미국서 진화하는 신종 모바일 악성코드… “스마트폰 통째로 장악”

[K Voice Today=김선엽 기자]  최근 모바일 금융 악성코드가 단순한 아이디·비밀번호 탈취를 넘어 스마트폰 자체를 원격으로 장악해 화면과 문자메시지, 인증정보를 가로채고 피해자를 대신해 금융거래까지 실행하는 수준으로 진화하면서 미국 금융소비자들의 각별한 주의가 요구되고 있다.

특히 최근 발견된 악성코드들은 스마트폰의 접근성(Accessibility) 기능과 원격제어 기능 등을 악용해 정상적인 금융 앱이 실행되는 상황에서도 화면 내용을 확인하고 사용자의 입력을 가로채는 방식으로 공격 범위를 넓히고 있다.

미국 모바일 보안업체 지퍼리움(Zimperium)에 따르면 현재 전 세계적으로 34개 모바일 금융 악성코드 계열이 90개국의 1,243개 금융·핀테크 앱을 공격​하고 있다. 미국에서도 26개 악성코드 계열이 162개 은행 및 핀테크 앱을 표적으로 삼고 있는 것으로 조사됐다.

과거 금융 악성코드가 주로 아이디와 비밀번호를 훔치는 데 집중했다면, 최근에는 감염된 스마트폰을 직접 조작해 금융거래를 수행하는 ‘기기 장악(Device Takeover)’ 방식​으로 발전하고 있다는 것이 특징이다.

‘ToxicPanda 2.0’…349개 금융 앱 겨냥

대표적인 사례가 지난 8월 공개된 ToxicPanda 2.0이다. 지퍼리움 연구진에 따르면 이 악성코드는 은행·금융·전자지갑·가상자산 관련 349개 앱을 대상으로 공격할 수 있으며 167개의 원격 명령을 지원한다. 특히 안드로이드의 접근성 서비스를 악용해 화면에 표시되는 정보를 읽고, 가짜 로그인 화면을 겹쳐 띄워 비밀번호와 PIN 등을 빼낼 수 있다. 더 심각한 점은 공격자가 단순히 정보를 훔치는 데 그치지 않고 감염된 기기의 상태를 파악하고 원격 명령을 내려 피해자의 스마트폰을 금융사기에 이용할 수 있다는 점이다.

지난 6월 공개된 Rokarolla 역시 비슷한 위협으로 지목됐다. 이 악성코드는 217개의 금융·가상자산 앱을 표적으로 삼으며 137개의 명령을 통해 감염된 안드로이드 기기를 광범위하게 조작할 수 있는 것으로 분석됐다. 화면 잠금 비밀번호와 문자메시지를 훔치고 키 입력을 기록하는 것은 물론, 통화 차단이나 가짜 화면 표시 등을 통해 사용자가 악성코드의 활동을 알아채기 어렵게 만드는 기능도 갖췄다.

‘2단계 인증’도 스마트폰이 장악되면 위험

소비자들이 특히 주의해야 할 부분은 문자메시지나 인증 앱을 이용한 2단계 인증 역시 스마트폰이 장악되면 위험할 수 있다는 점이다. 최근 모바일 악성코드 가운데는 일회용 인증번호(OTP)를 가로채거나 화면을 실시간으로 확인하고, 금융 앱의 세션을 조작하는 기능까지 확인되고 있다. 지퍼리움은 미국과 캐나다를 겨냥하는 악성코드 가운데 일부가 화면 공유, 키로깅, SMS 탈취, 원격 기기 장악 등의 기능을 사용한다고 분석했다. 즉 “비밀번호를 알고 있어야만 계좌를 털 수 있다”는 기존의 상식만으로는 충분하지 않은 시대​가 된 것이다.

가장 위험한 순간은 ‘앱 설치’다

이 같은 악성코드는 정상적인 앱스토어보다는 문자나 이메일, 광고, 가짜 웹사이트 등을 통해 사용자가 직접 악성 앱을 설치하도록 유도하는 경우가 많다. 따라서 출처가 불분명한 링크를 통해 앱을 설치하거나 APK 파일을 내려받는 행위는 피해야 한다. 특히 금융이나 동영상 시청 등과 관계없는 앱이 접근성 권한, 문자메시지 접근, 기기 관리자 권한, VPN 또는 개발자 기능 등을 요구한다면 각별히 주의해야 한다. 또한 은행 직원이나 기술지원 담당자를 사칭해 “보안 문제를 해결하려면 원격제어 앱을 설치하라”고 요구하는 경우에도 즉시 통화를 끊어야 한다. 금융기관이나 정부기관을 사칭해 돈이나 금융정보를 요구하는 것은 대표적인 사기 수법이라고 소비자금융보호국(CFPB)도 경고하고 있다.

스마트폰이 이상하다면 ‘다른 기기’로 은행부터 확인

갑자기 스마트폰이 느려지거나 화면이 이상하게 작동하고, 모르는 앱이 설치돼 있거나 접근성 권한이 임의로 활성화됐다면 금융정보가 이미 노출됐을 가능성을 염두에 둬야 한다. 이 경우 감염이 의심되는 스마트폰으로 은행에 연락하기보다 다른 안전한 기기에서 은행에 연락해 계좌와 카드 거래를 즉시 확인하고 필요한 경우 계정을 잠그거나 로그인 세션과 인증정보를 변경하는 것이 안전하다.

평소에는 운영체제와 금융 앱을 최신 상태로 유지하고, 공식 앱스토어를 이용하며, 거래 알림을 활성화해 작은 이상거래라도 즉시 확인하는 것이 중요하다.

스마트폰이 곧 ‘은행 창구’인 시대

미국의 금융사기 환경은 빠르게 변하고 있다. 최근 악성코드는 은행 서버만 공격하는 것이 아니라 소비자가 매일 사용하는 스마트폰을 직접 장악해 금융거래가 이뤄지는 순간까지 개입하는 방향으로 진화하고 있다. 결국 금융 보안의 첫 번째 방어선은 더 이상 비밀번호 하나가 아니다. 스마트폰 하나가 은행 창구이자 인증수단이 된 시대, 스마트폰을 지키는 일이 곧 내 계좌를 지키는 일이 됐다.