한순간 부주의에… 눈뜨고 코베이는 스마트폰 범죄

#회사원 김철수씨(29·가명)는 얼마 전 낯선 번호로부터 문자메시지(SMS)를 한 통 받았다. "김철수님, 모바일 청첩장이 도착했습니다." 김씨의 이름까지 넣어서 다정하게 보내온 문자. 이미 몇 차례 친구들의 모바일 청첩장을 받아봤던 터라 전화번호를 바꾼 동창이겠거니 무심결에 함께 온 링크를 눌렀다.

그리고 한 달 후에야 김씨는 고지서를 통해 한 게임사 사이버머니 20만원어치를 사는데 자신의 휴대전화 소액결제가 이용됐다는 것을 알았다. 자신의 이름과 휴대전화 번호를 정확히 알고 있는 스미싱 공격자들이 또다른 개인정보를 빼내 갔는지 불안하지만 알 길은 없다.


#주부 최모씨(31)의 스마트폰으로 문자 메시지 한 통이 전송됐다. '00은행'이라는 말머리와 함께 "250000원 결제/익월요금합산청구"라는 문구가 뜨자 자신도 모르는 새 스미싱을 당했다고 생각하고 당황한 최씨는 해당 번호로 전화를 걸어 상담원과 연결했다.

그는 상담원이 시키는 대로 취소절차를 밟고, 상담원이 보내준 취소용 승인번호를 다시 알려줬다. 상담원은 상냥한 목소리로 정상적으로 취소됐다고 말하고 전화를 끊었다. 한시름 돌렸다 생각했지만 이 역시 스미싱 수법. 가짜 상담원이 취소용이라고 알려준 승인번호로 소액결제를 하는 경우다.

최근 스마트폰을 이용한 사이버범죄가 갈수록 교묘하고 광범위해지고 있다. 하지만 사기수법이 꾸준히 진화하는데도 불구하고 정작 피해를 보는 사용자들은 오히려 모바일 보안에 대한 인식이 낮아지고 있어 주의가 요구된다.


스마트폰 악성코드는 2011년 하반기 본격적으로 발견되기 시작해 현재까지도 가파르게 증가하고 있다.

안랩에 따르면 올 1분기 안드로이드 OS(운영체제)를 기반으로 한 악성코드 샘플이 총 20만 6628건 수집됐다. 지난해 같은 기간의 1만1923건보다 17배 증가했으며, 지난해 상반기 전체 수치인 2만2695개보다도 9배나 증가했다.

특히 올해는 문자메시지를 이용한 스미싱 수법이 대세로 떠올랐다. 스미싱은 문자메시지(SMS)와 피싱(phishing)의 합성어로, 메시지의 링크(URL)클릭을 유도, 악성 앱 설치를 통해 개인정보를 탈취하거나 소액결제를 받는 방법으로 직접적인 금전적인 피해를 입히는 식이다.

단순한 무료쿠폰이나 모바일 게임 아이템 등으로 클릭을 유도하는 데서, 최근에는 이미 유출된 개인정보를 이용해 개인맞춤형 메시지를 보내거나 보이스피싱과 결합한 형태의 복잡한 공격으로까지 진화했다.

더 나아가 한국인터넷진흥원(KISA)가 올 3월 접수받은 스미싱용 악성 앱의 경우, 스마트폰 SD카드에 있는 인증서(NPIK), 사진(DCIM), 메모(SMEMO) 폴더 등을 압축해 통째로 탈취하는 것으로 분석됐다.

스마트폰을 이용한 모바일 뱅킹 등이 활성화되면서 일부 이용자들이 보안카드를 촬영한 사진 또는 은행 등 웹사이트에 접속하기 위한 ID나 비밀번호를 스마트폰 단말기에 저장해 사용하고 있는 것을 노린 것이다.

이 외에도 사용자들에게 잘 알려진 앱을 위장해 악성코드를 심은 뒤 블로그나 카페 등을 통해 배포하는 '리패키징 앱'도 기승을 부리고 있다.

유명한 유료 게임앱으로 위장하는 것이 가장 흔한 경우로, 보안업체가 개발한 백신 앱으로 위장하기도 한다. 최근에는 스미싱 피해를 막기 위해 경찰청에서 만든 앱을 본떠 만든 가짜 앱까지 등장했다. 사용자들이 자신도 모르는 새 스스로 악성코드 설치를 승인하도록 교묘하게 유도하고 있는 셈이다.

경찰청에 따르면 지난해 12월부터 올해 2월까지 경찰에 접수된 스미싱 피해 신고접수만 3000건에 달하며 피해액도 7억원에 달할 정도다.

이호웅 안랩 시큐리티대응센터(ASEC)장은 "다양한 악성코드 제작 툴 등으로 악성코드 제작이 수월해지고 제3의 마켓 활성화 등 이를 유통할 수 있는 경로도 다수 등장한 것이 악성코드를 증가시키는 원인"이라고 설명했다.

문제는 이처럼 악성코드로 인한 피해는 늘어나고 있지만 이용자들의 백신 설치율은 매우 저조하다는 점이다. 스마트폰 이용자수는 늘어났지만 적절한 보안조치를 취하며 안전하게 사용하는 이용자들은 오히려 줄어들고 있는 실정이다.

방송통신위원회와 KISA가 실시한 ‘2012년 정보보호 실태조사' 결과, 스마트폰 이용자들 가운데 모바일 백신을 설치하고 정기적으로 검사하는 비율은 31.1%에 불과한 것으로 나타났다. 이는 2011년 54.4%에 비해 절반 가까이 감소한 수치다.

다운로드 한 파일에 대해 바이러스 검사를 실시(24.2%)하거나, 백신프로그램을 최신버전으로 지속관리(35.2%)하는 이용자들도 2011년의 50.4%, 60.9%보다 크게 줄어들었다.

각 이용자들이 일상적으로 스마트폰을 이용하며 번거롭고 느려진다는 이유로 정보보안에 소홀히 하고 있는 셈이다.

다만 정보보호 및 개인정보보호의 중요성에 대해 인식하고 있는 비율은 100%에 가깝게 나타났다. 최근 잇따르는 각종 개인정보 유출사고 및 각종 스미싱 피해 사례를 접하면서 경각심은 높아졌다는 것.

한 보안업체 관계자는 "지난해까지는 스마트폰을 통한 직접적인 피해가 크게 나타나지 않았고 스미싱의 경우 올해 새로 발견된 신종 사기수법에 가깝다"며 "올해 들어 스마트폰 보안에 대한 관심이 높아지면서 백신 다운로드 수가 다시 조금씩 증가하는 추세를 보이고 있다"고 설명했다.