금융보안원은 지난 6월 1일, 전자금융서비스 이용 시 발생한 피해사례와 시나리오를 기반으로 사이버 금융범죄 예방을 위한 금융소비자 대상 유의사항을 발표하였다. 이번 유의사항은 개인·금융정보 유출에 따른 피해 예방, PC·스마트폰 보안, 피싱 예방에 대해 중점적으로 다루고 있다.
주요 내용
[1] 인터넷뱅킹 등의 명의도용을 예방하기 위해 개인·금융정보 유출에 유의하세요.
- 나도 모르는 계좌개설, 카드 결제, 이동통신 개통을 확인하세요.
- 개인·금융정보를 내 PC나 스마트폰에 저장하지 마세요.
[2] 안전한 전자금융서비스를 이용하기 위해 PC와 스마트폰을 안전하게 유지하세요.
- 백신을 설치하여 주기적으로 바이러스를 검사하세요.
- 구 버전의 소프트웨어를 사용하는지 확인하세요.
[3] 날로 고도화되는 신·변종 피싱 수법에 절대 현혹되지 마세요.
- URL 접속 또는 앱을 설치하라는 요청 시 주의 깊게 확인하세요.
- 송금 또는 개인·금융정보 요구에 바로 응하지 말고 유선전화 등으로 관련 기관에 문의하세요.
발표된 「사이버 금융범죄 예방을 위한 금융소비자 유의사항」의 내용을 요약·정리하여 소개하고자 한다.
Ⅰ. 배경
최근 개인·금융정보 유출, S/W 취약점 해킹, 신·변종 피싱을 통한 자금 탈취 등 금융소비자에 대한 피해사례가 꾸준히 발생하고 있다.
➡ 이에 금융소비자를 대상으로 피해사례별 유의사항을 배포하여, 이와 유사한 방식의 사이버 금융범죄 피해자가 되지 않도록 안내하기 위함이다.
Ⅱ. 금융소비자 유의사항
1. 인터넷뱅킹 등의 명의도용을 예방하기 위해 개인·금융정보 유출에 유의
[피해 사례] 금융정보 유출 후, 대포폰 통해 명의도용 계좌개설 및 대출금 탈취 피해
□ A씨는 금융회사를 사칭한 피싱사이트에 속아, ① 개인·금융정보를 입력하고 스마트폰 내 미리 촬영해 둔 신분증 사진을 업로드하였다.
- 이후 범죄자는 A씨의 정보를 이용해 ② 비대면으로 대포폰을 개설한 후, ③ 비대면으로 계좌개설 및 대출을 실행하여 ④ 본인의 계좌로 이체하였다.
피해 진행 흐름
단계 경로 내용 ① A씨 → 범죄자 금융정보 유출 ② 범죄자 → 스마트폰 대포폰(A씨 명의) 개설 ③ 스마트폰 → 은행 A씨 명의로 계좌개설 및 대출신청 ④ 은행 → 범죄자 범죄자의 계좌로 자금 이체 ➡ 이 과정에서 A씨에게 본인 명의의 스마트폰 개통 SMS 알림이 왔으나, 당시 중요치 않게 생각하여 이후 별다른 조치를 취하지 않았다.
(유의사항 1) 나도 모르는 계좌 개설, 카드 결제, 이동통신 개통을 확인할 것
-
내가 하지 않은 계좌개설, 카드 결제, 이동통신 개통을 확인하여 내 계좌나 카드, 전화번호가 범죄에 이용되거나 금전적 피해를 보지 않도록 유의해야 한다.
※ 개인·금융정보 유출에 따른 피해를 확인 및 예방할 수 있는 서비스
- 계좌정보 통합 조회 : www.payinfo.or.kr 또는 “어카운트인포” 앱
- 통신서비스 가입 조회 : www.msafer.or.kr
- 개인정보노출자 사고예방 신청 : pd.fss.or.kr
(유의사항 2) 개인·금융정보를 내 PC나 스마트폰에 저장하지 말 것
- 해킹 등으로 개인·금융정보가 유출되는 것을 예방하기 위해 계좌번호, 비밀번호, 보안카드 등을 텍스트 및 사진 형태로 PC나 스마트폰에 저장하지 않도록 유의해야 한다.
2. 안전한 전자금융서비스를 이용하기 위해 PC와 스마트폰을 안전하게 유지
[피해 예상 시나리오] 보안인증 S/W 취약점을 통한 자금 탈취 피해 가능성
□ B씨는 몇 년 전 인터넷뱅킹 이용을 위해 은행 홈페이지에서 ① 보안인증 S/W를 설치하였다. 최근에는 모바일뱅킹을 주로 이용하여 해당 S/W에 대해서는 설치 사실조차 잊어버렸다.
- 이후 해커는 해당 S/W의 취약점을 통해 ② B씨의 PC를 원격 조종하는 악성 S/W를 설치하고 B씨의 PC를 탐색하며 ③ 금융정보를 탈취하고, 이를 이용해 ④ B씨의 계좌에 접속하여 본인 계좌로 자금을 이체할 개연성이 존재한다.
피해 진행 흐름
단계 경로 내용 ① B씨 → B씨 PC 보안인증 S/W 설치 ② 해커 → B씨 PC 원격조종 악성 S/W 설치 ③ B씨 PC → 해커 금융정보 탈취 ④ 은행 → 해커 해커는 탈취한 금융정보를 이용해 B씨의 계좌에 접속하여 해커의 계좌로 자금 이체 ➡ 해당 S/W의 취약점이 제거된 최신버전이 이미 배포되었지만, B씨는 해당 내용을 확인하지 못했으며, PC에 설치된 백신의 바이러스 실시간 감시 및 정기적 검사 기능은 꺼져 있었다.
(유의사항 1) 안전한 곳에서 백신을 설치하여 주기적으로 바이러스를 검사할 것
- 공식 앱 마켓(구글 플레이스토어 등)에서 백신을 설치하고 실시간 감시 및 정기적 검사를 통해 기기 내에 바이러스 등 악성코드가 설치되지 않도록 유의해야 한다.
(유의사항 2) 구 버전의 소프트웨어를 사용하는지 확인할 것
- 전자금융거래에 사용하는 PC와 스마트폰의 OS 및 앱의 버전을 수시로 확인하고 최신버전으로 업데이트해야 한다.
| 구분 | OS 자동 업데이트 | 앱 자동 업데이트 | |
|---|---|---|---|
| PC | 윈도우 | OS 자동 업데이트 | ‘Microsoft Store’ → 우측 상단의 계정 메뉴 클릭 → ‘설정’ → ‘앱 업데이트’ → ‘앱 자동 업데이트’ |
| 스마트폰 | 안드로이드 (갤럭시 등) | ‘설정’ → ‘소프트웨어 업데이트’ → ‘Wi-Fi로 자동 다운로드’ 켜기 | ‘Play스토어’ → 우측 상단의 프로필 아이콘 클릭 → ‘설정’ → ‘네트워크 환경설정’ → ‘앱 자동 업데이트’ |
| 스마트폰 | iOS (아이폰 등) | ‘설정’ → ‘일반’ → ‘소프트웨어 업데이트’ → ‘자동 업데이트’ → ‘iOS업데이트 설치’ 켜기 | ‘설정’ → ‘App Store’ → ‘앱 업데이트’ 켜기 |
* 공식 앱 마켓 외 설치한 S/W는 주기적으로 버전을 확인하고 공식 홈페이지에서 최신버전 설치 * OS 버전에 따라 기능작동 방법은 상이할 수 있음
3. 날로 고도화되는 신·변종 피싱 수법에 절대 현혹되지 말 것
[피해 사례] 악성앱을 활용한 피싱에 속아 41억 원 탈취 피해
□ C씨는 ① 카카오톡으로 본인 이름과 범죄명이 적힌 검찰 공문을 받았다.
- C씨는 피싱을 의심하여 ② 검찰청으로 전화하여 문의하였으나, 검사는 해당 공문이 사실이며 심지어 C씨의 최근 행적까지 알고 있어 C씨는 검사를 신뢰하게 되었고, 검사가 시키는 대로 ③ 자금을 이체하였다.
피해 진행 흐름
단계 경로 내용 ① 범죄자 → C씨 검찰 사칭 공문 송부 ② C씨 → 범죄자 검찰에 전화하여 문의를 시도하였으나, 범죄자에 연결됨(전화 가로채기) ③ C씨 → 범죄자 자금 이체 ➡ 범죄자는 C씨를 속여 스마트폰에 미리 설치한 악성앱을 통해 검찰청 전화를 가로채 범죄자로 연결하게 하고, 미리 탈취한 스마트폰 내 주소록·SMS기록·통화기록 등을 통해 행적을 실시간 모니터링하여 C씨를 완전히 속였다.
(유의사항 1) 불특정인으로부터 전화·카카오톡·SMS·이메일을 통해 URL 접속 또는 앱을 설치하라는 요청 시 주의 깊게 확인할 것
-
범죄자는 다양한 수법을 통해 지인 또는 기관*을 사칭하여 결국에는 개인·금융정보 및 자금을 탈취하므로, 섣불리 요청에 응하지 말고 요청 받은 내용에 미심쩍은 부분은 없는지 주의 깊게 확인해야 한다.
* 금융회사, 전문 투자자, 정부·공공기관, 택배업체 등을 주로 사칭
※ 이미 피싱사이트에 접속했거나 악성앱을 설치했다면 백신으로 기기를 검사하여 바이러스를 삭제한다.
(유의사항 2) 불특정인의 송금 또는 개인·금융정보 요구에 바로 응하지 말고 유선전화 등으로 관련기관에 문의할 것
- 내 스마트폰이 악성앱에 감염되어 전화번호 가로채기를 당한 상태일 수 있으므로, 유선전화나 타인의 스마트폰을 이용하여 관련 기관의 공식 홈페이지에서 전화번호를 찾아 문의해야 한다.
☞ [참고] 주요 피싱 수법 및 특징
| 구분 | 특징 |
|---|---|
| 스미싱 | 금융회사의 대출 권유, 스미싱 내 포함된 링크가 금융회사 공식 홈페이지와 상이함 |
| 전화번호 가로채기 | 긴급번호(112)로 표시되나 전화 가로채기로 다른 번호와 통화됨 대응방법은 악성앱을 삭제하거나, 다른 유선전화로 통화를 시도해야 함 |
| 피해자 명의 가상계좌 | 피해자와 동일한 예금주 이름으로 가상계좌를 개설하여 피해자 본인의 계좌로 착각하도록 하여 입금 유도함 |
| 피싱사이트 | 링크가 공식 홈페이지와 상이, 여러 버튼을 눌렀을 때 미작동 기능이 많음 |
| 악성앱 | 공식 앱마켓이 아닌 카카오톡, 피싱사이트 등의 경로로 설치됨 |
| 허위 공문 | 내용 무관, 미리 탈취한 피해자의 이름과 생년월일만 복사하여 붙여넣음 |
발표된 유의사항별 세부 내용은 금융보안원 공식 홈페이지(www.fsec.co.kr)에서 확인이 가능하다.
자료 출처
- 금융보안원 보도자료 : “사이버 금융범죄 예방을 위한 금융소비자 유의사항”(2023.06.01)