개인정보·악성코드·스미싱의 교집합 ‘돈’

경찰청에서 발표한 개인정보 회수현황 유형별로 살펴보니...
암거래 시장에서 대출상담 관련 개인정보 인기...스미싱 확률 높아

[보안뉴스 김경애] 개인정보 유출, 웹사이트 악성코드 유포, 스미싱. 이 3가지의 공통점은 돈이라는 목적으로 연결돼 있다는 점이다. 개인정보 불법 유통은 돈이 되기 때문이다.

경찰청에서 발표한 개인정보 회수 현황(유형별)을 살펴보면 불법사용이 41%를 차지했으며, 개인정보 불법수집이 28%, 개인정보 유통이 23%를 차지했다.

한국인터넷진흥원 전인경 팀장은 “개인정보를 사고파는 암거래 시장내역을 보면 어떤 개인정보냐에 따라 가격이 천차만별”이라며 “대출을 상담했던 개인정보는 가치가 높고, 대출을 유도하는 스미싱 전송 시 걸려들 확률도 높다”고 밝혔다.

◆개인정보, 다양한 경로 통해 유통·판매

본지가 지난 8월 21일 보도한 2억 2천만건의 개인정보 유출사건의 경우, 경제활동의 전성기 연령층인 20~40대 인구의 거의 90%에 달하는 개인정보가 유출된 것으로 분석됐다.

중국 해커에게 건네받은 강씨 등은 유출한 아이디·패스워드 등 개인정보를 ‘추출기’라는 해킹 프로그램을 통해 게임사이트 등에 입력해 사이버머니와 아이템을 불법 취득하고, 이를 현금화하는 수법으로 4억여 원의 이득을 취했다.

올해 초 발생한 카드 3사의 개인정보 유출사고의 경우도 마찬가지며, 이후 줄줄이 발생한 기업·기관의 개인정보 유출사고 또한 경제적 이득을 얻기 위한 목적이 대부분이다.

유출된 개인정보과 관련해 한국인터넷진흥원 전인경 팀장은 “온·오프라인상 의뢰인의 청탁, 인터넷 광고 등 다양한 경로를 통해 판매 및 유통되고 있으며, 판매된 개인정보는 대출중개, 텔레마케팅, 홍보용 전화 및 문자발송, 도박사이트 운영, 무단 회원가입 등에 이용된다”고 밝혔다. 또한 회수된 정보들은 수차례 재가공돼 원출처를 밝히기 어려운 경우가 다수라고 덧붙였다.

이 때문에 개인정보 유출사고의 주요 발생경로를 살펴보면 홈페이지, 내·외부 직원, 디바이스 등이다. 홈페이지의 경우 악성코드 유포를 통해, 그리고 디바이스의 경우 포스(POS) 단말기, 유무선 공유기, 스마트폰 등의 취약점을 악용해 개인정보를 탈취했다.

◆악성코드 유포, 취약한 웹사이트 ‘타깃’

웹사이트의 경우 웹사이트의 취약점을 이용해 통해 개인정보가 유출됐다. 특히, 개인정보 유출을 목적으로 한 웹사이트 타깃의 악성코드 유포는 여전히 심각하다. 이는 대부분의 웹사이트에서 보안취약점 개선이 이루어지지 않고 있다는 얘기다.

이와 관련 빛스캔 측은 “지난주에 비해 신규 경유지는 조금 줄어 든 반면 파급력은 9월 1주에도 동일하다”며 “전체 발견된 유포지는 증가하는 모습”이라고 밝혔다. 그러면서 빛스캔 측은 “MalwareNet의 움직임은 지속되는 가운데 티켓판매 사이트의 광고 및 이벤트 페이지를 통해서 악성코드 유포가 이루어졌다”며 “4월에 해외에서 출현한 RIG Exploit Kit이 국내에 다른 형태로 최초 출현했고, 공격 비율이 증가하고 있는 상황”이라고 설명했다.

한국인터넷진흥원에 따르면 웹하드를 통한 악성코드 탐지건수는 2013년 116개 웹하드에서 305건이 발생했으며, 올해 1월부터 4월까지 111개 웹하드에서 104건이 발생했다. 이와 관련 전 팀장은 “최근 사이버공격은 개인정보를 유출하기 위한 목적인 경우가 많으며, 전국 250만개 웹사이트를 보면 상당수의 웹사이트가 악성코드 유포지로 활용되고 있다”고 지목했다.

이는 일일방문자가 높은 웹사이트 몇 개만 공격해도 수많은 좀비PC를 확보할 수 있기 때문에 공격자들이 선호한다는 것. 뿐만 아니라 개인정보를 탈취하기 위해 디도스 공격과 APT 등의 타깃공격이 병행되고 있다는 게 전 팀장의 설명이다.

◆스미싱, 사람의 심리+기술로 한 큐에 ‘낚아’

모바일 악성코드 위협도 증가하고 있다. 특히, 각종 사회적 이슈와 추석·택배 등을 사칭한 스미싱과 연계된 악성앱 유포가 기승을 부리고 있다. 이러한 스미싱은 악성앱 설치에 이용된다. 악성앱이 설치되면 이용자 스마트폰에 저장된 전화번호, 사진, 주고받은 문자메시지, 심지어 메신저까지 모두 공격자 손아귀에 들어갈 수 있다. 게다가 추적을 피하기 위해 난독화 기술을 악용하는 등 그 수법은 날로 지능화·고도화되고 있다.

고려대학교 이상진 교수는 “스마트폰이 대중화되면서 금전적 이득을 취하기 위한 악성 어플리케이션 제작 및 배포 사례가 증가하고 있다”며 “디컴파일(Decompile)이 용이한 안드로이드 운영체제에서는 어플리케이션 보호를 위해 난독화 기술을 적용하고 있다. 그러나 악성 어플리케이션 또한 이러한 난독화 기술을 적용하고 있어 역공학 분석이 어렵게 만들고 있다. 따라서 난독화에 대한 연구가 필요하다”고 밝힌 바 있다.

이렇듯 스마트폰의 보안위협이 증가하면서 스마트폰에 따른 손실액이 16조원에 달하는 것으로 추정되는 등 그 피해가 눈덩이처럼 불어나고 있다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)