스크랩 진짜같은 은행사이트 `파밍`.. 4개월간 20억 사기당해

[현나경(관리국장)]

진짜같은 은행사이트 '파밍'.. 4개월간 20억 사기당해

보이스피싱(파밍) 합동 경보를 발령

비금융권 전자금융사기 예방서비스 확대하기로
금융사, 온라인을 통해 보안승급 등을 요구하지 않아

장모씨(여, 40대 초반 주부)는 지난 1월16일 컴퓨터로 다음(포털사이트) 검색을 통해 거래은행에 접속했다.

인터넷뱅킹에 필요한 정보를 입력하는 팝업창이 나타나 주민등록번호, 계좌번호, 계좌비밀번호, 보안카드번호 전체 등를 입력했다.

4일 후 은행 영업이 끝난 저녁 8시경, 장씨의 계좌에서 2천만원이 인출되어 버렸다.
장모씨는 은행을 가장한 피싱사이트로 접속이 돼 사기를 당한 것이다.

▲파밍에 의해 유도된 피싱사이트

장 씨와 같이 피싱사이트 때문에 발생한 피해는, 지난 해 11월부터 4달간 약 323건에 달한다.
그 액수는 무려 20억 6천만원이다.

피해 건수는 갈수록 증가하는 추세다.

이에 금융위원회는 경찰청-금융감독원과 함께 보이스피싱(파밍) 합동 경보를 발령하고, 전자금융사기 예방서비스를 3월12일부터 증권․상호저축은행(비은행권) 등에도 확대하기로 했다.

[파밍]은 이용자PC를 악성코드에 감염시켜 이용자가 인터넷 ‘즐겨찾기’ 또는 포털사이트 검색을 통해 금융회사 등의 정상 홈페이지 주소로 접속하여도, 피싱사이트로 유도해 돈을 빼가는 수법을 말한다.

▲파밍에 의한 금융거래정보 편취 수법

2011년부터 본격적으로 발생하기 시작한 피싱사이트가 2012년 들어 대폭 증가했다.

특히 보안승급 등을 이유로 주민번호, 핸드폰번호, 계좌번호, 비밀번호, 보안카드번호 등 입력을 유도한다.

'전자금융사기 예방서비스'는 거래 금융기관 인터넷뱅킹 홈페이지에서 개인 고객이라면 누구나 신청할 수 있다.

신청 후 공인인증서를 재발급 받거나,
타행 발급 공인인증서를 등록하거나,
인터넷뱅킹을 통해 300만원 이상(1일 누적기준) 이체하는 경우,

① 휴대폰문자(SMS) 인증,
② 2채널 인증(인터넷뱅킹 이용 중인 PC채널 외에 유선전화 등 다른 채널을 통해 인증),
③ 영업점 방문(1회용 비밀번호를 발급받아 인증),

등의 방법으로 본인인증을 한번 더 거치게 된다.

"전자금융사기 예방서비스를 신청하면, 피싱-파밍 등으로 금융거래정보가 유출되더라도 온라인거래를 위한 공인인증서를 획득할 수 없다.
300만원 이상 자금이체 시 추가확인 절차를 통해, 사기로 인한 무단 인출 피해를 예방할 수 있을 것이다."

- 금융위 관계자

<파밍 피해 예방법>

개인정보를 절대 알려주지 말 것

검찰, 금감원, 은행, 카드사 등은 어떠한 경우에도 전화나 문자메시지를 통해 개인정보와 금융거래정보를 알려달라거나 특정 인터넷사이트에 접속하도록 유도하여 개인정보 및 금융거래정보 등의 입력을 요구하지 않는다.

보안카드번호 요구에 유의할 것

보안카드 일련번호와 보안카드 코드번호 ’전체’를 알려달라고 하거나 인터넷 사이트에 입력하도록 요구하면 보이스피싱이므로 절대로 응하여서는 안된다.

타인이 전화나 문자메시지 등으로 보안카드 코드번호 일부를 요구하는 경우도 일절 응대하면 안된다.

금융회사의 보안강화 서비스에 반드시 가입할 것

전자금융사기 예방서비스에 가입해 타인에 의한 공인인증서 무단 재발급을 제한한다.

금융회사별로 제공하는 보안서비스를 적극적으로 가입하는 것이 좋다.

출처가 불분명한 파일 다운로드나 이메일 클릭 금지

출처가 불분명한 파일과 이메일 등은 악성코드가 포함되어있어 파밍 등에 노출될 가능성이 높으므로 다운로드 자제 등 이용에 각별한 주의가 필요하다.

금융회사는 온라인을 통해 보안승급 등을 요구하지 않음

금융회사는 문자메시지나 이메일 등으로 보안승급 등의 조치를 요구하지 않으므로, 일절 응대하지 말고 금융회사 등에 확인해야 한다.

인터넷 즐겨찾기나 포털사이트 검색을 통해 금융회사 홈페이지에 접속하였더라도 보안승급 등을 이유로 금융거래정보 입력을 요구하는 경우는 파밍이므로 각별히 주의해야 한다.

피해발생 시 경찰청(112) 또는 금융회사에 즉시 지급정지 요청

피해를 당한 경우 즉시 경찰청 112센터나 금융회사 콜센터에 신고해 사기범 계좌의 지급정지를 요청해야 한다.

내 돈 빼가는 '파밍' 막으려면...

은행, 파밍 예방 보안서비스 제공

파밍을 통한 금융사기가 금융권 최대의 보안 이슈로 떠올랐다. 금융감독원, 금융위원회 등이 주의경보를 내렸다. 은행들도 대응에 나섰다. 제공하는 보안 서비스를 홍보하며 이용자들의 사기 방지 노력을 당부했다.

7일 금융업계에 따르면 은행들이 제공하는 보안 서비스만 잘 이용해도 일정 수준의 파밍을 통한 인터넷뱅킹 금융사기는 예방할 수 있다. KB국민, 농협, 우리, 신한, 외환은행 등 대부분 은행들은 파밍을 예방할 수 있는 인증시스템을 도입해 서비스를 제공하고 있다.

그래픽인증, 나만의 주소서비스, 개인화 이미지 등 다양한 방법이 동원됐다. 나쁜 의도로 IT기술을 악용하는 두뇌들의 노력을 전부 막을 수는 없겠지만 보안 서비스를 통한 최소한의 예방은 필요하다는 지적이다.

파밍은 금융기관 등의 공식 사이트와 유사한 위성 사이트를 통해 불법으로 개인정보를 획득한다. 이 정보를 이용해 돈을 빼내는 수법이다. 금융위원회에 따르면 지난 4개월 동안 파밍 사기를 통한 피해규모는 20억원에 이른다. 금융위원회, 금융감독원, 경찰청 등은 합동으로 주의보를 발령했다.

▲ 지난 4개월 동안 20억원이 파밍 사기로 빠져나갔다.

은행이 제공하는 보안시스템은 일부는 이용자가 선택해 이용할 수 있다. 보안도 중요하지만 편의성도 중요한 인터넷뱅킹이어서 사용자가 선택적으로 방지시스템을 사용할 수 있도록 했다.
은행권 관계자는 “인증절차가 복잡하다고 피하기보다는 서비스를 이용해 금융사기를 막아야 한다”고 당부했다.
■주소바 색깔 녹색인지 확인해야
파밍을 예방하기 위해서는 우선 안전한 사이트인가를 확인해야 한다. 은행들은 위성사이트진위 여부를 가리기 위한 인증서비스를 실시한다. KB, 우리, 신한, 외환 등 다수의 은행이 그린 인증을 서비스한다.
금융기관의 경우 사이트가 제대로 연결되면 주소를 표시하는 바의 일부분이 녹색으로 표시된다. 위장 사이트가 아닌 인증받은 사이트라면 주소 부분이 녹색으로 바뀌고 자물쇠 모양도 표시된다. 사용자들은 사이트의 주소 부분을 확인해 현재 자신이 접속한 사이트가 올바로 연결됐는지 확인할 필요가 있다.

▲ 은행은 주소바를 녹색으로 표시하는 그린인증 서비스를 실시한다.

녹색 인증을 확인하는 것 이외에도 은행들은 다양한 보안 서비스를 제공한다. 개인화 이미지, 그래픽 인증, 나만의 주소 서비스 등이 대표적이다. 서비스는 이용자의 신청 과정을 거쳐 제공된다.

은행권 관계자는 “인증 과정을 여러 단계 거쳐야 하기 때문에 편의성은 떨어지지만 자신의 자산을 지키기 위해서는 적극 활용할 필요가 있다”고 조언했다.
KB국민은행이 택한 방법은 개인화 이미지 서비스다. 본인만이 알 수 있는 특정한 이미지를 사이트에 넣어 진위 여부를 가리는 방식이다. 파밍사기를 위한 위장 사이트가 알 수 없는 개인화 이미지를 통해 이용자가 제대로 사이트에 접속하는지을 알 수 있는 보안장치다. KB국민은행의 개인화 이미지 서비스는 뱅킹관리서비스의 피싱방지 개인화 이미지 카테고리에서 지정해 이용할 수 있다.

▲ 외환은행 금융사기 예방 공지 팝업창

외환은행도 KB국민은행과 유사한 개인화 이미지를 제공한다. 외환은행은 통화 전문 은행으로 출범했다는 특성을 살려 이미지를 해외 통화, 환율 등으로 표시된다. 로그인할 때 등록한 통화, 환율 등의 이미지가 있는지를 확인해 안전한 사이트인지 아닌지를 알 수 있다.
■그래픽 인증 서비스 등 다양한 보안장치 활용

우리은행은 최근 그래픽 인증 서비스를 도입했다. 개인 정보 이외의 인증을 한단계 더 거쳐 보안 기능을 강화했다.
그래픽 인증은 그림의 순서를 설정하고 이를 기억하는 방식이다. 홀키와 3개의 볼키로 구분된 아이콘을 기억했다가 아이디, 비밀번호 로그인 후의 그래픽 인증을 거쳐야 원하는 금융 서비스를 이용하도록 했다. 그래픽인증 사용은 신청한 이용자에 한해 적용된다. 신한은행도 같은 방식의 서비스를 적용한다.

▲ 우리은행 그래픽 인증 서비스

농협은 ‘나만의 주소 서비스’를 제공한다. 농협 주소는 nonghyup.com이지만 이용자가 접속할 수 있는 다른 주소를 지정할 수 있다. 파밍에 이용되는 주소 입력을 피하기 위한 대응책이다.

은행권 관계자는 “보안은 최소한의 장치일 뿐 해커가 하려고 노력하면 피해는 발생할 수 있다”면서도 “할 수 있는 서비스들은 최대한 하려고 하는 만큼 사용자들도 이를 활용해 자산을 지키려는 노력을 했으면 하는 바람이다”고 말했다.
은행들은 이외에도 적극적인 홍보활동을 통해 이용자들의 금융사기 피해 방지에 나섰다. 사이트에 팝업창을 띄우고 문자 메시지, 이메일, 영업점 등을 통해 파밍에 주의할 것을 당부했다. 특히 은행들은 보안카드의 숫자를 모두 요청하는 일이 없다며 절대 번호 전부를 적는 일이 없도록 하라고 공지 중이다.