스미싱, 누구도 믿지 못하게 하는 사회악

회사원 김현우(30·가명)씨는 평소 여자 친구에게 줄 선물을 사기 위해 인터넷 쇼핑몰에서 자주 물건을 구입한다. 전과 똑같이 인터넷 쇼핑몰에서 쇼핑을 한 김 씨는 다음 날 쇼핑몰로부터 문자를 한 통 받았다. ‘14:01 결제금액: 66000원 결제’. 김 씨는 어제 구매하고 결제까지 했는데 이건 무슨 일인가 싶어 무심결에 링크 주소를 눌렀다. 그리고 한 달 후, 평소보다 많이 나온 요금을 보고 명세서를 확인한 그는 그제야 이유를 알았다. 한 게임사 사이버머니를 사는데 자신의 휴대전화 소액 결제가 사용된 것. 이미 자신의 이름과 휴대전화 번호를 정확히 알고 있는 공격자들이 또 어떤 개인정보를 빼내 갔는지 알 수가 없어서 불안하기만 하다. 주부 황모씨(52)는 며칠 전, 20만원이 결제됐다는 문자 메시지를 받고 놀란 마음에 황급히 전화를 걸어 무슨 일이냐고 물었다. 황씨는 20만원을 카드로 사용한 적도 없고 인터넷 쇼핑은 단 한 번 도 해본 적이 없었기 때문에, 자신도 모르게 20만원이 결제됐다고 하니 당황스러울 수밖에 없었다. 전화를 받은 상담원은 친절하게 자신이 시키는 대로 따라하면 된다고 했고, 황씨는 그대로 따라할 수 밖에 없었다. 상담원은 결제금액을 취소하기 위해서 인증서를 보냈으니 그 번호를 알려달라고 요구했다. 황씨가 승인번호를 알려주자 상담원은 웃으면서 정상적으로 취소됐다고 말하고 전화를 끊었다. 한 숨 돌린 황씨는 마침 학교에서 돌아 온 아들에게 방금 있었던 일을 얘기했지만, 아들이 들려주는 얘기에 그만 주저앉고 말았다. 이처럼 사람들 심리를 이용하는 신종 휴대전화 소액결제 사기가 급증하고 있다. 바로 스미싱(Smshing)이다. 유명한 베이커리나 패스트푸드점, 영화관 등의 공짜쿠폰이나 할인권을 준다는 내용과 쓰지도 않은 금액이 결제됐다며 확인해보라는 문자, 호기심을 유발하는 자극적인 문자 등 여러 가지 방법으로 사람들을 현혹해 첨부된 링크를 확인하게 만들어 소액결제이용료를 가로챈다. 특히 더욱 심각한 것은 기존의 랜덤 형식으로 마구잡이로 사용자에게 악성코드를 유포하는 방식이 아니라, SMS를 전달받는 이용자의 실제 정보를 활용해 개개인을 타깃으로 하는 공격 방식이 증가하고 있다는 것이다. 실제 결혼을 앞둔 예비부부들이 모바일로 청첩장을 돌리는 경우를 주변에서 흔히 볼 수 있데, 공격자들이 이러한 점을 착안해 개개인을 타깃으로 하는 스미싱 공격을 진행하고 있다. 이렇게 무심코 당한 피해자들은 소액결제가 됐다는 사실을 까맣게 모르고있다가, 한 달 뒤 스마트폰 명세서에 적힌 소액결제 내역을 보고 나서야 사기 당했다는 것을 깨닫는다. 많은 스마트폰 사용자가 내역서를 꼼꼼히 살펴보지 않기 때문에 추가 피해는 이어진다. 스미싱은 문자메시지로 악성프로그램 설치를 유도하고 피해를 입힌다는 뜻으로 문자메시지(SMS)와피싱(Phishing)을 합성한 단어이다. 스마트폰 이용자가 급증하면서 신종사기 수법으로 악명을 떨치고 있다. 특히 최근에는 내용이 다양하고 쉽게 믿을 수 있도록 수법이 지능화되고 있다. 특히 보이스피싱과 결합한 형태의 복잡한 공격으로까지 진화했다.한국인터넷진흥원(KISA)가 올 3월 접수받은 스미싱용 악성 앱의 경우는 더욱 심각하다. 스마트폰 SD카드에 저장된 공인인증서와 사진, 메모 폴더 등을 압축해 통째로 탈취하는 것으로 분석됐기 때문이다. 스마트폰을이용한 모바일 뱅킹이 활성화되면서 일부 사용자들이 보안카드를 촬영한 사진이나, 로그인에 필요한 ID와 비밀번호를 스마트폰에 저장해 사용하고 있는 것을 노린 것이다. 그렇다면 이 스미싱으로부터 안전한 방법은 무엇이 있을까? 가장 좋은 방법은 문자메시지에 포함되어 있는 URL을 누르지 않는 것이다. 한 마디로 그냥 무시하고 삭제하는 것이 가장 좋다. 하지만 호기심이 무척 강한 사람들은 그냥 넘어가기에는 무척 아쉬울 것이다. 진짜 일 경우도 있다고 생각하니 말이다. 문자메시지에 포함되어 있는 URL은 보통 짧은 주소(Short URL)를 이용해 전달한다. 또 짧은 주소는 전체 내용을 읽기 좋게 가독성에도 도움이 된다. 문제는 이 짧은 주소의 원래 주소를 스마트폰에서 확인하기가 어렵다는 것이다. 특히 ‘악성코드가 설치라도 되면 어떡하지’라는 생각에 선뜻 누르지 못한다. 따라서 조금 귀찮더라도 직접 확인하는 것이 좋다. 친구가 보낸 진짜 스타벅스 커피쿠폰일수도 있지 않은가. URL을 직접 누르기보다는 출처를 확인해보는 방법이 있다. 즉, 문자 메시지에 포함된 짧은 URL을 원래의 주소로 변환해 확인해보자는 것이다.짧은 주소를 원래의 주소로 변환해주는 사이트는 많다. Longurl.org의 경우에는 최종 타깃URL 뿐만 아니라 중간의 경유하는 주소와 횟수까지 알 수 있도록 Redirect 정보도 제공하고 있다. 이 외에도 짧은 주소를 확인할 수 있는 사이트는 unshort.me, unshorten.it, unshorten.com이 있다. 스미싱 차단 앱 설치하자 KT, 올레스미싱차단 이스트소프트, 알약 안드로이드 정보보안 업체 잉카인터넷은 알려지지 않은 신종 스미싱 문자메시지도 자동으로 분석·탐지가 가능한 ‘뭐야 이 문자’ 앱을 무료로 배포했다. 특히 지난해부터 최근까지 국내에서 자체 발견한 1천 종 이상의 국내 맞춤형 스미싱 형태를 분석한 데이터를 기반으로 하는 것이 특징이다. 스미싱에 당했다면? 지난해 12월 외국의 한 보안업체가 인터넷으로 스마트TV에 접속해 악성소프트웨어를 설치한 후 내부의 모든 데이터를 검색, 조작하고 TV 기능을 완벽하게 제어하는 동영상을 공개해 파장을 일으켰다. 리눅스와 펌웨어를 사용하는 스마트TV에 존재하는 보안 취약점을 노린 것이다. 또 지난 3월 캐나다에서 열린 해킹 컨퍼런스 ‘캔섹웨스트(CanSecWest)’에서 고려대학교 사이버 국방학과 소속 이승신(29)씨가 전원이 꺼진 스마트TV 상태에서도 해킹을 통한 도촬을 선보여 충격을 가져왔다. 이 씨는 시청자의 사생활을 몰래 촬영한 뒤 이를 인터넷으로 생중계했다.
사회적 혼란 야기할 수 있어