시중은행 공인인증서 7천여개 해킹으로 유출돼 금융 당국이 일괄 폐기를 지시했다.

12일 금융권에 따르면 한국인터넷진흥원은 최근 피싱, 파밍 사이트 모니터링 중 악성코드로 수집된 공인인증서 유출 목록 6천900건을 발견하고 추가적인 전자금융사고 예방을 위해 금융결제원 등 5개 인증기관에 통보해 모두 없앴다.

한국인터넷진흥원은 국내 악성코드 경유지로 악용되는 홈페이지를 탐지하면서 공인인증서를 유출하는 악성코드가 발견되어 신속히 차단했으며 유출된 공인인증서에 대해서는 신속히 가입자에게 유출 사실을 안내하고 공인인증서 폐지 등의 조치를 했다.

폐기된 공인인증서는 국민은행, 우리은행 등 은행 거래에 이용되는 공인인증서다. 금융 당국은 최근 이들 은행에 공인인증서 유출과 폐기 사실을 고객에게 알리도록 지도한 것으로 알려졌다.

한 시중은행 관계자는 “고객이 공연히 놀랄 수 있어 조심스럽게 알려주고 있다”고 말했다.

현재까지 유출된 공인인증서에 따른 피해 사례는 나오지 않았지만 피해 방지를 위해 사용 중인 컴퓨터의 백신 소프트웨어와 보안 업데이트를 최신으로 유지해야 한다.

이번에도 해커들이 파밍 수법을 이용한 것으로 추정된다.

파밍이란 가짜 사이트를 미리 개설하고 피해자 컴퓨터를 악성코드에 감염시켜 진짜 사이트 주소를 넣어도 가짜 사이트에 접속하도록 해 개인정보를 빼내는 한층 진화된 피싱 수법이다.

금융 당국 관계자는 “시중은행 공인인증서 유출이 의심돼서 일괄 폐기한 것으로 알고 있다”고 전했다.

다른 시중은행 관계자는 “시중은행마다 유출된 공인인증서가 수백개며 많은 곳은 천여개에 육박하는 걸로 알고 있다”고 전했다.

앞서 한국인터넷진흥원은 지난해 5월 은행 고객 컴퓨터에서 유출된 공인인증서 파일 212여개가 모여 있는 국외 서버를 발견해 금융결제원에 통보해 폐기했다.

지난해 2월에도 해커들이 신한은행 등 시중은행이 발급한 공인인증서를 빼내가자 금융결제원이 461개를 일괄적으로 없앤 바 있다.

인터넷뱅킹 악성코드를 활용한 공인인증서 유출 사례는 최근 급증하고 있다. IT 보안업계는 피싱으로 유출된 공인인증서가 수만 건에 달할 것으로 추정한다. 공인인증서가 빠져나가면 인터넷 뱅킹으로 예금을 찾아가는 범행에 속수무책이다.

삼성카드는 스마트폰 스미싱(문자메시지와 피싱의 합성어)으로 최근 자사 앱카드를 이용하는 고객 53명이 금전 피해를 봤다는 신고 300건이 접수됨에 따라 이 사실을 지난 5월 초 경찰청과 금융감독원에 자진 신고했을 정도다.

다급해진 금융당국은 공인인증서 유출을 막기 위해 고객의 각별한 주의를 당부했다.

우선 공인인증서를 PC 하드디스크나 이메일, 웹하드에 보관하면 안 된다. 공인인증서 비밀번호는 인터넷 포털사이트 등의 비밀번호와 다르게 설정하고 주기적으로 변경해야 한다.

공공장소의 공용 PC에서는 공인인증서를 사용하면 안 되며 성인 및 도박 사이트 등에서는 절대 공인인증서를 이용해선 안 된다.

공인인증서 및 개인정보 유출 의심 시 즉시 금감원 등에 신고하고 공인인증서를 폐기한 뒤 보안카드보다 안전한 일회용비밀번호(OTP) 발생기를 사용하면 된다.

연합뉴스