금융보안원, 모바일 뱅킹 인증서 복제 레드팀 결과 공개

금융보안원은 월요일 레드팀 용역사가 공식 스토어 밖에서 설치한 오버레이 악성코드로 22대 테스트 안드로이드폰 11대에서 모바일 뱅킹 인증서를 복제했다고 보고했다. 이 실패율 때문에 2027년 3월까지 업계 전반에 하드웨어 기반 키를 권고했다.

공격 경로

테스터는 제3자 마켓에서 쿠폰 앱으로 위장했다. 설치 후 악성코드는 정상 뱅킹 앱 위에 가짜 로그인 화면을 겹쳐 일회용 비밀번호를 훔치고 4분 안에 인증서를 공격자 서버로보냈다. 같은 실험의 iOS는 탈옥하지 않으면 복제에 견뎠다.

우리·하나금융은 12월 예정된 앱 쉴딩 업그레이드를 앞당긴다고 했다. PC 뱅킹이 없는 카카오뱅크는 다음 달부터 안드로이드 15 단말에서 사이드로드 인증서보내기를 전면 차단한다.

금감원은 30일 안에 시정 일정을 제출하라고 했다. 자발 참여를 이유로 과태료는 없었지만 2027년 재실패 시 현장 검사를 경고했다.

한국인터넷진흥원은 Google Play·Galaxy Store만 설치하고 ‘알 수 없는 앱’ 설치를 끄고, 로그인 중 깜빡이는 오버레이가 보이면 보안번호를 바꾸라는 체크리스트를 냈다. 통신사는 화요일 무료 SMS로 같은 경고를 보낸다.

일 1,000만 원 이상 모바일 이체는 팬데믹 이후 두 배가 됐고, 검찰은 인증서 도용 보이스피싱 사건을 여러 건 다룬다. 금융보안원은 분기별로 같은 훈련을 반복하고 익명화된 벤더 점수를 공개해 앱 보안 스타트업 경쟁을 촉진하겠다고 했다.

인증서 복제는 2024년 보이스피싱 유죄 판결에도 등장했다. 강남 일당이 은행이 오버레이 탐지를 패치하기 전 128억 원을 옮겼다. 금융보안원은 그 사례를 모델링했고, 가짜 보안 업데이트를 사이드로드하라는 사회공학 전화도 넣었다.

화이트라벨 앱을 쓰는 소형 상호저축은행이 최악 점수를 받았다. 금융보안원은 모바일 사용자 200만 미만 기관의 모의해킹을 지원해 농어촌 예금자에게 비용을 전가하지 않겠다고 했다.

삼성·LG는 Knox·임베디드 보안 요소로 뱅킹 앱 통합을 강화하겠다고 했지만 구형 단말은 교체 전까지 취약하다. 규제당국은 500만 원 이상 이체에 하드웨어 키를 요구할지 검토 중이다. 은행은 단계적 도입 없으면 소상공인 급여가 막힌다고 반발한다.

금융보안원은 유럽은행감독청 훈련에서 구형 안드로이드에서 비슷한 오버레이 성공률이 나왔다고 인용했다. 한국만의 사이드로드 리스크가 아니라는 논리다. 1월 일본 FISC 훈련과 사례를 맞춰 한 번 인증해 여러 시장에 팔 수 있게 하자고 권했다.

SK텔레콤·KT는 12월 신규 단말에 정부 오버레이 경고를 선탑재한다. 애플코리아는 iOS 사이드로드 제한은 엄격하다며 최신 업데이트의 도난 기기 보호 기능을 켜라고 했다.

경찰 데이터에 따르면 올해 보이스피싱 피해의 62%가 인증서·OTP 탈취와 관련됐다. 금융보안원이 악성코드와 사회공학 스크립트를 묶은 이유다. 은행은 다음 분기부터 온보딩에 체크리스트와 오버레이 깜빡임을 잡는 애니메이션을 넣는다.

금융권 공동망은 악성 앱 서명을 공유하는 블랙리스트 업데이트 주기를 단축하기로 했다. 금융보안원은 내년 1분기부터 레드팀 결과를 은행별로 익명 점수화해 공시할 방침이다. 핀테크·저축은행권도 같은 훈련 참여를 권고받는다.

고령 스마트폰 사용자를 위한 은행 창구 안내 문구도 이번 주부터 바뀐다. 직원이 사이드로드 설치를 대신 해주는 사기 사례가 늘었다는 점을 강조한다. 각 은행 앱에도 같은 경고 배너가 노출된다.