[BLACKGUEST의 차이나리포트] 바코드 보안위협, 책임은 누가?

지난해부터 바코드 통한 악성코드 전파 급격히 증가

360 탄샤오셩 CEO “바코드 보안업체가 손해배상해야”

[보안뉴스=BLACKGUEST] 올해 중국 중앙은행이 제3자 지불에 대한 감시를 강화하면서 3월 13일 바코드 지불과 가상신용카드를 중지시켰다. 이는 보안성에 의심할 만한 점이 있기 때문이라는 것. 이와 관련해 북경방송국 ‘BTV 재정봉휘’에서 집중보도했으며, 모바일 보안업체 360의 CEO 탄샤오셩은 바코드 보안에 대해 자신의 견해를 발표했다.

중국 IT 및 보안전문 매체인 IT전문가에 따르면 그는 “바코드 결제의 보안을 유지하기 위해 보안 프로그램을 사용하는 것이 좋다”며, “또한 보안 프로그램으로 바코드를 검사하다가 문제가 발생해 경제적 손실을 끼치게 되면 보안프로그램 제작회사가 손해배상을 하는 방식도 있다”고 전했다. 이러한 방식은 사용자들에게 신뢰를 줄 수 있다고 소개했다.

▲360 탄샤오셩 CEO가 바코드결제 보안 정책에 대해 설명하고 있다.

그는 올해 보안 컨퍼런스에서 악성 바코드를 통해 인터넷뱅킹 비밀번호를 탈취하는 방법에 대해 발표했다. 탄샤오셩 대표는 “해커는 피싱 사이트를 만들고, 트로이목마를 바코드에 심은 후 손쉽게 은행카드에 들어있는 예금을 빼낼 수 있다”고 설명했다. 덧붙여 그는 “중국은 지난해부터 피해자들이 악성 바코드를 스캔하다가 입은 손실이 이만저만이 아니다”고 밝혔다.

360 보안센터가 배포한 ‘2013년 중국 모바일 보안상태 보고서’에 의하면, 바코드를 통한 악성코드 전파가 지난해부터 급격히 증가한 것으로 드러났다. 예를 들어 ‘결제의 귀수’, ‘인터넷 뱅킹의 신투’ 등의 트로이목마는 모두 바코드를 통해 전파된 것이다.

이렇듯 바코드의 보안성에 대해 많은 의문이 제기되고 있지만, 그렇다고 바코드 결제를 없애는 것 역시 좋은 해결방법은 아니라고 전문가들은 말한다. 바코드 결제를 주로 사용하는 소비자들과 공급하는 중소기업에서 느끼는 편리함은 의심할 여지가 없기 때문이다. 따라서 보안문제를 해결할 더 좋은 방법을 모색하는 것이 중요하다.

▲360 모바일 백신이 피싱 사이트를 감지하는 모습

최근 들어 중국 내에서 바코드에 있는 악성코드를 스캔하는 백신들이 많아졌다. 360 모바일 백신 역시 여기에 포함되는데, 바코드상에 숨어 있는 것이 피싱 사이트인지 바이러스인지 바로 식별할 수 있으며, 이로 인해 사용자들의 경제적 손실을 막아 줄 수 있다고 탄샤오셩 CEO는 설명했다.

그는 “보안서버를 제공하는 기업들은 바코드의 보안성에 대해 책임을 질 필요가 있다”고 말했다. 현재 360 모바일 백신은 이렇게 운영되고 있으며, 바코드를 인터넷 상품의 일부분으로 여기고 있다. 그러므로 바코드도 자연스럽게 360모바일 백신 인터넷 쇼핑 유료서비스의 보호대상에 속한다.

360모바일 백신을 이용하는 네티즌들은 경제적 손실이 발생하거나 사기를 당했을 경우 360에서 건당 2000위안을 지급하며, 1년간 최대 72000위안의 배상을 받을 수 있다. 사용자들이 인터넷쇼핑의 편리성을 누리면서도 더욱 안전하게 보호받을 수 있게 된 것이다.

[정리_BLACKGUEST]

[출처: IT전문가(http://security.ctocio.com.cn/)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)