은행 보안카드 뚫렸다?

《 일요일이었던 지난달 16일 손모 씨(32)는 인터넷뱅킹을 통해 자신의 A은행 계좌를 확인하곤 깜짝 놀랐다. 1070만 원이라는 거금이 전혀 모르는 사람의 계좌로 송금됐기 때문이다. 돈은 오전 1시 50분부터 2시 16분까지 2개의 계좌에서 6차례에 걸쳐 빠져나갔다. 돈이 이체되기 직전에 공인인증서가 재발급됐다. 손 씨는 이 사실을 거래 은행에 알리고 경찰에도 신고했다. 》

은행과 경찰서에서는 보안카드를 유출하거나 누군가에게 빌려준 적이 없는지 물었다. 손 씨는 “아무리 기억을 되짚어 봐도 전혀 없다”고 말했다. 한때 유행했던 전자금융 사기 수법에 걸려 보안카드 번호를 1번부터 35번까지 입력한 적도 없고, 보안카드를 스캔해 컴퓨터에 저장하거나 e메일로 전송한 적도 없다는 것.

공교롭게도 손 씨 사건이 발생한 시간에 B은행 계좌에서도 인터넷뱅킹으로 3500만 원이 빠져나가는 사건이 발생했다. 이 피해 고객도 공인인증서와 보안카드를 유출한 적이 없다고 말한다.

범인들의 수법은 치밀했다. 피해자가 자신 명의의 공인인증서가 재발급된 것을 즉시 알아채지 못하도록 새벽, 그것도 일요일 새벽을 노렸다. 인증서 재발급을 통지하는 휴대전화 문자메시지를 받았더라도 바로 알아차리거나 대응하기 어려운 상황이었던 것. 또 300만 원 이상 이체된 금액을 찾을 때는 이체 후 10분간 인출이 지연된다는 점을 알고 190만 원 안팎의 금액을 여러 차례로 나눠 빼갔다.

○ 보안카드 정보는 어떻게 유출됐을까

사건의 핵심은 ‘보안카드 정보가 어떻게 유출됐는지’다. 인터넷이나 스마트폰으로 계좌 이체를 하려면 보안카드 번호를 입력해야 한다. 손 씨 사건을 조사 중인 서울 구로경찰서에서는 “지금까지 해킹으로 인터넷뱅킹 아이디와 비밀번호, 공인인증서가 유출된 적은 있지만 보안카드 번호가 유출된 적은 없다”며 “만약 은행 전산망에 문제가 생겨 보안카드가 유출된 거라면 사상 초유의 사태”라고 말했다.

은행에서는 은행 전산망이 해킹을 당해 보안카드 정보가 빠져나가는 것은 일어날 수 없다고 말한다. B은행 관계자는 “고객의 보안카드는 단 1장뿐이고 은행 전산망에는 고객 보안카드의 실제 번호가 들어있는 게 아니라 입력한 번호가 맞는지 확인하는 시스템이 있을 뿐”이라고 설명했다. 또 만약 전산망이 뚫렸다면 범인이 더 큰 돈을 빼가지 않았겠느냐고 반문한다. 문제가 생길 부분은 사실상 고객의 부주의밖에 없다는 것이다.

전문가들의 의견은 갈린다. 임종인 고려대 정보보호대학원장은 “은행 전산망을 뚫고 보안카드가 유출됐을 가능성은 희박하다”고 말했다. 그는 “북한 정도의 해킹 실력이면 모를까 국내 일반 해커 수준으로는 힘들 것”이라고 덧붙였다.

김인성 한양대 컴퓨터공학과 교수의 생각은 다르다. 김 교수는 “현재 국내 은행 전산망의 보안 능력에 대해 검증이 제대로 이뤄지지 않고 있다”며 “은행의 말만 믿을 수 없다”고 밝혔다. 김 교수는 “은행이 ‘절대로 뚫을 수 없다’고 말하는 시스템도 실제 해킹이 가능하다”고 설명했다.

○ 진화하는 전자금융 사기, 대비책 절실

고객의 PC가 해킹됐을 경우도 생각해볼 수 있다. 인터넷뱅킹을 이용하는 고객의 PC를 해킹해 고객이 보안카드 번호를 입력할 때마다 그 정보를 축적하는 것이다. 계산 결과 고객이 145회 정도 번호를 입력하고 해커가 이것을 해킹하면 보안카드 전체 정보를 알아낼 수 있는 것으로 나타났다.

이번 사건에서 드러났듯이 전자금융 사기의 수법이 날로 교묘해지는 것은 심각한 문제다. 이에 비해 은행들의 전산 보안은 허술하다는 지적이 많다. 이번에 고객 돈 인출사고가 발생한 A은행의 경우 지난달 초부터 심야 시간에 해외에서 인터넷뱅킹에 접속해 인증서를 발급받는 것을 막겠다고 했다. 상당수의 금융사기는 해외 인터넷주소(IP)를 통해 이뤄진다. 경찰 조사 결과 손 씨 사건이 해외 IP를 통해 이뤄졌다면 A은행은 책임을 면하기 힘들다.

김윤진 금융감독원 IT감독국 부국장은 “시범 운영 중인 ‘전자금융 사기 예방 서비스’를 이용하라”고 권유했다. 이 서비스는 공인인증서를 재발급·등록하거나 1일 300만 원 이상(누적) 이체할 때 휴대전화 메시지나 자동응답시스템(ARS) 등을 통해 본인 인증을 거치게 했다. 인터넷뱅킹에 등록된 휴대전화를 소지하고 있지 않다면 공인인증서를 재발급받을 수 없는 것이다. 또한 보안카드 대신에 일회용 비밀번호(OTP)를 사용하는 것이 좋다고 조언했다.

한우신 기자 hanwshin@donga.com