IT보안업체 '트렌드마이크로' 분석

조직책·카우보이·통역사·제작자

역할 철저히 나눠 서로 신원 몰라

안랩 뚫는 해커 '일당 176만원' 모집

1시간 9600건 문자 쏘는 장비도

'인터뷰''세월호'동영상에 악성코드

SMS에 딸린 웹주소 클릭 말아야

직장인 A씨는 난데없이 날아온 신용카드 대금 청구서에 눈앞이 노래졌다. 자신이 만들지도 않은 ‘앱카드’로 수백만원이 결제된 것이다. 앱카드는 신용카드·체크카드처럼 사용할 수 있는 스마트폰 애플리케이션이다. A씨는 “‘세월호 사고 영상 보기’라는 문자메시지(SMS)에 포함된 인터넷 주소를 무심코 눌렀는데, 이후 악성코드가 스마트폰에 설치되면서 공인인증서가 빼돌려진 것 같다”고 말했다.

이는 서울경찰청 사이버범죄수사대가 최근 적발한 신종 모바일 금융사기 피해 사례다. 경찰에 따르면 중국에 있는 중국동포 윤모(30)씨 등은 ‘세월호 사고 영상 보기’ ‘등기 부재 연락 바랍니다’ 등의 제목으로 악성코드가 담긴 문자메시지를 국내 불특정 다수에게 보냈다. 이후 악성코드에 감염된 피해자의 스마트폰에서 개인정보·금융정보를 전송받고, 이들의 명의로 앱카드를 발급받아 인터넷 쇼핑몰에서 모바일 상품권을 구매했다. 복잡한 확인 절차 없이 공인인증서와 인증 문자만 있으면 앱카드를 발급받을 수 있다는 점을 악용한 것이다.


　한국내에 있는 김모(44)씨 등은 구입한 모바일 상품권을 인터넷 중고장터 등에서 정상가보다 15% 저렴한 가격에 팔아 현금화했다. 이후 위안화로 환전해 중국으로 송금했다. 경찰은 이런 수법으로 국내 108명의 피해자로부터 총 1억3400만원을 가로챈 김씨 등 3명을 붙잡고, 윤씨 등 2명을 중국 경찰과 함께 추적 중이다.


　이들처럼 중국과 한국에서 역할을 분담해 모바일 금융사기 행각을 벌이는 한·중 연합 범죄조직의 실체가 구체적으로 드러났다. 세계적인 정보기술(IT) 보안업체 트렌드마이크로가 발표한 ‘연변 모바일 갱. 한국 사용자를 타깃으로 한 모바일 위협’이라는 보고서를 통해서다. 이에 따르면 한국을 노린 모바일 금융사기단은 주로 중국 지린성 연변에서 활동하고 있어 ‘연변 모바일 갱’이라는 이름이 붙었다. 이들은 2013년부터 지난해까지 4000명 이상의 한국인에게 수백만 달러의 피해를 입힌 것으로 파악됐다.

　한국트렌드마이크로의 최영삼 침해대응센터실장은 “학교를 중퇴하고 직업이 없는 많은 연변 젊은이들이 조직에 가담하고 있다”며 “해킹 기술을 배우기 위해 공짜로 일을 해주고, 범죄수법을 익힌 뒤에는 독자적인 해킹 조직을 구성하기도 한다”고 설명했다. 그는 이어 “연변의 거의 모든 해커 조직이 소스코드를 서로 공유하면서 변종 악성코드를 쉽게 만들어 내고 있다”고 덧붙였다.


　연변 모바일 갱에는 조직책·통역사·카우보이·제작자로 각자 맡은 역할이 명확하게 나뉘어 있다. 해킹범죄를 기획하는 ‘조직책’은 한국으로 SMS를 보내고 조직원을 모으며, 조직원 간 메시지를 교환한다. 조직책을 통하지 않고는 다른 조직원과 연락하는 것이 불가능하다. 따라서 카우보이·제작자 등 다른 조직원은 서로의 존재에 대해서만 알고 있을 뿐 다른 정보를 알지 못한다. ‘통역사’는 한국에 보낼 SMS 문구를 만들고, 피해자에게서 가로챈 개인정보·금융정보 등을 번역해 분석한다.


　‘제작자’는 프로그래밍 기술을 갖춘 해커들이다. 새로운 악성코드와 한국에서 많이 사용하는 백신을 우회하는 기술 등을 개발한다. 조직책은 중국의 온라인 채팅앱인 ‘QQ’ 등에 ‘안랩 안티바이러스 회피를 위한 기술 파트너 구함. 하루 1만 위안(약 176만원) 이상 지급’ ‘한국 SMS를 가로채는 모바일 악성코드를 개발할 수 있는 분은 연락하시오’ 등의 글을 올려 공개적으로 제작자를 모집한다. 한 조직에 여러 명의 제작자가 활동한다.


　한국에 머무르는 ‘카우보이’는 피해자의 돈을 현금화해 중국에 보내는 역할을 맡는다. 경찰의 추적을 받기 쉽고, 신분 노출 위험이 큰 만큼 수입이 가장 짭짤하다. 성공수당은 조직이 버는 돈의 40% 이상으로 알려져 있다. 특히 이들은 제3자의 명의를 빌린 대포통장(일명 ‘프리즈 카드’)을 이용해 돈을 세탁하는데, 프리즈 카드는 중국에서 한국 돈 약 80만원에 판매되고 있다.


　트렌드마이크로가 펴낸 보고서의 내용은 경찰이 파악하고 있는 정보와 대부분 일치한다. 지금까지 국내에 피해를 준 각종 모바일 금융사기단은 이런 형태를 갖추고 조직적으로 범죄를 저지르고 있다는 게 경찰의 분석이다. 이에 경찰은 중국 관계당국과의 공조수사를 강화하고 있다.


　연변 모바일 갱의 해킹 기술은 수준급이다. 이들은 한 시간에 9600건의 SMS를 보내는 특수 장비를 사용한다. 지휘 통제 서버를 각기 다른 국가에 두고, 다양한 통신사를 활용하면서 경찰의 수사망을 피한다. 이들이 만든 가짜 은행 앱은 겉보기만으로는 진짜와 구분하기 힘들다. 일단 설치되면 백그라운드(사용자가 앱을 실행시키지 않아도 스마트폰에서 작동하는 상태)에서 사용자 몰래 개인정보를 수집해 조직책에게 넘긴다. 이미 설치된 정상 앱을 다른 악성코드 앱으로 바꾸기도 한다. 최근 김정은 국방위원장 암살을 소재로 한 영화 ‘더 인터뷰’ 동영상 파일에 심어진 악성코드나 경찰청 등을 사칭한 가짜앱도 이들이 만든 것으로 추정된다.


　하지만 연변 모바일 갱이 만든 악성코드는 구글플레이나 애플 앱스토어 같은 정식 앱장터에는 등록이 불가능하다. 악성코드는 SMS나 다른 악성코드에 의해 전파되는 만큼 사용자가 주의하면 얼마든지 피해를 예방할 수 있다는 얘기다. 경찰청 최준영 사이버수사기획팀장은 “피해를 막기 위해서는 SMS에 첨부된 인터넷 주소는 클릭하지 말고, 개인정보를 함부로 입력해선 안 된다”며 “사이버캅·폰키퍼 등 공공기관에서 무료로 배포하는 앱을 설치하는 게 예방에 도움이 된다”고 조언했다.

중앙일보