인터넷 뱅킹과 개인정보 유출

                                                                백건우

지금은 다시 잠잠해졌지만, 얼마 전에 언론을 통해 한바탕 회오리가 일었던 사건이 있었다.

수 백만 명이 인터넷을 통해 은행, 주식 등 금융 거래를 하고 있는데, 개인 정보가 생각보다 쉽게 유출될 수 있다는 내용으로 한 보안 회사가 구체적인 방법을 공개했기 때문이다.

언론에서는 크게 보도를 했고, 사용자들, 특히 컴퓨터 보안에 이해가 없는 초, 중급의 사용자들은 막연한 불안으로 인터넷 금융 거래를 계속 해야 하는지 근심만 커졌다.

그때 보도 이후, 개인의 컴퓨터 환경은 특별히 달라진 것이 없다. 보안이 더 강화되지도 않았고, 클라이언트 보안을 위한 획기적인 솔루션이 개발되거나 판매되고 있지도 않다. 그럼에도 한때 떠들썩했던 ‘심각한 보안 위협’의 증상은 보이지 않는다. 왜 그럴까?

수많은 사람들이 자신도 모르게 개인정보를 유출 당하고 있어도 모르고 있거나, ‘심각한 보안 위협’이 실제로는 그렇게 ‘심각’하지 않다는 증거이거나 둘 중에 하나이다. 만일, 개인정보를 유출 당하고 있어도 모르고 있다면 그것은 진짜 ‘심각’한 문제가 아닐 수 없다. 언제, 어떤 형태로 대형 금융 사고가 발생할지 모르기 때문이다. 하지만 극히 미미한 사실을 실제보다 확대해서 과장한 것이라면 사용자의 불안과 의구심만 키워서 인터넷 금융 거래를 불신하게 만드는 요인으로 작용했을 것이다. 어떤 것이라도 정보화 사회에 바람직하지 않다.

위험에 대비한 적절한 경고와 대비는 분명 중요하지만, 실제 이상으로 과장된 경고는 인터넷 기업과 사용자 모두에게 불신과 혼란만 일으키게 되기 때문이다.

앞서 개인정보가 쉽게 유출되기 쉽다고 했던 내용에 대해 보다 자세하게 짚어보자.

이미 수 백만 명이 사용하고 있는 인터넷 금융 거래에서는 반드시 사용자를 인증할 수 있는 인증키를 사용자의 컴퓨터에 설치하게 된다. 현재까지는 대부분 각 은행에서 개별적으로 취급하는 사설 인증키를 설치하게 되는데, 사설 인증키는 각 은행에서 안전성을 보증하지만 어디까지나 ‘사설’임을 분명히 하고 있다.

즉, 공인된 인증키는 아니라는 것이다. 공인된 인증키가 아니라서 특별히 문제가 되는 것은 아니다. 각 은행은 정보보안 회사와 함께 은행 거래를 할 때, 안전하게 거래하기 위한 조건으로 사용자의 컴퓨터에서부터 은행의 인증 서버에 이르기까지 주고받는 데이터를 암호화해서 주고받게 된다.

사용자는 자신의 컴퓨터에 인증키를 설치하고 인터넷 뱅킹을 할 때마다 다시 자신이 설정한 암호를 입력해야만 정상적인 거래를 시작할 수 있다. 또한 이체 비밀번호, 별도의 카드 난수표 등 해커가 접근할 수 없도록 나름대로 철저한 대비를 하고 있다. 따라서 대부분의 인터넷 금융 거래는 믿을 수 있다.

하지만, 사용자의 컴퓨터에서 입력한 데이터가 인터넷을 통해 은행의 서버에 가는 동안은 암호화되지만 정작 사용자의 컴퓨터에서 입력하는 그 순간은 암호화가 되지 않고 있다는 것에 문제를 제기한 것이다.

필자가 앞선 원고(‘누가 내 ID와 패스워드를 훔쳐갔지?’ ‘해킹 툴이 당신을 노린다!’)에서 이미 언급했듯이, 이런 문제제기는 이미 오래 전부터 있었던 것이고, 해킹 툴의 등장도 오래 전 일이다.

사용자가 자신의 컴퓨터에 해킹 툴이 있는지 확인하는 방법은 비교적 간단하다. 대부분의 해킹 툴은 바이러스 백신만으로도 찾아내서 삭제할 수 있으며 백오리피스나 딮보와 같이 잘 알려진 해킹 툴은 백신만 정기적으로 업데이트하고 실시간 감시 기능만 설치해 놓으면 크게 걱정하지 않아도 된다.

사용자 정보 유출의 심각성을 지적한 내용은, 해킹 툴이 사용자의 화면을 그대로 가져올 수 있고, 사용자가 입력하는 키의 내용을 그대로 훔칠 수 있다는 것이었다. 해킹 툴 딮보에서 보여주는 내용을 그대로 보여준 것이다.

앞서 설명한 것처럼, 백오리피스 계열의 해킹 툴은 정기적인 검사와 실시간 검사 기능만 사용해도 자신의 컴퓨터에 해킹 툴이 설치되어 있는지 확인할 수 있다.

따라서 사용자들의 주의를 환기시키기 위한 의도는 좋았지만, 자칫 뒷북을 친 꼴이 되고 만 것이다. 다만, 최근들어 코드 레드와 코드 레드 변형 바이러스가 급속하게 퍼지면서 백오리피스를 내장한 코드 레드 변형 때문에 개인 정보 유출 문제가 다시 심각하게 등장하고 있다는 것이 새로운 이슈가 되고 있다.

얼마 전까지도 예측하기 어려웠던 코드 레드와 코드 레드 변형 바이러스는 단순한 바이러스로 분류할 수 없는, 아주 복잡한 형태의 악성코드이다. 코드 레드와 코드 레드를 검색하고 바이러스의 기능을 치료하는 것도 현재의 바이러스 백신만으로는 어려운 부분이 많다.

우리 연구소에서는 코드 레드에 감염된 서버를 스캐닝해서 서버의 감염을 찾아내고 코드 레드의 움직임을 실시간으로 탐지하며, 감염된 레지스트리를 복구하는 솔루션을 무료로 제공하고 있다.

이와 같은 솔루션은 ‘백신’이라고 부르지 않는다. 왜냐하면, 보안 회사에서 사용하는 IP 스캐닝 기법과 실시간 탐지, 복구 기술이 하나로 어우러졌기 때문이다. 현재 세계적인 백신 회사들도 우리 연구소에서 제공하는 코드 레드 솔루션과 같은 통합 보안 솔루션을 제공하지 못하고 있다.

이제 해킹 툴과 바이러스의 경계는 사라지고 있다. 코드 레드와 그 변형들이 바이러스의 개념을 다시 쓰게 만들고 있고, 바이러스 백신의 위상도 바꾸고 있는 것이다.

바이러스 속에 해킹 툴이 존재하고 해킹 툴 속에 바이러스가 존재하게 되면서 백신도 네트워크, 서버의 보안 상태와 해킹 툴의 존재, 바이러스의 감염 여부를 한꺼번에 진단, 치료해야 하는 포괄성을 가져야 한다.

이제 개인용 컴퓨터에서도 단순한 백신의 기능이 아닌, 네트워크를 조사하고 서버에서 클라이언트로 침입하려는 해킹 툴의 공격을 방어하는 적극적인 보안 프로그램이 필요하게 된 것이다.