[커버스토리] '인터넷 뱅킹' 우회 해킹 논란

시중은행의 인터넷 뱅킹 시스템에 구멍이 뚫렸다. 고객의 개인용 컴퓨터(PC)를 통해 접근하면 해킹에 속수무책이라는 지적이 나와 논란이 일고 있다.

인터넷 정보보안 회사인 시큐어뉴스(http://www.securenews.co.kr)는 "최근 2주간 10개 시중은행의 인터넷 뱅킹 시스템에 해킹 모의 테스트를 한 결과 모든 은행의 시스템에 쉽게 접근할 수 있었다" 고 2일 주장했다. 시큐어뉴스는 은행의 메인 컴퓨터나 네트워크를 뚫지 않고 이곳에 접속하는 고객들의 PC에 접근해 해킹을 시도했다고 설명했다.

이에 대해 시중은행들은 "은행 시스템이 직접 해킹 당한 것은 아니다" 고 반박하면서도 고객 계좌가 안전하지 않다는 데 대해 곤혹스런 표정이다.

◇ 어떻게 뚫렸나=시큐어뉴스는 직원들의 인터넷 뱅킹 계좌로 모의 테스트를 실시했다. 우선 개인 PC에 접근해 '서브7' 등 해킹용 바이러스를 심어놓고 기다렸다. 이 바이러스에 감염되자 사용자의 화면이 해커의 컴퓨터에 고스란히 떴고, 'xxxx' 로 나타나는 비밀번호도 노출됐다.

시큐어뉴스 관계자는 "사용자가 인터넷 뱅킹에 접속할 때 입력한 ID와 비밀번호, 안전카드 번호까지도 그대로 입수할 수 있고 계좌이체를 통해 돈을 빼돌릴 수 있다는 뜻" 이라고 주장했다. 해킹 방지용으로 배포되는 안전카드나 공인인증서도 무용지물이었다.

이 회사 김원식 사장은 "해커들이 쉬운 방법을 놔두고 굳이 어려운 은행 컴퓨터를 직접 해킹할 이유가 없다" 며 "은행들이 시스템을 개발하며 자체 보안에만 신경썼을 뿐 우회 해킹에 대한 대비에는 관심이 없었던 것 같다" 고 지적했다.

◇ 고객 PC의 사고 책임은 누구에게=9월부터 시행될 전자금융거래 기본약관은 '고객의 고의.과실이 아닌 피해는 금융기관이 보상' 토록 규정하고 있다. 하지만 고객의 PC가 해킹당할 때 누구의 책임인지는 명확하지 않다. 한빛은행 e컴센터 신미영 차장은 "은행이 고객의 PC까지 보호해줄 수는 없다" 며 "PC가 해킹당할 수 있다는 것은 이미 알려진 사실이므로 고객이 알아서 보안에 신경써야 한다" 고 주장했다.

그러나 고객이 자신의 PC가 해킹당하는지 알 수 없고 아무리 보안프로그램을 깔아도 신기술이 나오면 막을 수 없다는 데 문제가 있다.

◇ 대책은 없나= '서브7' 은 컴퓨터를 조금만 아는 사람이면 인터넷 상에서 쉽게 구할 수 있는 해킹 프로그램이다. 지금까지 이같은 유형의 해킹 피해는 보고되지 않았지만 얼마든지 가능한 일이라는 것이다.

개인 PC를 보호하기 위한 노력도 나오고 있다. 국민.제일.조흥은행은 개인 PC용 보안 프로그램을 내려받을 수 있는 서비스를 제공하고 있다. 한빛은행은 비밀번호 대신 지문으로 본인 여부를 인식하는 '생체인식 시스템' 을 시험가동 중이다. 신한은행은 큰 손인 기업고객에게 '가상 비밀번호 자동 생성기(OTP)' 를 나눠주고 있다.

시큐어뉴스 金사장은 "PC용 보안 프로그램이나 OTP가 설치된 컴퓨터의 해킹은 상대적으로 힘들었다" 며 "은행들이 인터넷 뱅킹 사용자에게 보안 프로그램을 내려 받도록 의무화해야 한다" 고 말했다.

최현철 기자