[칼럼]안드로이드 악성앱, 승인문자 갈취 소액결제 사기범죄 피해증가

1. 승인문자 가로채기를 통한 똑똑한(?) 스마트폰 범죄

지난 2012년 10월 26일 KRSpammer 악성앱이 마치 방송통신위원회에서 배포하는 통신사 합동 스팸문자, 피싱차단 프로그램처럼 위장하여 배포된 사실이 스마트폰 정보보호 민관합동 대응반을 통해서 그 실체가 처음으로 확인된 바 있다. 잉카인터넷 대응팀을 포함해서 실무위원으로 포함된 국내 다수의 (보안)업체들은 방송통신위원회와 한국인터넷진흥원(KISA)이 운영하는 스마트폰 정보보호 민관합동 대응반과 협력하여 신속한 대응과 후속조치 등을 진행한 바 있다.

그 후 잉카인터넷 대응팀은 국내 안드로이드 기반의 스마트폰 이용자들만 특별히 정조준한 이번 악성앱(KRSpammer) 변종들이 지속적으로 유포되고 있다는 주의보와 함께 정황근거를 기반으로 주요내용을 일부 (최초)공개한 바 있다. 최근까지 수집된 다양한 정보를 기초로 유추해 본다면, 이번 공격에 가담하고 있는 사이버 범죄자들은 이미 사전에 불법적으로 확보한 국내 통신망 이용자들의 주요 개인정보를 남용하여, 특정 스마트폰 이용자들만 표적삼아 은밀히 안드로이드용 악성앱이 설치될 수 있는 단축URL 내용을 발송시키고 있는 상황이다. 그리고 공격자들은 자신의 신분노출과 추적을 방해하기 위해서 해외에 DB서버를 구축하고, 별도 사업자가 운영하는 문자메시지 발송 시스템도 해킹하여 악용하고 있는 것으로 알려진 상태이다. 

특히, 스마트폰 이용자들이 쉽게 현혹될 수 있는 "스팸문자 또는 피싱차단 프로그램", "이용요금 사용내역", "이용요금 과다청구 환급금조회" 등으로 사칭한 한글문구를 지능적으로 삽입시켜 이용자들이 아무 의심없이 악성앱에 쉽게 접근하고 노출되도록 유인하고 있다는 점을 명심해야 한다.

잉카인터넷 대응팀은 해당 악성앱들이 안드로이드 기반의 스마트폰 이용자들을 중점적으로 겨냥하고 있다는 점과 불법 유통된 타인의 신상내역과 명의를 도용하여 변칙적으로 소액결제 승인서비스를 이용 후 적립된 사이머 머니를 다시금 현금화하여 부당한 금전적 이득을 취하고 있다. 이는 악성앱을 활용하여 국내 이용자를 겨냥한 최초의 신종 스마트폰 사이버범죄 유형이라는 점에서 시사하는 바가 크고 추후 안드로이드 보안 위협에 어떤 영향을 미칠지 주목되는 부분이다. 

이런 와중에 2012년 11월 30일 또 다른 KRSpammer 변종 악성앱이 추가 발견되어, nProtect Mobile for Android 제품에 신속히 탐지 및 치료 기능을 추가 업데이트한 상태이다. 또한, 유사 보안위협 재발 가능성에 대비하여 지속적으로 스마트폰 보안사고에 대한 전방위적 이상징후를 예의주시하고 있다.

[주의]이마트, 피자헛, 롯데시네마, 복지알림이, 알약으로 위장한 악성앱의 본색 드러남
☞ http://erteam.nprotect.com/389

[단독]통신비 환급금 조회로 위장한 안드로이드 악성파일 국내 전파
☞ http://erteam.nprotect.com/361

2. 스마트폰 신종 소액결제 사기 유형

그동안 이동전화를 통한 소액결제 사기는 여러차례 사회적인 문제로 대두된 바 있고, 사실 지금도 소액결제를 현금화하는 사기수법은 공공연하게 발생하고 있다. 이전까지 널리 알려져 있는 소액결제 피해사례는 대부분 스팸형 문자메시지를 수신하여 특수하게 조작하거나, 대출 알선 명목으로 주민번호와 휴대번호 등의 개인신상 정보를 확인한 뒤, 게임머니를 소액결제 후 적립된 게임머니를 매입업자에게 현금을 받고 매도하는 경우 등이 존재했다. 

 

지난 2012년 07월에는 실제 스마트폰 소액결제를 이용한 사기범행 혐의로 휴대폰 대리점의 30대 판매업자 김모씨가 경찰에 불구속 입건되기도 했다. 김씨는 스마트폰 소액결제 사기를 통해서 총 44대의 휴대전화에서 약 9백여만원의 사이버 머니를 결제해 이익을 챙겼다. 그는 개통이 안된 공기계 안드로이드 스마트폰을 조작(루팅)해 다른 사람의 번호를 입력하고 와이파이망에서 인증절차가 허술한 특정 모바일 게임 사이트 등에 접속해 아이템을 결제하는 방식으로 소액 결제 사기를 일삼아 온 것으로 밝혀졌다.

이는 일부 모바일 사이트가 스마트폰을  이용한 결제과정에 본인 인증 절차가 허술했던 보안취약점을 교묘히 악용한 것으로 조사됐고, 김씨는 경찰 조사에서 "불법 결제한 사이버머니로 모바일 게임 캐릭터를 사서 다시 현금화하기 위해 범행을 저잘렀다"고 진술한 것으로 알려졌다. 한편 경찰은 "소액결제 시스템 업체와 해당 모바일 게임사 등에 보안 취약점을 개선한 프로그램을 배포했다."고 전한바 있다.

3. 안드로이드 악성앱으로 이미 예정(?)된 진화

기존에 국내에서 발생했던 스마트폰 소액결제 사기수법은 알고보면 사실 단순한 패턴을 가진다. 이는 소액결제 서비스의 헛점을 교묘하게 이용하고, 어떤식으로든 인증이나 승인확인 문자내용만 중간에 몰래 훔쳐보거나 가로채기한다면 누구나 쉽게 악용할 수 있기 때문이다. 최근에는 이러한 승인 절차상의 내용을 잘 알고 있던 누군가에 의해서 안드로이드 악성앱(KRSpammer)이 개발되었고, 꾸준히 변종 공격이 발견되고 있는 추세이다. 또한, 서울을 포함한 지방에서도 다수의 소액결제 피해사례가 접수되고 있는 상황이다.

얼마전 SBS 8시 뉴스에서는 실제 피해자 제보를 받아 집중취재를 진행하였고, 잉카인터넷 대응팀에 방문하여 다양한 정보를 취재하여 언론보도에 활용되기도 하였다.

잉카인터넷 대응팀은 좀더 빠른 정보제공으로 많은 스마트폰 이용자의 피해를 예방하고, 사전 보호하는 차원에서 실제 악성앱의 설치 전과정을 SBS 8시 뉴스측에 시연자료를 최초 제공하였다.

[스마트폰이 나 몰래 결제…'스파이 앱' 피해 속출]
http://news.sbs.co.kr/section_news/news_read.jsp?news_id=N1001507790

안드로이드 소액결제 사기에 이용되고 있는 KRSpammer 악성앱은 문자메시지(SMS)로 배포되며, 다음과 같이 방송통신위원회의 스팸차단 프로그램이나, 이용요금 명세서(사용내역), 요금과다청구 환급금조회 등의 내용으로 위장하였고 문자메시지에 포함되어 있는 단축 URL주소의 클릭을 유도하여 KRSpammer 악성앱이 설치되도록 만든다.

2012년 10월 26일 보고 (http://erteam.nprotect.com/352)
[방통위]
통신사 합동
스팸문자 차단
백신 무료배포 ▶ http://bit.ly/QOyLSs ◀클릭

2012년 11월 22일 보고 (http://erteam.nprotect.com/359)
"*** 고객님!
이번달 사용내역입니다
http://tinyurl.com/b9ce5tt ☜클릭"

2012년 11월 26일 보고 (http://erteam.nprotect.com/361)
고객님!
요금과다청구
환급금조회
http://tinyurl.com/c9yyxjnt ☜클릭

일반적인 휴대폰 소액결제 이용과정은 다음과 같다. 먼저 웹 사이트를 방문하여 구매할 콘텐츠 혹은 상품을 선택하고, 결제 방법으로 휴대폰 결제를 선택한다. 그 다음에 휴대폰 번호와 주민등록번호 등을 입력하게 된다. 자신의 휴대폰으로 결재 승인용 문자메시지(SMS)가 수신되고, 일정 시간내에 결제 화면에 해당 내용을 입력하면 정상적인 승인절차가 완료된다. 결제된 금액은 다음 달 휴대폰 요금고지서에 청구된다.

휴대폰 결제가 진행되지 않는 경우는 휴대폰 번호와 가입자 정보가 일치하지 않는 경우, 미성년자나 법인명의, 분실 및 요금미납 등 고객의 조건 및 요청에 의해서 제한되어 있는 경우, 이동통신사 월 한도액을 초과한 경우 등이다.

이통사별 월 한도액은 SKT가 30/20/12/6/3만원 등으로 고객별로 차등적용되어 있고, KT는 30만원, LGT도 30만원이다. 물론 신규가입 및 번호이동 후 3개월 미만의 고객의 경우 가입당월에는 보통 3~5만원선으로 책정되어 있다.

현재 국내의 많은 웹 모바일 서비스는 문자메시지(SMS)를 이용하여 본인 인증수단으로 활용하고 있다. KRSpammer 악성앱은 이러한 환경에 부합되어 제작되었고, 기존에 유출된 개인정보와 악성앱을 통해서 수집된 단말기의 주요정보를 복합적으로 활용해서 소액결제 서비스 사기를 수행하고 있다. 안드로이드 악성앱은 다음과 같은 절차로 특정 스마트폰 사용자에게 예상하기 어려운 큰 금액의 이른바 휴대폰 요금폭탄 피해를 입히게 될 수 있다.

ⓐ 악성앱(KRSpammer) 제작자는 이미 수집한 개인정보를 기반으로 특정 사용자들에게 악성앱 설치용 문자메시지를 발송한다.
ⓑ 악성앱(KRSpammer)에 감염된 이용자의 단말기에서 정보를 수집하여 해커의 해외서버로 전송한다.
ⓒ 해커는 게임 등 각종 인터넷 구매사이트 등에서 소액결제 서비스를 진행한다.
ⓓ 구매사이트에서는 결제대행사 등을 통해 본인 인증용 승인 문자번호를 사용자 휴대폰으로 발송한다.
ⓔ 악성앱(KRSpammer)은 실제 사용자에게 수신된 문자내용을 보이지 않도록 조작한다.
ⓕ 악성앱(KRSpammer)은 승인번호 문자메시지를 해커가 지정한 해외 서버로 몰래 전송한다.
ⓖ 서버에 수집된 승인번호를 가로채기하여 정상적인 구매절차를 수행한다.
ⓗ 해커는 적립된 사이버머니 등을 불법적으로 현금화하여 부당이득을 취한다.

4. 스마트폰 소액결제 승인번호 문자 가로채기 사기 예방

평소 휴대폰 소액결제 서비스를 이용하지 않는 경우는 아예 가입중인 해당 통신사에 소액결제금지 요청을 해 두는 것도 하나의 좋은 예방법이고, KRSpammer 안드로이드 악성앱 전파수법처럼 의심스러운 단축 도메인이나 신뢰하기 어려운 안드로이드 앱 설치를 하지 않는 습관도 중요하다. 만약 의도하지 않은 소액결제 피해를 당하게 되면 관할 경찰에 알리거나 해당 통신사에 적극적으로 신고를 하고, 통신사 소액결제 대행업체를 통해 증빙자료를 받은 뒤 해당 통신사의 소액결제 중재센터에 회부를 하면 조건에 따라 일정부분 정상 참작과 보상을 받을 수 있는 경우도 있다고 한다.

이와 같은 스마트폰 소액결제 사기용 악성앱으로 부터 피해를 최소화하고 안전한 이용을 하기 위해서는 nProtect Mobile for Android 와 같은 최신 모바일 보안제품을 설치하여 정기적으로 검사하는 습관을 가져야 한다. 또한, 타인에게 유출 위험이 있는 단순 승인문자 입력 방식을 외부에서 남용하지 못하게 개선하는 노력과 스마트폰 소액결제 서비스시 본인 인증 절차를 보다 강화하고, 의무화 하는 등의 시급한 제도적 개선도 필요해 보인다.

잉카인터넷 대응팀장 문종현