[비바100] 심화되는 모바일 미러링 공격, '미러링 방지'로 중요 정보 유출 '0'

 

(이미지제공=게티이미지뱅크)

  

2008년 애플이 ‘아이폰’을 전격 발표한 ‘아이폰 쇼크’ 이후 스마트폰, 태블릿PC 등 모바일 기기의 영향력이 갈수록 높아지고 있다. ‘모바일 전성시대’라고 해도 과언이 아니다. 5G 시대인 지금은 쇼핑, 게임, 업무, 공부, 금융 거래 등 삶의 필수 요소부터 취미 활동까지 모두 모바일 기기로 해결이 가능하다.

2019년 말부터 시작된 코로나19 팬데믹도 모바일 기기 활용 증가에 큰 영향을 미쳤다. 이용자들이 대면 활동을 통한 코로나19 감염을 우려하면서 오프라인으로 이뤄지는 서비스들이 비대면의 형태로 변화했으며, 시간·공간적 제약을 받지 않고 이용할 수 있는 모바일 앱 서비스 분야도 지속해서 성장해 왔다. 

(이미지제공=게티이미지뱅크)

 

모바일 기기 활용 비중이 높아지면서 부작용도 속속 발견되고 있다. 특히, 모바일을 통해 금융 거래가 가능해진 시점부터 모바일 보안의 취약점을 파고든 각종 범죄가 늘어나는 추세다. 범죄 방식은 나날이 고도화되고 발전하고 있으며 공격 수법 역시 교묘해졌다.

계좌 비밀번호와 같은 개인 정보를 탈취하거나 타인의 명의를 도용한 소액 결제 사기, 불특정 다수에게 금융 거래를 위장한 SMS를 보내는 스미싱 사기 등이 대표적이다.

최근에는 범죄 조직이 자녀나 지인을 사칭한 문자 메시지를 통해 원격 제어 애플리케이션을 설치, 개인정보를 빼돌려 60억원 이상의 돈을 가로챈 사건이 발생했다. 이들은 공식 애플리케이션의 다운로드 링크로 위장한 가짜 주소를 보내 피해자에게 설치를 유도했다. 피해자의 휴대전화에는 악성 원격 제어 앱이 설치됐고, 해당 앱을 이용해 계좌, 카드 정보 등을 탈취해 금융 피해를 입혔다.

지난 8월 부산에서는 약 3억여원을 갈취한 스미싱 사건이 있었다. 배송 주소의 수정이 필요하다는 문자 메시지를 받고 첨부된 링크를 클릭한 피해자는 이틀 후 자신의 휴대전화가 먹통이 되고 얼마 후 주거래 은행에서 수 차례 출금이 있었다는 연락을 받아 사기임을 인지했다.

‘미러링’을 활용한 사기 행각도 점점 늘어나고 있다. 미러링은 거울을 뜻하는 ‘미러’에서 나온 말로, 임의의 장치를 다른 디스플레이에 마치 거울처럼 동일하게 표시하는 방식을 말한다. 원격 제어를 위해서는 필수적으로 미러링이 사용되는데 최근 발생한 여러 모바일 금융 범죄에서 빈번하게 사용됐다.

주요 수법으로는 문자 메시지에 포함된 위장 주소를 클릭하게 만들고 악성 원격 제어 앱의 다운로드를 유도한다. 해당 악성 앱을 통해 침투한 공격자는 피해자의 휴대전화 화면을 미러링해 그대로 제어한다. 미러링과 원격 제어를 통해 사용자의 계좌, 신분증 등 중요정보를 탈취하고 금융 앱 등을 제어해 금품을 가로채는 등의 방식으로 많은 피해 사례를 낳았다.

하지만, 미러링 공격을 원천 차단하는 보안 솔루션이 모바일 기기에 설치되어 있다면 이러한 피해를 방지할 수 있다. 공격자가 미러링을 시도하는 명령을 내리면 솔루션은 앱 자체에서 감지해 미러링, 원격 제어 앱 등의 실행 여부를 확인한다. 공격자의 미러링 시도, 원격제어 앱의 동작, 화면 캡처 등이 탐지되면 앱 서비스를 운영 중인 기업의 방침에 따라 진행 중인 금융 거래의 동작을 저지하거나 팝업창을 띄워 사용자의 피해를 막는다.

 

‘엔프로텍트 시큐어 스크린 엠’의 미러링 공격 차단 과정. (이미지제공=잉카인터넷)

 

국내 정보보안 솔루션 전문기업 잉카인터넷은 올해 초 관계부처의 가이드라인을 반영한 앱 보안 솔루션 ‘엔프로텍트 시큐어 스크린 엠(nProtect SecureScreen M)’을 론칭했다. 이 솔루션은 모바일 앱 서비스를 제공하는 환경에서 사용하는 기업 대상 제품이다.

엔프로텍트 시큐어 스크린 엠 솔루션은 화면 미러링을 통해 중요 정보를 전송하는 원격제어 앱의 동작을 탐지하고, 화면 캡처를 방지해 정보 유출과 피싱 위협으로부터 안전한 모바일 서비스 환경을 유지하도록 돕는다.

별도의 설치 없이 앱 내에 라이브러리를 삽입하는 SDK 방식으로 개발에 최적화된 환경을 제공해 편리성을 높였다. 서버리스 방식을 통해 별도의 서버 비용이 발생하지 않고 단말 정보를 수집하지 않아 개인 정보 유출 위험도 줄였다.

이외에도 국제표준기반 기능적합성, 성능효율성, 호환성, 사용성, 신뢰성 등 과학기술정보통신부가 고시한 소프트웨어 품질인증 기준에 만족하는 소프트웨어로 품질을 인정받아 GS인증 1등급을 획득했다. GS인증 제품의 경우 공공기관, 행정 및 공공정보화사업 구축 시 우선 도입 대상 제품으로 지정된다.

다양한 모바일 앱 서비스가 등장하고 각 산업 분야와 사용자를 노리는 범죄가 기승을 부리는 최근에는 금융 영역 이외에도 공공기관, 일반 기업 등 다양한 분야에서도 활발히 도입을 이어가고 있다고 잉카인터넷 측은 강조했다.

잉카인터넷 관계자는 “원격접속 등 스마트 오피스 구축이 활발해지고 금융 앱 사용자가 늘어나면서 미러링을 활용한 중요 정보 유출 사건이 끊이지 않고 있다”며 “보다 편리하고 안전한 앱 서비스 환경을 위해 보안 솔루션 역시 고도화를 이어나갈 예정”이라고 말했다.

여러 관계부처도 금융 및 핀테크 서비스를 제공하는 모바일 앱 보안에 관한 취약점 점검 가이드, 공통 가이드라인 등을 제공해 미러링 공격으로 인한 범죄 피해를 막고자 노력 중이다.

금융보안원은 핀테크 서비스 취약점 점검 가이드의 ‘중요정보 화면 보호 적용’ 항목을 통해 기밀성이 요구되는 중요정보의 화면 캡처를 막아 정보 탈취를 막도록 했다. 행정안전부의 대민 모바일 보안 공통기반 활용 가이드라인에서도 화면캡처 방지에 대한 기능을 포함해 안전성을 확보하도록 가이드를 제시한다.

금융 및 핀테크 서비스를 제공하는 앱 출시를 준비하는 기업에게는 이러한 가이드라인을 준수하도록 해 개발 단계부터 미러링 공격 방지를 유도하고 있다.

박준영 기자 pjy60@viva100.com