런 스피어 피싱이 올 1월에 56건에서 6월에는 61만2408건으로 크게 늘어났다고 발표했다.

안철수연구소 시큐리티대응센터 강은성 상무는 "최근 발견된 국내 피싱 수법이 전통적인 피싱 수법에 해킹 수법을 가미했듯, 향후 다양한 사회공학적 기법을 가미한 피싱 공격이 예상된다"며 "PC 이용자들은 컴퓨터를 통해 자신의 개인 정보를 입력할 경우에는 수신자가 자신이 보내고자 하는 사람이 정확한지 반드시 확인하는 습관을 길러야 한다"고 강조했다.