- "눈 뜨고 당한다" 진화하는 사이버 사기 -


어제도 잘 사용했던 인터넷 뱅킹인데 오늘 보낸 돈만 다른 사람 계좌로 들어갔다?진행하는 동안엔 아무런 낌새도 없었다?계좌 이체 결과를 알리는 팝업에 엉뚱한 사람 이름과 계좌가 나온다?분명히 돈을 보냈는데 못 받았다고 연락이 온다?경찰에게서 당신은 신종 메모리 해킹 범죄에 당한 피해자라고 통보받았다?

2013년 9월과 10월에 걸쳐 최소 81명에게 일어난 일이다. 전통적인 사기수법인 보이스 피싱은 피해자에게 스스로 알아서 돈을 입금하도록 유도했다. 스미싱, 작년부터 나왔다는 메모리 해킹 등 이후에는 결제에 필요한 금융정보, 비밀번호나 보안카드 번호 등을 빼내는 방식이었다. 그런데 이번엔 아무것도 빼내지 않는다. 해커는 가만히 있는데 피해자가 알아서 돈을 보내주는 식이다.

경찰의 표현대로라면 "해커는 악성코드 유포한 뒤 팔짱끼고 앉아 있으면 피해자들이 알아서 이체할 때 대포통장으로 자동으로 이체하게 되는 그런 구조"다.중국에 거주하는 조선족인 31살 최모 씨는 동료들과 함께 2013년 9월 한국에 들어왔다. 대구와 부산, 경기도 부천, 연천, 경남 창원 등을 돌아다니며 pc방과 모텔에서 자신이 만든 악성코드를 테스트했다. 테스트는 모두 79차례 이뤄졌다. 그 사이 범행에 필요한 대포통장도 수집했다. 감염된 pc에서 계좌 이체를 진행하면 미리 설정해놓은 대포통장으로 수취 계좌가 바뀌도록 했는데 잘 되는지 확인하는 테스트였다. 문제 없이 작동하는 걸 확인한 뒤 최씨 일당은 범행을 시작했다.

먼저 악성코드를 다량 유포했다. 아마도 이메일에 심어놓고 뿌리거나, 무료 다운로드 사이트에 관심을 가질 만한 동영상이나 여러 프로그램 등을 올려놓고 다운받거나 업데이트 하면 pc에 자동 설치되도록 했던 것 같다. 이렇게 유포한 악성코드는 여러 피해자 컴퓨터의 메모리를 감염시켰다.

이 악성코드가 활동하는 건 인터넷 뱅킹을 할 때, 그것도 마지막 결정적인 순간이다. 여느 때처럼 이체를 클릭하고 수취인 계좌번호를 입력하고 이름을 확인하고 공인인증서 암호를 넣고 다시 보안카드 번호를 찾아 넣고... 이때까지도 잠잠했다. 그러다 "이체하시겠습니까?" 라는 물음이 나와 "예"를 누르는 순간, 악성코드는 수취인 계좌를 바꿔치기했다. 인터넷 뱅킹 화면에 툭 튀어나는 건 물론 아니고 컴퓨터 안에서 이뤄지기에 피해자는 전혀 알지 못했다.

다만 이체가 완료된 뒤 최종 이체 결과 팝업이 뜰 때는 뒤바뀐 계좌번호와 이름이 나왔다. 이것까지는 바꾸지 않았던 것이다.대부분 피해자는 몰랐다. 일부 피해자는 마지막 팝업이 뜬 걸 보고 깜짝 놀라거나 이상하게 생각해 은행에 문의했지만 이미 대포통장으로 빠져나간 걸 되돌릴 수는 없었다.

일단 경찰이 확인한 범행은 9월 27일부터 10월 14일 사이에 이뤄졌다. 확인된 피해자는 81명, 피해금액은 9천만 원이다. 악성코드 자체는 훨씬 많은 사람에게 유포됐을 것이고 이런 악성코드에 대한 피해자 신고는 더 일찍부터 이뤄졌다. 그래서 경찰과 보안업체가 2013년 9월 당시 신종 사기주의보를 발령하기도 했다. 확인되지 않은 피해자가 더 많이 있을 가능성, 피해금액이 더 커질 가능성이 있다.

경찰은 악성코드 테스트를 함께 한 조선족과 한국인 2명을 체포해 구속시켰고 대포통장을 마련하고 명의를 빌려준 공범 5명을 입건했다. 악성코드를 만들어 유포한 이른바 총책 최씨와 조선족 동료 2명은 범행 뒤 중국으로 돌아갔기에 잡지 못했다. 최씨는 게임작업장을 운영하고 있다는 전언이다. 중국과 공조 수사해 최씨 등을 잡겠다고 한다.사건은 이렇게 일단락됐지만 충격적이다. 일전 스피어 피싱에 대해서는 노리고 사기치려고 하면 막을 수 없겠다는 생각이 들었지만 어떤 경로인지도 모르게 내 pc가 감염됐다면(경로를 안다고 해도, 다른 경로 바꿔버리면 그만 아닌가) 무슨 수로 막을 수 있을까. 이번 범행에 사용된 악성코드는 이미 백신프로그램 업데이트 등을 통해 차단됐다고 하지만 이를 우회할 수 있는 변종을 만든다면 백신이 듣지 않을 가능성이 크다.

또 마지막 팝업을 조작하지 않은 게 그저 범인들의 단순한 착오일까. 빠르게 변하는 인터넷 트렌드처럼 사이버범죄와 보안의 최신 경향도 빠르게 바뀐다. 새로운 악성코드를 개발해서 잠깐 그야말로 시험삼아 해킹해보고는 털어버린 것 아닐까. 다음에는 더 치밀하고 확실하게 사기치기 위해서. 악성코드의 위력에 비해 마무리가 허술한데다 의외로 피해자와 피해금액이(확인된 것만이나) 적다는 점에서 드는 생각이다.

조선족 최씨는 어떤 자인가. 영화나 드라마, 만화에서만 보던 천재 해커일까. 중국에는 이런 천재 해커가 수백, 수천, 수만 명 있는 게 아닐까.

어쨌든 기본적인 개인정보 보안수칙을 되새기는 것 말고는 현재로선 별다른 방법이 없다.

다음은 경찰이 제시한 인터넷 뱅킹 사용자에 대한 주의사항과 안랩에서 권장하는 개인pc와 스마트폰 정보보안수칙이다.

*경찰-백신프로그램을 최신 상태로 업데이트, 실시간 감시상태 유지-출처 불분명한 파일이나 이메일은 열람하지 말고 즉시 삭제 및 영화, 음란물 등 무료 다운로드 사이트 이용 자제-pc, 이메일에 공인인증서, 보안카드 사진 및 비밀번호 저장 금지

*안랩1. 컴퓨터(PC) 보안 3계명- 윈도우, 다양한 브라우저(IE, 크롬, 사파리, 파이어폭스 등), 오피스 프로그램 등의 최신보안패치를 유지한다.- 최신버젼의 백신프로그램 활용과 실시간 감시체제로 운영한다.- 출처가 불분명하거나 내가 원하지 않는 이상한 파일이나 링크는 보지말고 삭제하는 것이 좋다.

2. 스마트폰 보안 3계명- 앱은 공식스토어를 이용하되 사용후기나 평판을 참고하여 보안상 위험이 없는지 확인하고 다운 받는다.- 최신버젼의 백신프로그램 다운 및 실시간 감시- 중요한 개인정보(사이트 ID/비밀번호)와 금융정보(계좌번호/비밀번호/보안카드 일련번호 등)은 저장 않는다.

SBS 심영구 기자