1-1. 혹시 내 주민번호도.." 개인정보 보호 `구멍'

국민 절반 개인정보 유출 추정..관련법률도 허술
"어? 내 전화번호를 어떻게 알고.."이름, 휴대전화번호, 주민등록번호 등 반드시 보호 받아야 할 개인정보가 인터넷에서 무방비로 거래되는 것으로 속속 밝혀지면서 개인정보 보호에 대한 목소리가 높아지고 있다.

유출된 개인정보는 인터넷에서 누구나 싼 값에 구매할 수 있어 최근 사이버 공간을 오염시키는 `주범''으로 지목받는 스팸메일이나 문자메시지를 전문으로 보내는 업자에게 넘겨지거나 범죄에 악용되고 있어 심각성을 더하고 있다.

◆개인정보 무차별 유통 = 서울경찰청 사이버범죄수사대는 14일 이동통신 가입자나 보험 가입자의 이름, 주소, 주민등록번호 등 개인정보를 빼내 매매한 피의자 15명을 검거, 3명을 구속했다.

이들이 거래한 개인정보는 무려 637만건. 전체인구의 8분의 1에 해당하는 어마어마한 수의 개인정보가 인터넷에서 유통된 셈이다.

개인정보를 인터넷으로 구매한 사람은 텔레마케팅 업체부터 성인사이트 광고업체, 온라인게임 계정을 여러 개 만들어 현금화할 수 있는 `사이버머니''를 전문적으로 모으려는 네티즌 등 다양했다.

따라서 자신도 모르는 사이트나 업체에서 이름까지 정확히 명시해 보내는 문자메시지나 스팸메일, 상품판매 전화는 대부분 이처럼 인터넷에서 `고객''의 명단을 확보한 전문업자가 보내는 것이라고 해도 과언이 아닌 셈이다.

때로는 유출된 개인정보가 범죄에 악용되기도 해 심각성을 더하고 있다.

경찰청은 9일 모 이동통신사의 고객정보를 빼내 휴대전화 복제업자에게 넘겨준 혐의로 조모(33)씨 등 3명을 검거했으며 지난달 9일에도 인터넷에서 개인정보를 산 뒤 휴대전화를 복제한 손모(28)씨를 구속했다.

지난 달 초에는 제일은행 모 지점의 대출담당 직원이 사채업자로부터 향응 등을 제공받고, 고객 400여명의 금융정보를 넘겨줘 사채업자들이 불법 대출을 받는데 일조하는 사건이 발생했다.

이어 무허가 신용정보업체가 유명 신용정보업체 관계사로부터 신용조회 코드를 제공받아 1만 여명의 신용정보를 조회한 사건이 적발됐으며, 1천200여명의 휴대폰 개인정보가 유출돼 `복제 휴대폰'' 1천 여대가 만들어지기도 했다.

경찰은 인터넷에 2천 여만명의 개인정보가 유통되고 있는 것으로 추산하고 있다.

경찰은 "인터넷에서 유통되는 개인정보를 도용해 `대포폰''이나 `대포통장''을 개설해 범죄에 악용하는 사례도 증가하고 있는 만큼 개인정보 보호에 강력한 대책이 필요하다"고 지적했다.

◆개인정보 보호 대책 허술 = 개인정보 보호에 `구멍''이 숭숭 뚫리는 것은 일단처벌 규정이 불분명하고 담당 부처도 산재돼 있기 때문이다.

현행법상 다른 사람의 이름과 주민등록번호를 확보하고 있기만 하면 처벌이 힘들고 주민등록번호 가운데 생년월일과 성별을 나타내는 번호를 제외하고 나머지 번호를 지우고 판매하면 처벌을 면할 수 있다.

관련 법률 역시 `공공기관의 개인정보보호에 관한 법률''(행정자치부), `정보통신망 이용촉진 등에 관한 법률''(정보통신부), `신용정보보호 등에 관한 법률''(재정경제부) 등으로 흩어져 있어 법률의 `사각지대''가 생긴다는 지적이다.

일본의 경우 개인정보를 보호하기 위해 기본법인 `개인정보 보호법''을 제정, 내년 4월부터 시행할 예정이며 회사가 관리하는 고객의 개인정보가 유출돼 소송이 걸릴 경우를 대비하는 고객정보유출 보험까지 등장하고 있는 추세다.

개인정보를 보호하는데 소홀한 업체도 비난의 화살을 피할 수는 없다.

회원이 탈퇴하면 해당 회원의 개인정보를 모두 파기해 유출 가능성을 사전에 차단해야 하는데도 이를 없애지 않고 다른 업체에 팔아 넘기는 일까지 빈번히 일어나고 있는 실정이다.

또 이동통신사의 약관에는 `이벤트 정보안내, 설문조사 등 고객지향적인 마케팅을 수행하기 위해 활용하는 것을 동의한다''는 애매한 개인정보 이용규정이 명시돼있어 이동통신사가 이 약관을 교묘히 이용해 고객의 개인정보를 유통하고 있다.

이동통신사는 이 같은 마케팅을 직접 수행하는 것이 아니라 대부분 외부 마케팅전문업체에 의뢰하기 때문에 이 과정에서 개인정보가 새 나가는 경우도 있으며 비용이 부담된다며 보안부문에 투자를 기피하기도 한다.

개인정보가 더 유출돼 악용되는 것을 막으려면 법률의 정비와 함께 민간 업체의 고객 개인정보 보호 대책이 절실하다.
　

1-2. [당신의 주민번호가 떠돈다] 개인정보 악용범죄 백태

인터넷에 무차별적으로 노출된 실명과 주민등록번호가 악용될 경우 어떤 일이 벌어질까.

“상상할 수 있는 모든 범죄에 활용이 가능하다.”(경찰)

“(배포만 크면) 얼마든지 써먹을 수 있다.”(신분증 위조업자)

이는 평소 ‘기껏해야 이름과 주민번호 정도 갖고 무얼 하겠느냐’며 개인정보 보호에 무관심한 사회 분위기에서 무고한 피해자들이 속출할 가능성을 보여준다. 실제 생활(오프라인)에서 허술한 보안의식과 관리 등으로 노출-유출된 개인정보가 다양한 범죄 도구로 쓰이고 있다. 가공인물 A씨를 통해 현재 벌어지고 있는 개인정보 악용 실태를 경찰 단속 사례와 관련자 취재 결과를 토대로 재구성한다.

#위조 주민증이 범죄의 출발=신용불량자로 금융 거래가 막히고 사채빚까지 지고 있는 A씨는 PC방을 들락거리며 신분증 위조로 목돈을 챙길 수 있다는 업자들의 말에 솔깃해졌다. A씨의 사진이 들어간 가짜 신분증은 경찰도 감식이 어려울 정도로 감쪽같다는 것이 업자들의 얘기였다.

위조 주민증을 만드는 데 필요한 실명과 주민번호는 인터넷 카페에서 개당 20∼200원에 대량 거래되고 있어 쉽게 구할 수 있었다. 채팅과 이메일을 통해 접촉한 위조 브로커는 어렵게 구한 120만원을 쥐어주자 A씨의 사진이 박힌 가짜 신분증을 일주일 만에 건네줬다. A씨가 봐도 도저히 진짜와 구분이 가지 않을 정도로 정교했다.

#가짜 신분증 안 통하는 곳이 없다=A씨는 ‘영업’에 앞서 위조 신분증을 이용해 대포통장(타인명의 통장)을 개설하고, 연락 수단으로 쓸 대포폰(전화요금을 전가시킬 목적으로 타인의 명의를 도용해 개통한 휴대전화)을 구입했다. 활동비 마련용으로 신용카드도 3장 발급받았다. 은행과 이동통신사, 카드사 직원들은 본인 확인을 위해 A씨에게서 신분증을 건네받았지만 가입 서류에 신분증 사본을 첨부한 뒤 별 의심 없이 돌려줬다.

위조한 신분증 활용 방법은 인터넷과 생활정보지 등에 잘 나와 있었다. ‘무직자와 신용불량자 대출 가능’ ‘방문 없이 휴대전화 대출 가능’ ‘카드깡’ 등을 전문으로 한다는 업자들이 수두룩했던 것. A씨는 이들을 통해 급전과 목돈을 만질 수 있는 다양한 방법을 터득했다.

특히 대출 쪽과 관련해서는 거의 예외없이 인감증명서가 쓰인다는 점에 주목, 도용한 명의와 주민번호로 인감신고도 미리 해뒀다.

휴대전화 대출업자부터 접촉했다. 업자는 “선생님(A씨) 이름으로 새 전화기를 할부로 구입한 뒤 절반값만 주고 전화기는 우리(업자)가 갖는다”며 “신분증과 통장, 당일치 인감증명서 사본만 팩스로 보내면 즉시 가능하다”고 했다.

A씨는 가까운 동사무소에 가서 위조 주민증으로 미리 신고해둔 인감증명서를 ‘무사히’ 떼고 대포통장 사본 등을 업자에 보냈다.

업자는 반나절 만에 “12개월 할부로 60만원짜리 전화기를 구입했다”며 30만원을 A씨 통장에 입금했다. A씨가 전화기 할부대금을 걱정할 필요는 없다. 어차피 위조 주민증으로 구입한 데다가 이동통신사 가입서류에 기재한 계좌도 대포통장이었기 때문이다.

이어 A씨가 목돈 마련을 위해 손을 댄 것은 금융대출 사기. 인터넷 카페의 채팅 상대는 위조 신분증으로 주민등록 등·초본과 인감증명서만 떼주면 대출전문업자들이 알아서 각종 서류를 만들어준다고 정보를 줬다.

이와 관련, ‘강 실장’으로 통하는 서울 강남의 한 대출전문업자는 “대출액의 10∼20% 수수료면 무직자나 신용불량자 대출도 손쉽게 할 수 있다”고 전했다.

위조 신분증을 이용한 대출사기는 액수가 큰 데다 전문대출업체들의 교묘한 상술로 늘고 있는 추세다. A씨가 대출 서류를 위조한 사실이 은행 창구에서 발견된다면 거액의 대출사기극은 미수에 그치겠지만 무사 통과되면 금융사고로 이어질 수밖에 없다.

금융감독원에 따르면 2003년 1월부터 지난 8월까지 발생한 대출사기 금융사고 49건(피해액 282억여원) 중 위조 신분증에 의한 대출사기가 36건으로 73%를 차지했고, 피해액은 143억여원에 달했다.

위조 주민증으로 출발한 범죄가 인터넷을 거점으로 활개치는 각종 범죄 집단의 상거래와 맞물려 갈수록 지능화하고 있다.

1-3. [취재파일] 정보유출 피해보상은?

지난주 이동통신사 직원과 개인정보 브로커 등 15명이 총 600여만 명의 고객정보를 유출한 사건이 경찰에 적발됐다. 600여만 명이면 우리나라 전체 국민의 8분의 1에 해당한다.

이 사건이 알려진 이후 고객정보가 유출된 이통사와 금융회사, 인터넷 쇼핑몰의 책임을 따져야 한다는 목소리가 높아지고 있다. 개인정보 유출과 거래는 범죄에 악용될 소지가 높기 때문에 해당 고객이 입게될 금전적ㆍ정신적 피해를 가늠하기 어렵다.

그렇지만 이같은 대형사고가 알려진 이후 책임을 느껴야 할 해당기업들의 움직임이 너무 조용하다. 해당기업들 중 피해고객에 대한 보상을 얘기하는 곳은 찾아보기 어렵다. 하다못해 대표이사나 고객관리 담당임원이 나서 사과를 한 기업도 눈에 띄지 않는다.

반면, 이웃나라인 일본의 기업들은 우리와 사뭇 다른 모습을 보여주고 있다.

지난 2월 일본 소프트뱅크의 손정희 사장은 그룹사인 소프트뱅크BB가 운영하는 브로드밴드 서비스인 야후BB의 고객정보 유출과 관련, 기자회견을 자청해 "고객에게 폐를 끼친 데 대해 깊이 사죄하고 싶다"며 머리 숙여 사과하고, "관리체계를 더욱 강화해 이같은 일이 없도록 최선을 다하겠다"고 약속했다. 소프트뱅크는 40억엔이 넘는 비용을 들어 회원 전원에게 일일이 500엔 상당의 상품권과 사과문을 보냈다.

이 뿐만이 아니다. 일본의 대형 통신판매업체인 자파넷은 올 초 수십만 명의 고객정보 유출로 고객에게 500엔씩 보상하고 자성의 의미로 2개월간 영업을 중단했으며, 대형 편의점 로손도 56만명의 고객정보 유출사건이 일어나자 고객 보상과 함께 사장 등 고위 임원 5명의  감봉을 결정했다.

이번에 고객정보 유출로 사회적 물의를 일으킨 우리 기업들도 관리감독을 소홀히 해 고객에게 직ㆍ간접적인 피해를 준데 대한 책임을 통감하고 사과와 함께 일정한 보상을 해야 한다. 해당업체들이 이번 사건을 대수롭지 않게 여기고 어물쩍 넘어가려 한다면 고객을 무시하는 태도일 뿐아니라 제2, 제3의 고객정보 유출사건을 초래할지도 모른다. 고객의 피해에 신속하면서도 책임있게 대처하는 모습을 보여주는 것이 진정으로 고객을 위하는 기업의 태도가 아닐까 한다.

<출처 : 디지털타임스>
　

1-4. [미래포럼]주민등록번호 이대로 좋은가

지난 1960년대 이후부터 사용되어온 주민등록번호가 지금의 전자 신용사회에 과연 적합한 것인가. 원래 주민등록제도는 1962년 박정희 군사정부에서부터 시작되었다. 1968년 무장 공비 침투 사건으로 인해 국가안보론이 팽배했던 당시에 간첩이나 불순분자를 용이하게 색출하여 반공태세를 강화하기 위해서 주민등록증 소지의 의무가 주어졌다. 그러다가 1990년도에 들어와서는 주민의 거주 관계를 파악하고 인구 동태를 명확히 하여 신속한 행정 처리를 도모할 목적으로 주민등록의 전산화가 추진되었던 것이다.

　이렇게 도입된 주민등록번호가 지금에 와서는 행정과 금융은 물론 민간상거래에서도 개인을 인증할 수 있는 편리한 도구로 인식되어 이제는 돌이키기 힘들 정도로 중요한 기능을 담당하게 되었다. 그러나 주민등록번호는 개인을 식별하는 단순한 기능 측면 외에 위조 가능성, 개인정보 보호, 사용의 편의성 측면에서 재검토되어야 한다.  
 
　당초 주민등록번호 체계를 마련한 것이 반공과 관련되어 있었기 때문에 주민등록번호를 생성하는 방법은 국가적 비밀로 유지되어야 마땅하나, 이미 주민등록번호를 생성하는 프로그램이나 방법이 인터넷상에 알려져 있다. 청소년이 이를 이용해 허위로 만들어진 주민등록번호로 성인인증을 받을 수 있을 정도이니 지금의 주민등록번호는 위조 가능성 측면에서 이미 문제가 드러난 셈이다. 물론 정부는 주민등록번호 생성기를 강력하게 단속하고 있지만, 주민등록번호만을 가지면 할 수 있는 것이 워낙 많기 때문에 일부 네티즌이나 미성년자들이 익명성의 유혹을 뿌리치지 못하는 현실이다.

　대부분 대한민국 국민은 자신의 주민등록번호 중 처음 여섯 자리가 자신의 생년월일이란 것을 알고 있다. 또한, 나머지 일곱 자리 중에는 성별과 출생지역에 대한 정보가 들어있다는 것을 알고 있다. 국가적 차원에서 성차별과 지역갈등을 없애려고 애쓰고 있지만 국가가 관리하고 있는 주민등록번호가 이를 저해하는 요인의 하나라 해도 과언이 아니다. 금융거래는 물론, 입학이나 입사 지원서에도 주민등록번호를 기재하게 되어 있어 오히려 성이나 지역을 구분 지을 수 있는 수단을 제공하는 것이다.

　우리나라보다 인구가 여섯 배나 많은 미국에서는 아홉 자리의 사회안전번호를 사용하고 있다. 합법적인 취업자를 가려내고 올바르게 과세하는 것이 그 번호의 주목적이라고 한다. 중요한 것은 우리의 주민등록번호와는 달리 각 숫자가 무엇을 의미하는지 일반인들은 전혀 알지 못한다는 것이다. 미국의 경우와 비교하면 우리의 주민등록번호는 자리 수가 너무 많다. 물론 숫자의 의미를 알고 나면 자신의 주민등록번호를 기억하는 데에는 큰 불편이 없다. 난수와 같은 아홉 자리의 수를 외우는 것보다 의미를 알고 있는 열세자리의 수를 외우는 것이 쉽다면 우리의 것이 좋다고 하겠다.

　이와 같은 문제가 있으니 전자신용사회에 걸맞은 새로운 식별번호체계를 마련하든지 지금의 주민등록번호 체계를 재정비하든지 어떤 조치가 필요하다는 주장에 대해 혹자는 변경에 따르는 혼란과 비용 문제를 제기할 수도 있을 것이다. 그러나 자신도 모르는 사이에 다른 어떤 사람에 의해 자신의 주민등록번호가 금융거래, 휴대전화서비스, 전자상거래 등에 부당하게 사용되는 황당한 일을 겪게 된다면 생각이 달라질 것이다. 이미 잘 알려졌듯이 다른 사람의 주민등록번호를 도용해 금융거래나 상품구매를 하는 경우가 발생하고 있다. 현재 인터넷 홈페이지나 휴대폰, 각종 사이버 금융거래에서 주민등록번호를 요구하고 있고 주민등록번호만 알면 개인 신상정보의 상당부분을 알아낼 수도 있는 상황에서 주민등록번호 체계에 대한 보완은 필요하다고 본다.

　물론 식별번호체계 재정비 사업이 국가적 비용 부담을 초래하겠지만 오히려 새로운 IT 장비와 인력의 수요를 발생시켜서 식어가는 IT 산업의 불씨를 다시 지필 수도 있다. 더 늦기 전에 지금의 주민등록번호가 이대로 좋은지 여러 가지 상황을 고려하고 저울질해봐야 할 것이다.

　<민병준 인천대학교 컴퓨터공학과 교수>

2-1. '피싱' 국내서도 첫 출현

위장 웹사이트를 만들어 놓고 e메일로 유혹해 개인의 금융정보 등을 빼내가는 이른바 '피싱(Phishing)'이 국내에서도 처음으로 출현했다.

서울중앙지검 컴퓨터수사부(이득홍 부장검사)는 27일 국내 소재 외국계은행 예금주들을 표적으로 한 '피싱' 시도를 적발했다고 밝혔다.

현재 범인을 추적중인 검찰은 "피싱 범인은 이달 10일 미국 오클라호마 소재 PC를 이용해 국내 K대학 소재 서버를 해킹, 외국계 A은행의 홈페이지로 가장한 피싱화면을 설치한 것으로 파악됐다"고 설명했다.

피싱화면을 설치한 범인은 대량의 스팸메일을 발송, 수신자들을 가상 홈페이지로 유도해 인터넷 뱅킹 아이디와 비밀번호 등을 얻으려 한 것으로 드러났다.

검찰에 따르면 범인의 피싱화면에 지금까지 총 22명이 접속했고 이 가운데 국내에서도 9명이 접속한 것으로 확인됐으나 이들이 해당은행의 예금주인지는 확인되지 않았다.

검찰은 또 범인이 만든 피싱화면이 한국어, 중국어, 영어, 아랍어 등 4개국어로 만들어졌지만, 실제 해당은행 예금주 리스트 및 e메일 주소를 확보해 스팸메일을 발송했는지는 확인되지 않았다고 밝혔다.

국내의 경우 인터넷뱅킹을 이용할 때 공인인증서가 필요해 비교적 피싱에 안전한 것으로 알려져왔다. 그러나 해외에서 급속도로 확산되고 있는 피싱 범죄가 국내에서도 첫 출현된 만큼 각별한 주의가 요구된다고 검찰은 당부했다.

특히 이번에 문제가 된 A은행같은 일부 외국계 은행은 아이디와 비밀번호만으로도 계좌이체가 가능한 것으로 알려져 외국계 은행 및 사용자들은 더욱 주의가 요망된다고 검찰은 강조했다.

검찰은 "이메일을 통한 은행 홈페이지 로그인에는 절대 응하지 말고 인터넷뱅킹은 반드시 해당은행 홈페이지로 직접 접속해야한다"고 덧붙였다.

한편 검찰은 범인 검거를 위해 미국 연방 법무부에 국제수사공조를 요청했다.
　

2-2. 피싱, 탄생에서 성장까지

피싱(Phishing)의 어원에 대한 설명은 다양하다. 가장 유력한 설은 ''개인정보(private data)를 낚시(fishing)하듯 낚아챈다''는 뜻에서부터 유래됐다는 것.

''낚시와 전화''의 합성어가 변형된 것이라는 주장도 있다. 이 주장은 피싱이 처음 나왔을 당시 전화로 정보가 유출됐던 점에 착안한 것. 비밀번호 수집 낚시(password harvesting fishing)의 준말이라는 설도 있다.

또한 해커들이 ''f''를 ''Ph''로 대체해 쓰기를 즐겨하는 현상에서 ''해커들이 하는 비밀번호 낚시질''이라는 의미도 담겨 있다.

이처럼 피싱의 어원에 대한 설명은 다양하다. 하지만 사기 메일이라는 ''미끼''를 이용해 개인정보라는 ''물고기''를 낚는다는 의미는 공통적으로 담고 있다.

이런 설명들을 종합해 보면 피싱이란 ''유명한 금융기관이나 공신력있는 업체의 이름을 사칭한 메일을 보내 수신자들의 민감한 개인정보 및 금융정보를 요구하고 이를 이용, 범죄 수단으로 악용하는 행위'' 정도로 정리될 수 있다. 이런 사기메일을 보내는 사람들을 피셔(phisher)라고 한다.

◆ AOL 계정 도둑에서 유래 네티즌이 만드는 온라인 백과사전 위키피디아(www.wikipedia.org)에 따르면 피싱은 1996년에 처음 등장했다. 당시 해커들이 아메리카온라인(AOL) 계정을 훔치려고 사용한 수법에서 유래됐다.

AOL 직원으로 가장한 해커가 불특정 다수의 AOL 회원에게 ''계정 확인 절차나 결제 정보 확인이 필요하니 비밀번호를 알려달라''는 인스턴트 메시지를 보낸다. 해커들은 회원들이 별다른 의심없이 넘겨준 비밀번호로 다른 사람의 AOL 계정에 접근, 스팸 전송수단으로 사용했다는 것. 위키피디아는 여기서 ''비밀번호 수집 낚시''라는 피싱의 어원이 생겼다고 말하고 있다.

안티피싱워킹그룹(APWG)은 피싱의 실제 유래를 해킹의 원시적 형태인 ''전화 프리킹(phreaking)'' 행위에서 찾고 있다.

전화 프리킹이란 사용자의 전화 스위치를 통제해 장거리 전화를 공짜로 쓰거나 전화요금을 다른 사람에게 전가하는 행위를 말한다.

프리킹은 존 드레이퍼라는 해커가 처음 시도했다. 존 드레이퍼는 1970년대 초반 전화 시스템을 해킹하는 데 쓰이는 블루박스를 만들어 프리킹을 한 사람으로 유명하다.

1996년 당시 해킹된 계정들은 모두 피시(phish)라고 불렸다. 또한 1997년 무렵에는 해커들 사이에는 피시가 일종의 현금처럼 거래되기도 했다. 예를 들면 활성화된 계정 10개를 주고 해킹 소프트웨어와 맞바꾸는 식이다. 최근의 게임 아이템 거래형태와 유사하다.
　

2-3. "피싱은 해킹이다"...류찬호 KISA 팀장

"피싱은 스팸메일이 아니라 해킹이다. 또 한국도 더 이상 피싱 안전지대가 아니다."전세계적으로 피해가 확산되고 있는 피싱(Phishing)에 대해 국내 전문 보안 기관인 한국정보보호진흥원(KISA)이 내린 결론이다.

KISA 인터넷침해사고대응센터의 류찬호 협력팀장은 "피싱은 기술적으로 보면 과거 해킹 기법과 큰 차이가 없다"면서 "하지만 방화벽안에 있는 기업 내부 시스템 대신 클라이언트를 직접 공격한다는 점에서 새로운 해킹 기법중 하나다"라고 평가했다.

류 팀장이 ''피싱=해킹''이란 공식을 강조하는 이유는 간단하다. 피싱을 하려면 기본적으로 특정 웹사이트에 대한 해킹이 선행돼야 하기 때문이다.

류 팀장은 "피싱을 하려면 특정 웹사이트 IP주소를 도용, 위조 사이트를 만들거나, 해커가 특정 웹사이트에 들어가 관리자 몰래 별도 웹페이지를 만들게 되는데, 이 모두가 해킹이다"고 잘라 말했다.

◆ "인터넷 상에 빈 구멍 너무 많다"해킹 공격 기법은 기본적으로 ''빈구멍''을 이용한다. 피싱 역시 마찬가지다. 류찬호 팀장은 "웹사이트를 100% 인증할 수 있는 안전장치가 없다는 것이 가장 심각한 빈구멍이다"고 설명한다. 따라서 죽지 않는 웹 서버 환경을 갖추는 것이 중요하다고 류 팀장은 강조한다.

예를 들어보자.

A라는 기업이 홈페이지를 운영한다고 하자. 현재 떠 있는 사이트가 그 회사 홈페이지라는 것을 100% 검증할 수 있는 장치는 없다는 게 류 팀장의 주장이다. 도메인을 보고 그 회사 홈페이지라고 판단하지만 ''100% 신뢰''와는 거리가 있다는 것.

이런 상황에서 A사 웹서버가 잠시 죽어버린 틈을 타 같은 도메인으로 위조 사이트를 만들어 띄운다면? 류찬호 팀장은 "이런 상황이라면 속아넘어갈 가능성이 높다"면서 "이를 감안하면 죽지 않은 웹서버 환경을 갖추는 것이 갈수록 중요해질 것"이라고 말했다.

물론 아직까지 국내에서는 피싱 피해 사례가 보고된 적이 없다. 비영어권 국가이기 때문에 상대적으로 무풍지대에 놓여 있었다. 하지만 언제든지 당할 수 있다는 게 류 팀장의 주장이다. 게다가 한국은 피싱 경유지로 이미 악명을 떨치고 있다.

류찬호 팀장은 "한국 웹사이트들이 각국에서 일어나는 피싱의 경유지로 활용되는 사례가 늘고 있다"면서 "한국의 경우 인프라가 발달돼 있는 반면 보안이 취약한 웹사이트가 많아 피싱 경유지로 악용될 가능성도 그만큼 높은 상황이다"고 말했다.

이 대목에서 류 팀장의 발언은 계속됐다.

그는 "영세 업체들이 운영하는 웹사이트의 경우 보안 관리가 엉망인 경우가 많다"며 "최근에는 웹호스팅 서비스를 이용하는 웹사이트들이 경유지로 활용되고 있다"고 지적했다.

특히 보안에 취약한 웹호스팅 서비스의 경우 서버 하나가 무너지면, 수십개 웹사이트가 동시에 무너지기 때문에 심각한 문제로 떠오르고 있다는게 류 팀장 설명이다.

류 팀장 발언을 듣다보면, 보안 사고 발생시 주범으로 꼽히는 익숙한 고질병 하나와 만나게 된다. 허술한 보안 관리 마인드가 바로 그것. 결국 한국이 피싱 경유지로 전락한 데는 부실한 보안 관리가 똬리를 틀고 있다.

KISA는 이같은 상황을 타개하기 위해 대대적인 교육을 준비하고 있다. 류 팀장은 "10월말경 웹사이트를 운영하는 중소기업 500여개를 초청, 보안 관련 교육을 진행할 계획"이라고 말했다.

◆ "사회공학적 기법과 결합 땐 심각"최근 들어 해킹 트렌드는 급속하게 변화하고 있다. 방화벽을 뚫고 들어가 기밀 정보를 가져오는 일반적인 패턴에서 직접 클라이언트를 겨냥하는 쪽으로 무게중심이 옮겨가고 있다.

대표적인 것이 지난 6월 국가기관에 유입된 변종 ''피프''(Peep). ''피프''는 당시 클라이언트를 직접 노린다는 점에서 보안 관계자들의 눈길을 끌었다.

피싱 역시 방법상 차이가 있을 뿐 목적은 ''피프''와 유사하다는게 류 팀장의 설명이다. 바야흐로 클라이언트를 대상으로하는 해킹 전성시대를 눈앞에 두고 있는 셈이다.

물론 아직까지는 피싱 기법이 초보적인 수준에 머물러 있다. 웬만큼 주의를 기울이면 피해갈 수 있다. 하지만 앞으로 정교한 해킹 기술과 결합될 경우에는 사정이 달라질 것으로 전망된다. 자칫하면 피싱 공격에 무방비 상태로 노출될 수도 있다.

류 팀장은 "향후 피싱은 사회공학적 기법과 결합돼, 클라이언트를 계속해서 공격하게 될 것"이라며 "불특정 다수가 아닌 특정인을 겨냥한 최첨단 피싱이 등장할 가능성도 존재한다"고 말했다.　

2-4. "외국에선 이렇게 당했다"… 구체적 피해사례

피싱이 처음 세상에 알려졌을 때는 주로 계정을 훔치는 데 머물렀다. 하지만 최근 들어 점차 돈을 벌려는 목적이 뚜렷해지고 있다. 또한 횟수나 복잡도 면에서 수법이 점점 더 악랄하고 교묘해지고 있다.

피셔들이 개인정보 공개를 요구할 때 사용하는 수법은 다양하다. ▲긴급보안통지 ▲정지된 계좌의 활성화 요구 ▲계좌 정보 업그레이드 요청 ▲경품이나 이벤트 당첨 ▲비상식적으로 잔액이 증가했으니 확인해보고 신고하라는 등 갖가지 방법이 동원되고 있다. 이런저런 이유를 들어 정보를 바로 보내라거나, 링크된 홈페이지로 접속하라는 요구를 하는 것이다.

가짜 홈페이지를 만드는 피셔들은 진짜처럼 보이도록 갖은 수단을 동원한다. 기업로고를 사용하는 것은 기본이고, 정보기입란까지 진짜 기업과 비슷하게 만드는 등 세심한(?) 배려를 아끼지 않는다. 진짜 홈페이지와 너무 똑같은 가짜에 메일 수신자들은 의심의 여지없이 개인정보를 노출하게 되고, 결국에는 막대한 금융 손실까지 입게 된다.

◆ ''이메일 계정 보안 경고'' 등 단골 수법미국에서 일어난 피싱의 전형적인 사례를 살펴보자.

2003년 11월 17일 이베이 고객들은 ''보안상의 위험으로 계정이 일시 차단됐으니 재등록해야 한다''는 이메일을 받았다. ''첨부된 링크를 클릭해 이베이 웹페이지로 가서 바로 재등록하라''는 친절한 설명까지 씌어 있었다.

연결된 링크를 통해 들어간 페이지는 이베이의 실제 홈페이지와 거의 흡사했다. 각 항목의 내부 링크까지 감쪽같이 위조했기 때문에 의심할 여지가 없었던 것. 고객들은 공지받은 대로 재등록하기 위해 신용카드번호와 개인인증번호, 사회보장번호, 생년월일, 어머니의 결혼전 성까지 기입했다.

하지만 고객들이 링크를 타고 찾아간 웹 페이지는 위조된 것이었다. 수백명의 고객들이 별 생각없이 개인정보를 고스란히 해커에게 내주고 만 것이다.

세계 최대 경매 사이트인 이베이는 그 규모만큼 피셔들의 공격 제1순위다.

전자결제회사인 페이팔도 피셔들이 자주 사칭하는 기관 중의 하나. 최근에는 페이팔에서 고객 정보갱신을 위해 정보를 입력하라고 요구하는 메일에 정보를 입력하고 확인을 클릭했을 때 일본 사이트로 바로 넘어가면서 정보가 유출된 사건도 있었다.

이외에도 시티은행, 뱅크 오브 아메리카, 국제운송전문업체 UPS 등 유명 대기업을 사칭하는 사기 메일은 끊이지 않고 있다. 안티피싱워킹그룹에는 이러한 사기메일이 2~3일에 한 번꼴로 신고되는 상태다.

지난 8월 27일 시티은행을 사칭한 사기메일은 ''개인정보 확인을 하지 않으면 시스템 접근이 거부될 수도 있다''는 내용을 담고 있어 많은 사람들이 속아넘어갔다.(사진1 참조) 또한 지난달 24일에는 ''이메일 계정 보안 경고''라는 제목으로 야후를 사칭하는 메일이 발송됐다. 여기에는 ''사정상 3일간 이메일 계정을 사용할 수 없으므로 계속 사용하려면 정보를 재등록해야 한다''는 내용을 담고 있었다. 그러나 세부사항을 위해 첨부된 파일에는 악성코드가 담겨있어 여는 순간 컴퓨터가 감염돼 버린다.(사진 2 참조) 최근에는 선거모금을 사칭한 사기 메일도 발견됐다. 라이코스닷컴이 발송한 것처럼 위장한 이 메일은 ''자신이 지지하는 대선후보를 지원하기 위해 한 통화에 1.99달러인 900번 유료전화를 걸어달라''는 내용이었다. 그러나 이는 체코에서 발송된 것으로 확인됐다.

　　

◆ 사이트 주소안에 @ 있으면 일단 의심사기 메일을 한 번 보고 피싱 수법을 사용한 것인지 아닌지 알아채기란 쉬운 일이 아니다. 하지만 조금만 유심히 살펴보면 어느 정도는 피할 수 있을지도 모른다.

가장 쉽게 확인할 수 있는 것은 이메일이 웹사이트 링크를 포함할 경우 그 URL을 체크하는 것이다. 잘못 쓰인 철자나 문법을 찾아보는 것이 한가지 방법이다. 원래 글자와 비슷한 문자를 대신 써서 URL을 속이는 경우도 있다.

예를 들면 paypal.com의 경우 paypa1.com으로 속일 수도 있다. 소문자 ''l'' 대신 i의 대문자, zero 대신에 O를 사용하기도 한다.

URL이 길수록 주소를 속일 수 있기 때문에 사이트 주소가 긴 것도 한번쯤 의심할 필요가 있다.

특히 사이트 주소에 흔히 ''골뱅이''라고 부르는 @표시가 있다면 주의해야 한다. 대부분의 브라우저는 @표시 바로 앞의 모든 철자들을 무시한다. 따라서 http://www.respectedcompany.com@thisisascam.com 과 같은 주소는 Respected Company의 사이트처럼 보이지만 실제로는 thisisascam.com 을 방문하게 될 가능성이 크다.

발신인에 ''OO 고객님께'' 대신 무작정 ''시티은행 고객님께''라는 식으로 썼다면 이것 역시 한번쯤 의심해야 한다. 불특정 다수에게 보내는 편지는 메일 수신인의 신원을 모르고 무작위로 뿌린 사기메일일 가능성이 있기 때문이다. 따라서 메일 내용에 수신인의 자세한 신원을 알고 있는 듯한 인상을 받지 않는다면 반드시 발신기관으로 나온 곳에 전화로 확인을 해봐야 한다.

　

2-5. 피싱 예방 체크포인트

최근 들어 위력을 더해가고 있는 피싱. 조금의 허점만 보이면 그대로 지갑을 털어가버리는 무서운 존재다. 이처럼 ''호환마마보다 더 무서운'' 피싱에 당하지 않기 위해선 각별한 주의가 요망된다.

하지만 무작정 조심한다고 해결될 문제는 아니다. ''피싱''의 공격 유형을 잘 파악하고 미리 대비하는 것이 중요하다. 또 기업 차원의 대응 방법과 개인 차원의 대비책은 다를 수 밖에 없다.

전문가들은 기업의 경우 안티 피싱 기술이 포함된 바이러스 백신과 URL 필터링 기술을 도입할 것을 권고한다. 이를 통해 사용자 실수를 줄이고 내부 PC에 이 기술 적용 여부를 확인하는 프로세스가 필요하다는 것.

개인 사용자들은 피싱 정보를 숙지, 대응력을 키우고 통합 보안에 대한 관심을 기울여야 한다. 이렇게 할 때에만 피싱 위협으로부터 벗어날 수 있다.
　

◆ 피싱 예방 체크리스트 신원이 불명확한 첨부 파일은 열지 말고, 최신 버전으로 업데이트된 바이러스 백신을 설치한다. 　 금융기관으로부터 개인정보, 계좌정보 등의 업데이트를 요구하는 e메일을 받으면 클릭하지 말고, 해당 금융기관 사이트에 가서 직접 확인한다. 　 인터넷 뱅킹을 이용할때는 항상 지정된 계정을 사용한다. 　 PC방 등에서는 온라인 거래를 하지 않는다. 불가피할 경우 PC에 바이러스가 있는지를 검사한뒤 트로이 목마나 키로거 프로그램 설치 여부를 확인한다. 　 개인 방화벽을 설치하여 해커 침입을 탐지한다. 　 의심스러운 웹사이트를 통한 온라인 거래는 하지 않는 게 좋다. 　 보안 패치를 최신 버전으로 유지한다. 　 피싱 관련 웹브라우저 툴바를 설치한다. 피싱 사이트가 팝업 형태로 돼 있다면 피해를 막을 수 있다. 　 피싱으로 인한 피해를 입었을 경우 한국정보보호진흥원 홈페이지(www.kisa.or.kr) 접속하거나, 국번없이 118로 전화를 걸어 신고하면 된다.

3. 삼성硏 "핵심기술 해외유출 대책 서둘러야

4. 전자 여권 밀어부치기「다른 의도 있다?」

美, 사생활 침해·기술 결함 불구 '내년 봄 일반 발급 시작'

미국 정부가 사생활 침해 우려와 기술 결함 가능성에도 불구하고 얼굴 인식 기술을 포함한 새로운 하이테크 여권 발행 계획을 구체화하고 있다.

‘스마트 패스포트’ 혹은 ‘e패스포트’라 불리는 이 여권을 이용하면 공항이나 국경의 입국 심사가 빨라지고 여권 도난이나 위조도 막을 수 있다. 미국은 지난 2001년 9·11테러 이후 국경 관리를 더욱 철저히 하고 있는데, 미국의 요청으로 일부 국가들은 이미 e패스포트를 채택하고 있다.

미국 역시 같은 기술을 이용해 자국 국경을 지킨다는 계획이다. 최근 미 국무부는 4개 IT 업체로부터 일반 시민들을 대상으로한 e패스포트 적용 제안서를 제출 받았다. 국무부은 이 가운데 하나를 선택해 올해 말까지 정부 공무원들에게 새로운 패스포트를 발급할 방침이다.

예정대로 추진될 경우 내년 봄부터는 여권을 갱신하거나 새로 여권을 신청하는 일반인들에게 LA 여권국을 통해 e패스포트가 발급된다. 국무부 영사업무부 대변인 안젤라 애글러는 “2005년 말까지 백만개 이상의 e패스포트를 발급할 계획이며 2006년까지는 모든 새로 발급되는 패스포트에 특수 마이크로칩을 탑재할 것”이라고 말했다. 그는 "미국 여권은 전세계적으로 가장 가치있는 문서중의 하나"라며 "위험한 사람들이 여권을 위조하거나 이용하기 어렵게 만들수록, 우리 모두가 더 편안하고 안전해진다"라고 주장했다.

64K 메모리에 다양한 생체 데이터 저장 가능
e패스포트에는 소유자의 이름과 생년월일, 출생지 등 기본 데이터를 담은 특수 마이크로칩이 탑재된다. 인피니언 테크놀러지의 대변인 사스와토 다스는 “이 칩은 인간의 머리카락보다 얇지만 64K 메모리를 저장할 수 있다”며 “디지털 지문과 사진, 홍채 스캔 등 생체 데이터를 저장하기에 충분하다”고 말했다. 독일 마이크로칩 기업인 인피니언 테크놀러지는 현재 국무부 계약을 놓고 베어링포인트(BearingPoint), 프랑스 기업 액살토(Axalto), 이스라엘 기업 수퍼콤(SuperCom) 등과 경합중이다.

　

	위험한 사람들이 여권을 위조하거나 이용하기 어렵게 만들수록, 우리 모두가 더 안전해진다
	- 안젤라 애글러 美 국무부 영사업무부 대변인

패스포트 커버에 탑재될 이 칩들은 스캐닝 장비를 통해 몇 인치 떨어진 거리에서도 실시간으로 이민국에 데이터를 전송할 수 있다. 담당자는 전송받은 정보를 패스포트의 다른 정보, 실제 여권 소지자 등과 비교해 서로 일치하지 않는 부분이 있는지를 확인한다.

RFID 칩이라고 알려진 이 제품은 축산물 유통 과정을 추적하거나 잃어버린 애완동물을 확인할 때, E-Z 패스 시스템으로 과속 벌금을 물릴 때 사용하던 칩과 유사한 것이다. 월마트를 비롯한 주요 소매상들은 제품 관리에 이를 사용하기 시작했고, 식품의약국(FDA)은 병원에서 환자들에게 이 칩을 사용할 수 있도록 최근 허용한 바 있다.

e패스포트에 들어가는 RFID 칩은 이보다 한단계 높은 것이다. 10년은 사용할 수 있도록 견고하게 설계됐으며, 디지털 서명과 암호화 기술이 탑재됐다. 다스는 이 칩에 보안 메커니즘 50개를 적용했다고 말했다.

가격도 기존 RFID보다 비싸다. 일반 RFID 칩은 현재 개당 1달러 미만이며 몇년안에 10센트 이하로 떨어질 것으로 예상된다. 국무부는 새로운 e패스포트의 가격이 정확히 얼마인지 밝히지 않았지만, 여권 발급 비용을 인상해 그 부담을 국민들에게 떠넘길 계획인 것으로 알려졌다. 현재 성인 기준 여권 신규 발행 비용은 85달러, 갱신 비용은 55달러 정도지만 여기에 10달러 가량이 추가될 것으로 보인다.

일반인 지문 채취, 큰 저항에 부딪힐 듯
e패스포트 칩은 디지털 사진을 저장할 수 있을 만큼 메모리 용량이 충분하기 때문에 얼굴 인식이 가능하다. 현재 e패스포트 프로그램의 컨설팅을 맡고 있는 전직 국무부 직원 배리 키포버는 국무부와 국토안보부가 1년 내에 공항 등 입국자 통과 장소에 얼굴 인식 시스템을 설치할 것이라고 말했다. 얼굴 인식 스캐너 통해 자동으로 RFID 칩에 저장된 얼굴 데이터와 비교하는 것이다.

국무부는 보다 확실한 신원 인증을 위해 결국 지문과 홍채 스캔 정보를 추가할 가능성이 있다. 그러나 이를 위해서는 일반인들의 지문까지 수집해야 하기 때문에 가까운 시일안에 이루어지기는 어려워 보인다고 키포버는 말했다. 현재는 지문하면 범죄자들을 연상해 일반인의 지문을 채취하는 일은 큰 저항에 부딪히기 쉽다.

　

	미국 정부는 군중 가운데 누가 미국인인지 누가 외국인인지를 골라 내고 싶은 것이다
	- 브루스 슈나이더 카운터페인시큐리티 설립자

반면 얼굴 인식 기술은 상대적으로 새로운 기술이고 정확도에 있어서도 문제가 있다. 올해 초 영국정부는 만명을 대상으로 생체 ID 카드를 실험하려 했으나 홍채 스캐닝과 얼굴 인식 장비의 오류로 테스트를 연기한 바 있다.

게다가 사생활 보호 단체들은 이 칩 때문에 스파이 활동이나 도난 등 불미스러운 일에 여권 소지자가 노출될 위험이 있다고 우려하고 있다.

옷이나 지갑 속에 있는 여권 정보를 일정 거리내에서는 원격으로 읽을 수 있기 때문이다. 이 때문에 미국시민자유연합(ACLU)과 런던의 국제 사생활 보호 단체(Privacy International)를 비롯한 많은 단체들은, UN이 회원국의 e패스포트 계획을 주관하며 사생활 보호 활동을 강화해 줄 것을 요구해 왔다.

전자 여권 정책에 다른 의도 있다?
저명한 보안 전문가들 가운데 일부는 e패스포트에 악의적인 의도가 들어 있다고 주장한다. 카운터페인인터넷시큐리티(Counterpane Internet Security)의 설립자이자 작가인 브루스 슈나이더는 자신의 웹로그에 “미 정부는 직접적인 접촉으로만 스캐팅이 가능한 칩을 사용해야 하며 RFID 기술을 채택해서는 안된다”라고 주장했다.

그는 "컨택트 칩 대신 RFID를 선택해야만 하는 마땅한 이유가 있다면 RFID를 선택해도 되겠지만, 불행히도 여기에는 별다른 이유가 없다"며 “미 행정부는 이들 개인 정보에 은밀하게 접속하고 싶은 것 뿐이다”라고 지적했다. 많은 군중 가운데 누가 미국인인지 누가 외국인인지를 골라 내고 싶은 의도라는 것이다. 그는 “정부는 부인하고 있지만, RFID로 할 수 없는 어떤 일들을 하고 싶은 것”이라고 덧붙였다.

e패스포트가 폭넓게 보급되기까지 여전히 수년이 소요될 것으로 보인다. 여권의 유효 기간이 10년인 것을 고려하면, 대부분의 사람들이 현재 발급받은 여권을 갱신할 때까지는 여러 해가 걸릴 것이기 때문이다.

Alorie Gilbert (ZDNet Korea)