금융권 공인인증서 461개 해커 손아귀에 넘어갔다

◆역대 최대 규모…금융결제원 금융사고 막고자 일괄 폐기

전문 해커들이 파밍(pharming) 수법으로 은행 고객 컴퓨터에 담긴 개인 보안정보를 역대 최대 규모로 빼내간 사실이 밝혀졌다.

금융결제원은 이런 사실을 확인하고서 유출된 공인인증서를 일괄 폐기했다. 금융결제원이 직접 나서서 공인인증서 수백 개를 없앤 것은 처음이다.

11일 금융권에 따르면 금융결제원은 최근 파밍 사이트를 감시하다가 동일한 악성코드로 수집된 공인인증서 목록 뭉치를 발견했다. 금융결제원은 금융기관의 전산망을 연결하여 각종 결제업무를 처리하는 곳이다.

파밍이란 가짜 사이트를 미리 개설하고 피해자 컴퓨터를 악성코드에 감염시켜 진짜 사이트 주소를 넣어도 가짜 사이트에 접속하도록 해 개인정보를 빼내는 한층 진화된 피싱 수법이다.

신한ㆍ국민ㆍ우리ㆍ하나ㆍ씨티ㆍ농협ㆍ스탠다드차타드(SC) 등 주요 시중은행에서 발급한 공인인증서가 많이 유출됐다. 외환은행 등에서도 10여 개가 빠져나갔다.

금융결제원은 유출된 공인인증서 700개 가운데 유효기간 종료 등 사용이 제한된 인증서를 제외한 461개를 일괄 폐기했다. 그리고 지난 4일 이 사실을 해당 은행 정보기술(IT) 관련 부서에 통보했다.

금융결제원이 피싱이나 파밍 사이트에서 인증서들을 스스로 적발해 한꺼번에 수백 개를 없앤 것은 이번이 처음이다.

경찰이 금융정보 유출 사실을 알려주면 개별 인증서를 폐기하거나 문제의 인증서 발급 요청이 들어오면 거부한 적은 있었다.

2010년 경찰의 요청으로 인증서를 일괄폐기했지만, 이때는 36개에 불과했다.

금융결제원이 손수 폐기라는 초강수를 둔 것은 공인인증서 특성상 시간을 지체하다가 대형 금융사고가 터질 수 있다는 우려에서다.

인터넷뱅킹 악성코드를 활용한 공인인증서 유출 사례는 최근 급증하고 있다. IT 보안업계는 피싱으로 유출된 공인인증서가 수만 건에 달할 것으로 추정한다. 공인인증서가 빠져나가면 인터넷 뱅킹으로 예금을 찾아가는 범행에 속수무책이다.

카드사들도 금융사기 공포에 떨고 있다.

신한카드와 삼성카드[029780] 등 주요 카드사 고객 100여명은 지난해 말 안심클릭 결제창을 모방한 피싱 사고로 5천여만원의 피해를 봤다.

안심클릭 결제 시 카드번호 입력 후 새로운 팝업창이 떠 신용카드 번호와 유효기간을 추가로 입력하도록 하는 수법에 당했다. 입력이 끝나면 해당 정보가 고스란히 빠져나가 게임사이트 등 결제에 악용됐다.

최근에는 금감원 피싱 사이트(www.fscpo.com)가 금감원 홈페이지(www.fss.or.kr)를 그대로 베껴 소비자 피해가 생겼다.

새마을금고와 SC은행은 자사 고객센터로 속인 피싱사이트 안내 문자가 고객에게 대량 발송돼 긴급 주의보를 발령하기도 했다.

한편 은행들은 해당 고객에게 전화로 개인정보 유출 사실을 긴급 공지하고 재발급이 제한됐으니 가까운 인증서 발급 기관의 영업점을 방문해 발급 제한을 해제하라고 요청했다.

그러나 하마터면 대형 금융사기가 저질러질 뻔했는데도 일반인에게 알리지 않아 은행권의 보안 불감증이 심각하다는 지적을 받는다.

씨티은행만 홈페이지에서 해당 사실을 공지했을 뿐이다.

씨티은행 관계자는 "금융 당국에서 피싱 관련 공인인증서 폐기 조치와 관련해 공지하라는 지시를 받았다"면서 "홈페이지에 공지하고서 해당 고객에게는 문자메시지와 이메일로 관련 내용을 통보했다"고 전했다.

금융감독원도 공인인증서 대량 유출 사실을 이달 초 확인했지만 금융결제원이 이미 은행에 관련 사실을 통보하고서 사흘이 지난 7일에야 피해 고객에게 인증서 폐기 사실을 알릴 것을 은행권에 주문했다.

금감원 측은 "인증서가 유출된 고객을 대상으로 인증서 폐기 사실을 알리고 비밀번호 변경, 보안카드 교체를 할 것을 은행에 지도했다"며 "관련 악성코드를 삭제ㆍ치료할 수 있도록 인터넷뱅킹용 백신 프로그램 업데이트도 하도록 했다"고 밝혔다.

금감원은 현재까지 유출된 공인인증서를 활용한 현금인출 등 금융사고는 보고된 바 없다고 전했다.