피싱, 스미싱, 파밍, 메모리해킹은 무엇일까?
전자금융범죄가 점점 더 다양해지고 있습니다. 과거보다 수법이 더 다양하고 교묘해지고 있으며, 지능형으로 변하고 있어 한층 주의가 필요합니다. 알면 도움이 되는 정보! 오늘은 SK인포섹에서 전자금융범죄에서 자주 등장하는 용어를 소개해드립니다.
인터넷 낚시, 피싱(Phishing)
아마 가장 많이 들어본 용어가 아닐까 싶습니다. 뉴스에서도 종종 등장하는 피싱(Phishing)은 개인정보(Private data)와 낚시(Fishing)의 합성어로 개인의 중요한 정보를 부정하게 얻으려는 공격이나 시도를 말합니다. 이메일 또는 메신저를 통해 신뢰할 수 있는 사람 또는 기업이 보낸 메시지인 것처럼 가장하고, 이를 통해 비밀번호 및 신용카드 정보 등을 부정하게 얻으려는 social engineering의 한 종류입니다.
피싱 공격방법은 이렇습니다. 먼저 가장된 메시지를 공격대상자에게 보내고, 미리 공격자가 만들어 놓은 위장된 사이트로 유인합니다. 그리고 위장 사이트에서 공격대상자의 주민등록번호, 비밀번호, 신용카드 번호 등 중요한 개인정보를 탈취합니다. 최근 발생한 피싱 사례로, ‘카드 거래 내역’이라는 제목의 이메일을 보낸 뒤, 이를 통해 가짜 은행 사이트로 유인하고, 보안카드 번호 전부를 입력하게 만들어서 돈을 빼간 일이 있었습니다.
피싱의 종류에는 특정한 개인이나 회사를 대상으로 시도하는 스피어 피싱(spear phishing), 링크나 첨부 파일이 포함된 이메일을 통해 공격하는 클론 피싱(clone phishing), 그리고 고위 경영 간부와 운영진을 대상으로 이루어지는 웨일링(whaling)이 있습니다. 컴퓨터 이외에 전화를 이용하여 이런 행위를 하는 것을 보이스피싱(voice phishing)이라고 합니다.
피싱 예방 수칙 | |
1) | 비밀번호는 주기적으로 변경 |
2) | 블루투스를 이용하지 않을 때는 연결 끊기 |
3) | 사이트 별 각기 다른 아이디와 비밀번호 사용 및 관리 |
4) | 보안 백신 설치 및 주기적인 업데이트 |
5) | 사용하는 인터넷 브라우저 최신 버전으로 업데이트 |
6) | 공용 PC 이용 자제 및 공공 와이파이에서 금융앱 이용 자제 |
한층 진화된 피싱 공격, 파밍(Pharming)
파밍은 피싱에 이어 등장한 새로운 인터넷 사기 수법으로 피싱(Phishing)과 조작(Farming)의 합성어입니다. 피싱과 유사한 형태지만 피싱보다 한 단계 진화된 형태라고 할 수 있습니다. 피싱이 금융기관 등의 웹사이트에서 보낸 이메일을 이용해 가짜 사이트로 유인하여 개인정보를 빼내는 방식을 취한다면, 파밍은 공식적으로 운영하고 있는 사이트의 도메인 자체를 중간에서 탈취하는 수법을 사용합니다.
그래서 위장 사이트를 사용하는 피싱의 경우 사용자가 주의 깊게 살펴보면 알아차릴 수 있지만, 파밍의 경우에는 실제 도메인 자체를 탈취하는 까닭에 사용자가 아무리 도메인 주소나 URL 주소를 주의 깊게 살펴본다 하더라도 알아차리기 힘들어 쉽게 속을 수밖에 없습니다. 사용자들이 의심을 거의 하지 않고 해당 사이트를 이용하기 때문에, 개인 정보를 쉽게 노출 시키고, 이런 이유로 피싱 방식보다 피해가 더 클 수밖에 없습니다.
파밍 예방 수칙 | |
1) | 사이트 주소가 정상인지 반드시 확인 |
2) | 보안카드번호 전부 절대 입력 금지 |
3) | 공인인증서, 보안카드 사진 등을 컴퓨터나 이메일에 저장 금지 |
4) | OTP, 보안토큰(비밀번호 복사방지), 공인인증서 PC지정 등을 사용 권장 |
5) | 스마트폰 문자메세지에 포함된 URL 클릭 금지 |
6) | 무료 다운로드 사이트 이용 자제 |
7) | 출처가 정확하지 않은 파일이나 이메일은 즉시 삭제 |
8) | 윈도우, 백신 프로그램 등을 최신 상태로 유지 |
의심스러운 문자 오픈 금지, 스미싱
스미싱(Smishing)은 문자 메시지(SMS)와 피싱(Phishing)의 합성어입니다. 스미싱 공격방법은 공격대상자의 호기심을 자극하는 경향이 있습니다. ‘무료쿠폰 제공’, ‘돌잔치 초대장’, ‘모바일 청첩장’ 등의 내용을 링크를 포함해 문자 메시지로 전송하고, 이를 클릭하게 만듭니다. 그리고 공격대상자가 링크를 클릭하면 악성코드를 스마트폰에 설치해 휴대폰을 통제하고 개인정보를 탈취합니다.
스미싱 공격이 위험한 이유는 피해자도 모르는 사이에 개인정보와 금융정보가 유출되고, 소액결제 피해까지 발생한다는 점입니다. 더불어 악성코드로 인해 피해자 스마트폰에 저장된 주소록 연락처, 사진(주민등록증·보안카드 사본), 공인인증서, 개인 정보 등이 탈취되어 더 큰 금융범죄로 이어질 수 있습니다. 최근 발생하고 있는 스미싱 수법은 택배회사 사칭, 지인 사칭, 공공기관 사칭 등 그 수법이 점점 더 다양해지고 있습니다. 며칠 전에는 수능을 앞둔 수험생을 겨냥한 ‘수능 파이팅’ 등의 문자를 통해 스미싱 공격을 시도하는 수법이 발견되기도 했습니다.
스미싱 예방 수칙 | |
1) | 모바일 백신 설치 및 실시간 감시 기능 설정 |
2) | 스마트폰 운영 체제 최신 업데이트 |
3) | 문자 메세지 내 포함된 URL 클릭 지양 |
4) | 스마트폰 기본 운영 체제 변경 금지 |
5) | 스미싱 차단앱 설치 |
6) | 비밀번호 설정되지 않는 무선 공유기(WiFi) 접속 금지 |
7) | 앱 다운로드시, 반드시 공식 애플리케이션 마켓 이용 |
보안 프로그램 무력화, 메모리해킹(Memory Hacking)
메모리해킹은 PC메모리에 상주한 데이터를 위/변조하는 해킹 기법으로 악성코드를 통해 정상 은행사이트의 보안 프로그램을 무력하게 만들어서 예금을 부당 인출하는 수법입니다. 공격 수법은 이렇습니다. 먼저 해킹을 통해 컴퓨터에 악성코드를 감염시킨 후 계좌번호나 송금액을 변조하거나 보안카드 비밀번호 등을 알아낸 뒤 돈을 빼돌립니다. 메모리해킹이 위험한 이유는 정상적으로 인터넷뱅킹 사이트에 접속해도, 이체 과정에서 금융거래정보 등을 실시간 위/변조하고 그 즉시 공격할 수 있는 특징이 있기 때문입니다.
메모리 해킹 예방 수칙 | |
1) | 윈도우 백신프로그램을 최신 상태로 업데이트 및 실시간 감시 |
2) | 무료 다운로드 사이트 이용 자제 |
3) | 출처 불명의 파일 및 이메일 열람 금지 |
4) | 컴퓨터, 이메일 등에 공인인증서, 보안카드 사진, 비밀번호 저장 금지 |
5) | OTP(일회성 비밀번호생성기), 보안토큰 (비밀번호 복사방지) 등을 사용 |
만약 전자금융범죄의 피해를 입었다면?
전자금융범죄에 노출되었거나 피해를 입었을 경우에는 아래와 같이 행동하세요!
첫째, 계좌와 공인인증서 비밀번호, 또는 범죄로 인해 돈을 이체한 경우에는 금융회사 콜센터 또는 112에 신고하여 계좌 지급 정지를 요청합니다.
둘째, 통장과 체크카드 및 계좌 비밀번호를 분실한 경우에는 사용하고 있는 은행 콜센터에 전화하여 즉시 이용 정지를 요청합니다.
셋째, 만약 주민등록번호나 각종 신분증 분실로 불법 개통이 우려된다면 ‘명의도용방지서비스’에 가입하면 불법으로 신분증이 개통되는 것을 막을 수 있습니다. 노출된 개인정보를 타인이 이용해 명의도용 금융거래를 시도하는 것을 방지하고 싶다면, ‘개인정보노출자 사고 예방시스템’에 가입하며 도움이 됩니다.
지피지기면 백전불패라고 하죠? 범죄의 수법을 미리 알고 있으면, 범죄를 사전에 차단할 수 있습니다. 특히 범죄는 남녀노소를 가리지 않고 발생합니다. 전자금융범죄에 취약한 어르신이나 어린이, 청소년들에게도 위 내용을 숙지시켜 보다 안전하게 스마트폰을 사용할 수 있도록 지도해주세요. 다음에도 생활에 도움이 되는 ‘알면 쓸데 있는 보안 상식’을 들고 찾아오겠습니다!
[출처] 피싱, 스미싱, 파밍, 메모리해킹은 무엇일까?|작성자 SK인포섹
