내 정보를 낚는 피싱(Phishing)! 이렇게 대처해 보자

[카페관리자]

내 정보를 낚는 피싱(Phishing)! 이렇게 대처해 보자   

얼마 전 대형 포털 사이트의 외형과 동일한 유사 웹 페이지를 제작해 약 36만 여 명의 개인정보를 불법으로 수집했던 사건이 있었습니다. 용의자 중 한 명은 해외로 도주해 아직 체포 단계에 이르지 못했지만, 불법으로 수집한 개인 정보가 저장된 서버를 비롯해 프로그램 소스와 같은 증거물들을 이미 수사 기관이 확보해 놓은 상태라고 합니다.

여러분들께서도 언론 매체를 통해 들어보셨겠지만 이번 사건과 같은 범죄 유형을 피싱(Phishing)이라고 합니다. 인터넷 뱅킹, 전자 결제 등 인터넷에 대한 의존도가 높아짐에 따라 등장하고 있는 이 신종 사기수법은 국내에서는 흔한 범죄 유형이 아니었습니다.

지금까지 등장한 온라인 사기 수법이라면 물건을 배송하지 않고 지불된 금액만 빼돌리는 것이 대표적이었죠. 그런데 지난해부터 본격적으로 등장하기 시작한 이 피싱이라는 범죄는 보다 지능화된 방법을 동원해 사용자를 속이고 있습니다.

‘개인정보+금융정보’를 낚는 피싱

국내보다는 해외에서 더 악명을 떨치고 있는 이 피싱은 은행이나 전자상거래 기업을 사칭한 허위 웹 사이트로 접속하게 만든 뒤 사용자가 입력한 개인 정보와 금융 정보를 수집해 금전적 피해를 안기는 사기의 한 유형으로 정의됩니다.

특히 영어권 지역에서 많이 발생했던 초기 피싱 사례를 살펴보면 특정 금융 기관과 비슷한 도메인을 등록하고 메인 화면 역시 유사하게 제작한 후 사용자가 URL을 입력과정에서 발생할 수 있는 실수를 악용하거나 스팸메일을 발송해 피싱 사이트로 유도하는 방법이 있었습니다.

특히 공인인증서 등이 사용되는 국내와 달리, 해외에서는 아이디 패스워드, 카드번호 등만 알고 있다면 전자거래가 가능하기 때문에 피싱을 통해 얻데 된 정보는 곧, 금전적 가치로 이어져 피싱이 유행했던 하나의 원인이 됐습니다.

이와 달리 전자거래의 안전성이 이미 확보된 국내에서 피싱의 주요 타깃은 금융정보보다는 개인정보를 불법적으로 수집하는 방향으로 나아가고 있다는 점이 다른 점이라고 볼 수 있습니다.

스팸메일, 피싱과 결합하다

초기에는 유사 도메인을 이용해 접속자들의 실수를 유도했던 방법이 몇 년 전부터 스팸메일과 손을 잡고 변조된 스팸메일을 불특정 다수에게 전송하는 방법이 동원되고 있습니다. 물론 발송된 메일 내용에는 ‘당신의 개인정보가 도용됐습니다’라는 식으로 사용자의 불안감을 조성하는 문구가 삽입되거나 ‘100% 당첨 이벤트’라는 식으로 사용자의 공짜 심리를 이용하는 방법이 동원되고 있죠.

문제는 이런 피싱 메일 상에 나타난 링크 주소가 겉보기에는 이용자가 원하는 링크 주소와 동일해 보이지만 실제로 클릭해 접속되는 웹 사이트는 피싱 사이트로 연결되게 만들어 놓은 것이죠. 많은 분들이 아시겠지만 이 같은 방법은 html 소스를 수정하는 것만으로 간단하게 만들 수 있습니다.

이렇게 피싱 사이트로 연결된 사용자는 특별한 의심 없이 사이트가 요구하는 아이디, 패스워드를 입력하게 되고, 입력된 정보는 해킹 프로그램을 통해 해커의 서버에 저장됩니다. 워낙 절차가 간단하고, 짧은 시간 내에 이뤄지기 때문에 피싱 사이트라는 의심이 들기도 전에 사용자의 개인정보는 유유히(?) 해커의 손에 넘어가게 됩니다.

앞서 언급했던 포털 사이트를 사칭한 피싱 사건에서는 사용자를 안심시키기 위해 로그인 정보를 입력하게 한 후 웹 사이트 회원가입 여부를 확인하는 신용정보 사이트로 이동시키는 치밀함까지 보여주는 등 최근의 피싱 사이트는 정교함과 치밀함을 동시에 지니고 있죠.

더욱 무서울 것 같은 파밍(Pharming)

이뿐만이 아닙니다. 최근에는 보다 발전된 피싱 방법이 등장하고 있는데, 그 대표적인 것이 파밍(Pharming)입니다. 파밍은 피싱처럼 사용자의 실수로 접속을 유도하는 것에서 한발 더 나아가, 사용자가 가고자 하는 사이트의 접속을 원천적으로 차단한 후 피싱 사이트로 가게끔 만드는 방법입니다. 물론 사용자의 컴퓨터에 악성 프로그램을 심어 놓아야 한다는 전제가 깔려 있습니다만, 특정 웹 사이트 접속시 쿼리에 응답하지 않도록 한 후 해커가 원하는 사이트로 이동하게 만드는 이 방법에 일단 걸려들기만 한다면 아무리 똑똑한 사용자라고 해도 피싱의 마수에 빠져들 수 밖에 없다고 전문가들은 말하고 있습니다.

서버나 네트워크 보안뿐만 아니라 일반 PC 보호에도 많은 신경을 써야 하는 이유가 여기에 있죠.

기업•기관 관계자들의 공통 고민거리, 피싱 이렇게 새롭게 등장하고 있는 피싱이나 파밍을 근절하기 위해 KISA나 경찰청 사이버테러대응센터와 같은 관련 기관 관계자들이 다양한 대책을 내놓고 있습니다. 그럼에도 불구하고 피싱 역시 엄연히 사기의 한 유형이라는 점 때문에 예측하기 어렵고, 또 개개인을 상대로 접근하고 있어 예방과 대책 마련에 어려움이 따르는 것은 사실입니다.

피싱의 문제는 비단 정부 관계자들의 고민만으로 그치지 않습니다. 기업 신뢰도가 생명인 금융 기관이나 수많은 회원을 보유하고 있는 포털 사이트들은 피싱 사이트에 의한 간접적 피해자가 되고 있어 이 피싱 예방에 대한 자구책 수립에 골머리를 앓고 있습니다.

실제로 지난해 국내 모 은행 웹 사이트를 모방한 피싱 사건으로 인해 일부 고객들에게 금전적 피해가 발생하자 해당 은행은 난처할 수밖에 없었다고 합니다. 해당 기관의 시스템이나 네트워크에는 보안 조치를 해 놓았음에도 불구하고, 은행 고객이 제3자에게 사기를 당함으로써 마치 해당 기관의 책임인 것처럼 보였기 때문이죠. 물론 당시 대외 신뢰도에도 영향을 미쳤던 것으로 알려져 그 심각성은 매우 크다고 볼 수 있습니다.

은행 기관 같은 경우에는 대외 신뢰도가 매우 중요하기 때문에 피싱은 큰 고민거리가 아닐 수 없습니다.

웹 사이트 이용자는 어떻게 해야 할까요?

이처럼 교묘한 방법이 동원되는 피싱에 대응하기 위해 인터넷 사용자들 개개인의 관심이 필요한 시점입니다. 사용자가 피싱 사이트로 현혹되지 않기 위해서는 우선, 메일이나 게시판으로 연결된 사이트를 통해 접속한 웹 페이지에서 개인정보를 입력하는 것은 피해야 합니다.

개인정보를 입력할 때에는 항상 자신이 입력한 사이트나 포털 사이트의 검색엔진을 거쳐 가는 것이 피싱을 예방하는 좋은 습관입니다. 많은 사용자가 URL을 꼼꼼하게 살펴보질 않기 때문에 링크 주소만으로는 자신이 원하는 사이트로 접속하는지 판단하기 어려워 가급적 모든 사이트로의 접속은 직접 입력하거나 자신만의 즐겨찾기를 이용하는 식의 습관을 익혀야겠죠.

또 이메일을 통한 인터넷 이벤트 참여 등도 사용자가 주의해야 할 부분입니다. 최근 다양한 상품 이벤트 관련 메일이 범람하고 있지만, 이들 메일 중에는 피싱 사이트로 연결되는 메일도 적지 않아, 항상 의심해 볼 필요가 있습니다. 물론 백신 프로그램을 설치해 PC를 항상 쾌적한 환경으로 만드는 것은 기본이겠죠.

피싱예방, 어떻게 해야 할까요?

메일이나 게시판에 연결된 사이트에 개인정보 입력 하지 않기 :

직접 주소를 입력해 접속하거나 검색 엔진을 이용해 접속 무분별한 인터넷 이벤트 참여는 개인정보 유출의 지름길 : 신뢰할 수 있는 기관, 행사의 출처가 확실한 이벤트에만 참여

숫자•영문 조합의 비밀번호를 사이트마다 서로 다르게 설정하고 주기적으로 변경 :

은행이나 전자상거래 사이트는 일반 웹사이트의 비밀번호와 다르게 생성하기

안전한 PC 사용 습관 들이기 : 윈도우 자동보안 업데이트, 백신 프로그램 사용, 신뢰할 수 있는 사이트에서만 파일을 다운로드

의심되면 관련 기관으로 신고하기

한국정보보호진흥원 http://www.kisa.or.kr

상담 전화 118

신고메일 phishing@certcc.or.kr

사이버테러대응센터 http://www.ctrc.go.kr

상담 전화 (02)3939-112

국가사이버안전센터 http://www.ncsc.go.kr

상담 전화 (02)3434-0462

보다 자세한 내용은 보호나라 홈페이지 http://www.boho.or.kr ‘피싱 식별 및 대응 요령’에서 보실 수 있습니다.