최근 국민은행 인터넷뱅킹 사용자 PC가 해킹 당해 총 7000만원의 돈이 여러 고객의 계좌에서 인출된 것으로 추정되는 사고가 발생하면서, 전자금융거래 사용자 보호를 위한 보안 강화책을 빠르게 적용해야 한다는 목소리가 높아지고 있다.

금융권과 보안업계는 이번 사고가 취약한 사용자 PC관리 문제와 중요성을 보여주는 사건이긴 하지만 최근 금융감독원이 권고하고 있는 인터넷뱅킹 사용자 공인인증서와 비밀번호, 보안카드 번호 등 금융정보를 막을 수 있는 보안 강화 수단인 E2E(엔드투엔드) 암호화, HSM(하드웨어보안모듈) 보안토큰 등의 시급한 적용이 필요하다는 시사점을 던져준 사례로 파악하고 있다.

국민은행은 이번 사고가 인터넷뱅킹 고객의 PC가 인터넷 포털사이트 등을 통해 유포된 악성코드에 감염, 해킹 사고가 발생된 것으로 추정하고 있는 상태다.

현재 알려진 것에 따르면, PC에 설치되면 외부에서 마음대로 원격조종할 수 있는 멀드롭 형태의 바이러스를 심은 뒤에 일정기간 동안 취약한 보안카드 정보 등 예금 인출에 필요한 정보를 수집해 중국 IP주소의 사이버 범죄자들이 저지른 것이다.

보안 전문가들은 “사용자가 PC의 보안패치를 했거나 공인인증서를 이동식 저장매체에 별도로 보관했다면 막을 수 있었을 것이며, 나아가 키보드 입력구간에서부터 서버까지 전 구간을 암호화하는 기술을 적용했거나 HSM 보안토큰·이중채널(Two Channel)인증 서비스를 제공했다면 이용자 정보유출과 현금 인출은 현실화되지는 않았을 것”이라고 지적하고 있다. 

◆키보드 보안 기술 무력화 첫 사례=이번 사건은 2005년 5월 외환은행의 인터넷뱅킹 사용자 PC 해킹으로 발생된 최초의 현금인출 사건을 계기로 적용된 키보드 해킹 보안프로그램이 무력화될 수 있다는 점을 보여준 온라인 금융보안 사고가 될 가능성이 높다.

지난해 8월 인터넷뱅킹 사용자의 PC 메모리 해킹/변조 위험성이 지적되면서 금융감독원은 연내 E2E 암호화나 이중채널(Two Channel)인증 등 이를 막을 수 있는 대책을 연내 적용하라는 지침을 금융기관에 발송했다.

하지만 현재까지 국민은행을 비롯한 많은 은행과 증권사가 이를 구현하지 못한 상태. 금융권에서는 현재 키보드 보안 제품 교체나 업그레이드, 모듈 추가 등의 방식으로 E2E 암호화를 구현하기 위한 검토를 진행 중이다.

E2E 암호화는 인터넷뱅킹 사용자가 거래를 하기 위해 키보드 입력 정보를 서버로 전달하는 전 구간에서 공인인증서 사용에 이용되는 PKI(공개키기반구조) 환경을 유지한 상태에서 키보드 보안 솔루션과 연계해 금융정보를 암호화해 보호한다.

메모리 변조를 막기 위한 대안으로 금감원은 기존의 키보드 보안은 E2E의 비밀번호 값만을 적용하던 것을 계좌번호, 보안카드번호 등 모든 중요한 금융거래 정보까지 보안을 확장할 것을 요구했다.

이 기술은 현재 일회용비밀번호(OTP)생성기로 만드는 일회용비밀번호 입력 정보 유출까지도 막을 수 있는 대안으로 지목되고 있다.

보안업계 관계자는 “국민은행이 만일 E2E 암호화를 적용했다면 키보드 보안 제품이 제대로 동작하고 있지 않은 상태에서는 인터넷뱅킹 로그인 자체가 될 수 없고 개인정보가 암호화돼 사고를 막을 수 있었을 것”이라며, “정보가 그대로 전송되는 상태에서는 지능적이고 복합적인 해킹에 피해를 볼 수 있는 위험성이 존재한다”고 강조했다.

한편, 이중채널 인증은 인터넷과 전화와 같이 서로 다른 통신경로를 이용해 전자금융거래자 본인을 인증하는 방식이다.

현재 국민은행은 이중채널 인증 방식은 금융권 최초로 적용하기 위해 준비중인 상태이며, 키보드 보안 솔루션을 교체해 E2E 암호화 적용을 추진하고 있는 것으로 알려졌다. 그동안 국민은행은 이체거래 등을 양방향으로 확인할 수 있는 ‘사전 전화승인서비스’를 추가하는 방안을 추진해 왔으며, 이미 키보드에 계좌번호나 비밀번호 숫자를 입력하지 않고 화상키보드나 마우스를 이용해 문자열을 누르고 암호화하는 방식을 적용한 바 있다.  

◆HSM 방식 공인인증서 이용 확대해야=이 사고가 알려지면서 E2E 암호화 확장이나 이중채널 인증 적용 외에도 개인이 공인인증서를 보다 안전하게 사용, 관리할 수 있는 보안토큰을 이용할 수 있는 환경이 구축돼야 한다는 중요성이 대두되고 있다. 

인터넷뱅킹 이용자가 공인인증서를 PC에 저장하지 않았다면 PC에 악성코드나 해킹프로그램을 심어 인터넷뱅킹 거래를 가능하게 하는 공인인증서가 밖으로 유출될 위험성도 제거될 수 있기 때문이다.

공인인증서를 안전하게 사용하기 위한 현실적인 대안으로 OTP생성기, 이중채널 인증과 함께 보안등급 1등급 이체거래자에 사용이 의무화돼 있는 것이 바로 HSM 보안토큰이다.

HSM 보안토큰은 내부에 보안 칩을 탑재해 암호화 키를 생성·관리하는 휴대형 저장장치로, 악성코드 감염 위험이나 공인인증서 해킹에 의한 유출에서도 안전한 수단이다.

한국정보보호진흥원(KISA)은 은행과 증권사 등 각 금융기관이 제공하는 HSM보안토큰을 모든 전자금융거래에서 이용할 수 있는 표준규격을 만들어 현재 제공하는 보안토큰과 공인인증서 소프트웨어를 대상으로 구현적합성 평가를 실시하고 있다.

그 결과 현재 위노블의 ‘이토큰(eToken)’, 세이프넷코리아의 ‘아이키(iKey)’, 엔엘에스의 ‘마거HSM’ 3종이 구현적합성 평가를 통과해 인증서를 받은 상태다.

지난해와 올해까지 OTP통합인증서비스에 공을 들였던 금융기관은 현재 공인인증서비스에서 HSM을 사용할 수 있도록 시스템을 구현하는데 소극적인 상태다. 농협에서만 HSM 보안토큰 서비스를 제공하고 있을 뿐이다.

보안업계 관계자는 “전자금융거래자를 대상으로 한 공격이 복합적이고 지능적으로 나타나고 있기 때문에 다방면의 보안조치를 취해야 하지만, 금융기관들이 차세대시스템 구축 등 다른 여러 상황 때문에 전자금융거래 사용자 보안분야의 추가 투자가 밀리는 것이 사실”이라고 말했다.

또한 “현재 금융감독당국이 권고하는 E2E 암호화나 HSM 보안토큰 서비스 등을 제공할 것이라면 빠르게 적용할 필요가 있다”고 강조했다.

<이유지 기자> yjlee@ddaily.co.kr