스마트폰·PC 결제사기 기승...결제시스템 개선돼야

악성 앱으로 결제정보 탈취 및 도용결제, 허술한 결제방식 노려

[보안뉴스 김경애] PC에 저장된 신용카드 결제정보와 스마트폰 수신문자를 가로채 개인정보를 탈취한 결제사기가 기승을 부리고 있는 가운데 갈수록 그 수법이 진화하고 교묘해지고 있어 결제 시스템의 보안강화와 개선이 요구되고 있다.

경찰청 사이버테러대응센터 측은 지난달 19일 오후 5시35분경 인천공항 입국장 앞 등 3개소에서 결제정보와 인증정보를 탈취해 부당 이득을 취한 일당 3명을 검거했고, 함께 공모한 중국인 5명은 수사 중이라고 2일 밝혔다.

이들은 지난해 10월 4일부터 11월 7일경까지 중국 소재의 한 사무실에서 PC에 저장된 신용카드 결제정보를 유출하는 기능의 악성코드를 다수의 인터넷 쇼핑몰사이트를 통해 유포하고, 감염된 228명의 PC로부터 신용카드 결제정보를 취득했다. 이후 게임사이트 등에서 1,006회에 걸쳐 도용 결제하는 수법으로 총 2억 2천만 원의 부당이득을 취한 것으로 조사됐다.

유사한 방법으로 추가 범행한 이들은 지난해 11월 27일부터 지난달 18일경까지 스마트폰 수신문자를 가로채는 기능인 악성 앱을 해외 인터넷 사이트를 통해 유포하고, 설치 유도하는 문자메시지를 50만 명에게 발송했다. 이후 감염된 21명의 스마트폰으로부터 소액 결제시 필요한 정보와 수신문자를 가로채 37회에 걸쳐 490만원의 부당이득을 취한 것으로 드러났다.

이중 중국범죄조직과 범행을 공모한 이 모씨는 10세부터 16세까지 중국에서 생활해 중국어에 능통한 것으로 알려진 가운데 게임아이템을 사고파는 일에 종사하던 중 작년 8월경 중국 해킹조직을 만나 역할 분담을 통해 범행을 모의한 것으로 밝혀졌다.

해킹조직에게 신용카드 결제방식과 스마트폰 결제방식을 알려준 이 모씨 등은 악성코드와 악성 앱이 정상적으로 설치·동작하는지 테스트 하는 등의 역할을 맡고, 중국 해커들은 해외서버 관리, DB관리, 신용카드·스마트폰 도용 결제, 악성코드 제작 및 유포 등의 역할 분담으로 범행을 저지른 것으로 조사됐다.

특히, 이들은 신용카드 소액결제는 한도액까지 횟수 제한 없다는 취약점을 노리고, 신용카드 결제에 필요한 공인인증서, ISP인증서, 카드번호, 유효기간, 비밀번호 등과 같은 정보를 유출하는 악성코드를 제작·유포한 것으로 밝혀졌다.

또한, 스마트폰에 악성 앱을 설치시키기 위해 구글과 같은 정상적인 앱을 가장해 유포하고, 야간과 새벽시간대에 결제를 시도했으며 ‘인증번호’ 및 결제 직후의 ‘결제확인’ 통보 문자를 탈취해 피해자가 결제사실을 잘 알지 못하도록 하는 등 범행의 치밀함을 보였다.

이에 따라 PC와 스마트폰에 악성코드·악성 앱 설치시 결제 관련 정보가 유출될 수 있어 결제방식의 보안 강화와 개선이 요구된다.

경찰청 사이버테러대응센터 측에 따르면 인터넷 신용카드 결제시 인터넷뱅킹과 같은 키보드 보안 또는 보안 프로그램이 설치된 상태에서만 결제가 진행되도록 보완이 필요하고, 스마트폰 소액결제를 원천 차단 또는 결제금액 한도를 제한해야 한다고 지적했다.

이와 함께 사용자는 스미싱 문자에 현혹되지 않도록 이동통신사 또는 스마트폰 설정을 통해 스펨 문자가 사전에 차단되도록 보안설정을 강화하고, 확인되지 않은 사이트나 단축URL 주소에 연결된 앱은 설치하지 말 것을 당부했다.

따라서 안드로이드 스마트폰 사용자자는 환경설정 > 보안 > 디바이스 관리 > 알 수 없는 출처에 체크해제하고, 공인된 오픈마켓을 통해서만 스마트폰 앱을 설치하는 것이 좋다.

이와 관련 경찰청 사이버테러대응센터 관계자는 “검거 피의자들과 공모한 중국 소재 중국인 해커 등 5명에 대해서는 중국 측과 공조수사를 진행하는 상태로서 빠른 시일 내에 검거할 수 있도록 노력할 것”이라며, “신용카드·스마트폰 결제 피해 예방을 위해 관련업체와 근본적인 대책을 마련하는 한편, 지속적으로 발생하고 있는 사건에 대해서도 지방청, 경찰서 인력을 동원해 수사에 만전을 다할 것”이라고 밝혔다.

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)