'인터넷 뱅킹' 첫 해킹사레, 5천만원 인출

'비밀번호.공인인증서.보안카드' 3중방어막, 간단히 뚫려

국내 한 은행의 '인터넷 뱅킹'이 해킹 프로그램에 의해 손쉽게 뚫리는 사건이 발생했다.

***인터넷 뱅킹 해킹으로 5천만원 인출**

서울경찰청 사이버범죄수사대는 3일 인터넷을 통해 컴퓨터에 해킹 프로그램을 설치해 인터넷 뱅킹의 계좌와 비밀번호, 보안카드 번호 등을 알아낸 뒤 은행 계좌에서 5천만원을 빼낸 혐의로 이모(20)씨와 이씨의 여자친구 김모(19)씨에 대해 구속영장을 신청하고, 빼낸 돈을 입금할 통장을 만들어준 이씨의 동생 및 친구 등 2명의 고등학생을 불구속 입건했다.

이씨는 컴퓨터 이용에 상당한 기술을 쌓은 상태로, 이미 온라인게임에 사용되는 '사이버 머니'를 훔쳐 매매하는 등 말썽을 일으켜 고등학교를 중퇴한 상태고, 비슷한 혐의로 경찰에 수배된 상태였던 것으로 전해졌다.

경찰에 따르면 이씨는 지난달 초 강원도 춘천의 모 PC방에서 한 포털사이트의 '재테크' 카페 게시판에 '재테크를 도와드립니다'라는 제목으로 글을 올렸다. 그런데 이 글을 읽는 사용자는 컴퓨터 원격조종 프로그램이 자동으로 설치 돼, 사용자가 키보드를 치면 이씨는 상대방의 모든 글자와 정보를 얻을 수 있게 된다.

***공인인증서.보안카드도 간단히 무력화**

이는 '키 스트로크' 방식이라 불리는 일종의 P2P(개인간 파일 공유) 방식으로, '몰래 카메라'라고 불리기도 하는 해킹 프로그램 '넷데블'이다. 결국 해당 은행의 인터넷 뱅킹 이용시 실행되는 '키보드 보안 프로그램'의 보안 수준이 취약했거나 실행이 되지 않은 것으로 드러난 셈이다.

특히 인터넷 뱅킹 보안의 '마지막 보루'라 불리는 '보안카드' 시스템도 이씨가 김씨의 컴퓨터에서 확보한 보안번호를 인증창에 쳐 넣고 틀리면 다시 접속해 다른 보안번호를 입력하는 방식으로 보안 시스템을 뚫은 것으로 드러났다. 연속 3번 보안번호가 틀릴 경우 인터넷 뱅킹을 중지시키는 안전장치도 재접속이라는 방식으로 무력화시킨 것이다.

이씨는 이같은 방식으로 모 은행 인터넷 뱅킹을 하던 김모(42)씨의 아이디와 비밀번호, 공인인증번호, 보안카드번호 등을 알아낸 뒤 인터넷 뱅킹을 통해 김모씨의 계좌에서 5천만원을 빼돌려 동생과 동생 친구 명의의 계좌 5개에 분산 이체했다.

결국 이씨가 지인의 계좌에 입금시켰기에 적발할 수 있었지만, 이씨가 노숙자 명의의 통장을 개설해 계좌이체를 하는 등 좀 더 지능적이고 조직적인 범죄 행위를 저질렀더라면 적발이 쉽지 않았다는 게 경찰의 설명이다.

금융감독원은 이번에 사고가 발생한 외환은행 외에도 기업은행도 보안 시스템이 취약한 것으로 파악하고, 해당 은행에 5일까지 보안 프로그램을 교체할 것을 지시한 것으로 전해졌다.

***보안프로그램 가동 책임 공방**

사고가 발생한 은행측은 "고객이 보안카드를 잃어버려 생기는 사고는 개인 부주의에 의한 것으로 은행이 책임지지 않는다"며 사실상 은행이 책임을 지지 않겠다는 뜻을 밝힌 것으로 전해졌다.

그러나 해당 은행은 인터넷 뱅킹 보안 프로그램의 설치가 강제가 아닌 사용자의 의사를 묻도록 돼 있던 것으로 전해져, "인터넷 뱅킹 이용시 보안 프로그램이 강제로 실시되는 시스템이었다면 이러한 사고는 막을 수 있었다"는 지적과 함께 해킹 사건의 책임을 둘러싼 논란이 일 것으로 보인다.