[연중기획-따뜻한 디지털 세상]<2부>보안은 생존이다- 위협받는 인터넷 뱅킹

"인터넷뱅킹 과연 안전한가"

인터넷뱅킹 이용고객 2300만명. 하루 인터넷뱅킹 이용건수 1040만건. 세계 최고수준을 자랑해왔던 국내 전자금융거래시스템이 최근들어 잇단 사이버 범죄로 맥없이 뚫리고 있다.

지난 6월 인터넷뱅킹 이용자의 개인정보를 빼내 5000만원을 인출한 사상 초유의 인터넷뱅킹 해킹사건이 발생한데 이어, 텔레뱅킹 시스템마저 전화도청 방식으로 어이없게 뚫리는 사건이 발생했다. 올 상반기에 집계된 텔레뱅킹 사고만 벌써 5건. 더욱이 올 상반기엔 모 은행 웹사이트를 가장해 고객들의 개인정보를 빼낸 '피싱(Phising)' 유사범죄까지 등장, 전자금융 거래 전반에 걸쳐 불안감을 고조시키고 있다.

인터넷뱅킹 과연 안전한가? 이같은 물음에 보안 전문가들은 물론 시중은행 담당자들조차 "100% 안전한 전자거래는 없다"고 잘라 말한다. 상당수 보안전문가들이 인터넷뱅킹에 지금까지 가입하지 않고 있는 것도 그래서다. 무엇보다 고객 스스로 자신의 재산을 지키려는 노력들이 반드시 필요하다고 보안 전문가들은 입을 모으고 있다.

◆해커 '뒷문'을 노린다= "지난 6월 인터넷뱅킹 해킹 사건은 그야말로 빙산의 일각에 불과합니다." 금융권 보안담당자의 말이다. 사실, 인터넷뱅킹 시스템의 허점을 이용한 금융범죄는 예전부터 비일비재했다는 게 금융권의 공공연한 비밀이다. 그는 "그나마 이번 사건의 경우엔 아는 사람 계좌로 이체해 범인 추적이 가능했지만, 적지않은 사건들이 사실 규명조차 안되고 있는 실정"이라고 토로했다.

물론 고난이도의 해킹기술로 뚫는다는 것은 극히 어렵다. 사실, 인터넷뱅킹을 비롯한 국내 전자금융거래 시스템의 보안체계는 사실 어느나라보다 잘 갖춰져 있다는 게 전문가들의 지적이다.

외부에서 은행의 주전산시스템을 뚫기 위해선 적어도 3~4중의 네트워크 보안망을 거쳐야된다.

여기에 실시간 백업망 및 보안감사체계까지 갖추고 있어, 이를 기술적으로 해킹한다는 것은 '이론은 가능하나, 현실적으로 어렵다'는 전문가들의 설명이다. 은행과 고객 사이의 인터넷뱅킹 시스템 역시 아이디와 패스워드, 공인인증서, 보안카드 등 다중의 보안장치를 거쳐야만 거래가 가능하다.

그러나 실제 터지고 있는 인터넷 금융사고들은 의외로 단순한 수법들이라는 점에서 아이러니컬하다. 지난 6월 인터넷뱅킹시스템을 해킹한 범인은 다중 보안체계가 갖춰진 뱅킹시스템 대신 보안 상태가 허술한 고객 PC를 노렸다.

초보적인 해킹 툴만으로 금융거래에 필요한 모든 고객 정보를 빼냈던 것. 그나마 최후의 보루라 할 수 있는 공인인증서 역시 '고객 편의성' 위주로 짜여진 '공인인증 제도'의 맹점 때문에 쉽게 위조할 수 있었다.

금융권의 수비진들이 네트워크 침입에 대비한 고난이도 해킹기술에 대한 대응에 초점을 맞추고 있는 동안, 사이버 범죄자들은 이같이 금융권 보안체계의 허점들을 교묘히 파고들고 있는 것이다.

인터넷거래의 최대단점인 비대면(非對面) 상황을 이용한 각종 사기수법도 횡횡하고 있다. 경기도에 사는 P모(45)씨는 무료일간지에 광고문의를 보고 대출문의를 하자 상담자가 "모 은행에 2년짜리 정기예금을 들면 대출이 가능하다"고 말해, 관련 서류와 함께 인터넷뱅킹 비밀번호까지 모두 알려줬다.

그러나 대출업자는 인터넷뱅킹으로 P씨의 계좌에서 200만원을 인출한 뒤 잠적했다. 실제 올 상반기 금융감독원에 신고접수된 대출사기 협의 중 28.1%가 인터넷뱅킹 비밀번호 등 피해자로부터 알아내 인터넷 계좌이체를 통해 인출한 것으로 집계됐다.

이들 계좌가 이체된 대부분의 통장은 인터넷에서 몇만원선에서 구할 수 있는 대포통장으로, 추적자체가 힘들고, 명의 대여에 대한 뚜렷한 법적 처벌 기준이 없다는 점에서 인터넷뱅킹 보안사고의 가장 큰 위협요인으로 대두되고 있는 실정이다.

지난 7월에는 인터넷뱅킹을 이용하면, 예금주가 개설한 모든 계좌번호 및 거래내역을 파악할 수 있다는 점을 악용해, 위조된 신분증으로 인터넷 뱅킹을 신청한 뒤 피해자의 예전 적금 계좌를 담보로 수억원대의 대출을 받은 사기 사건도 발생했다.

◆내 통장은 '내가 지킨다'= 인터넷뱅킹 시스템 자체도 안심해선 안된다. 전자금융거래 보안사고들이 빗발치면서 금융감독원과 시중은행들은 그동안 고객들이 선택적으로 적용했던 키보드보안제품 및 PC 방화벽 사용을 전면 의무화하는 한편, 문제시 됐던 보안카드 보안성과 공인인증서 재발급 과정도 보다 까다롭게 바꿨다. 만일을 대비해 300만원 이하의 소액이체시에도 보안카드를 적용하도록 했다.

그렇다고 100% 안전하다고 보장할 수 없다. 실제, 인터넷뱅킹 해킹사고 당시 키보드 보안제품을 설치했다하더라도, 이를 우회할 수 있는 해킹방법들이 뒤늦게 발견되고 있다. 웹브라우저 상에서 공인인증서에 암호화된 키보드 입력값을 전송할때 암호값이 일시적으로 풀려버리는 취약점 등이 대표적이다. 인터넷뱅킹 사고가 터진 뒤 2개월이 지나서야 시중은행들이 키보드 보안업체 및 공인인증서 솔루션업체들이 이 문제 해결에 나섰다.

PC방화벽이나 안티 바이러스 제품들도 완벽한 철통 보안을 책임져주진 않는다. 개별 은행들이 접속하는 고객들의 다양한 PC 환경(운영체제 및 성능)에 맞춰 일일이 특화된 보안 프로그램을 깔아준다는 것 자체도 불가능하다. 이에 따라 고객들 스스로 절대 인터넷뱅킹이 안전하지 않다는 사실을 자각하고, 적어도 전자금융 거래시만큼은 정보유출에 보다 신경을 써야한다고 보안 전문가들은 강조하고 있다.

금융감독원 김인석 IT감독실 팀장은 "오프라인에선 평소 통장계좌, 도장, 비밀번호를 철저히 관리하는 사람도 온라인에선 방심하는 경우가 많다"며 "은행지점에 직접 찾아가 거래할 때처럼만 신중해도 보다 안전한 인터넷 뱅킹이 될 것"이라고 당부했다.

그동안 가입자 유치에 혈안이 돼 '편리성'만을 홍보해왔던 금융기관들도 이제는 고객들에게 인터넷뱅킹의 위험성을 알리고, 고객들 스스로 보안 마인드를 가질 수 있도록 해줘야한다는 게 보안 전문가들의 충고다.