거래 승인은 수취인과 금액을 대조해야
융펑은행 신형 인터넷뱅킹 시스템이 해킹당해 418명 고객의 예금이 탈취되고 피해 금액이 4176만 대만달러에 달해 사회적으로 큰 관심을 모으고 있다. KPMG안허우기업관리 총경리 셰윈쩌는 고위험 송금에 대해 은행이 고객 신분, 기기, 거래 내용, 수취인과 금액 등의 정보를 함께 확인해야 하며, 이전 단계 시스템에서 전달된 인증 완료 결과에만 의존해서는 안 된다고 제언했다. 그는 인터넷뱅킹 보안의 최후 방어선은 누가 로그인했는지 확인하는 것뿐만 아니라 차감 전에 누구에게 얼마를 이체하는지, 정말 고객의 의사인지 확인하는 것이라고 강조했다.
신분 오인으로 인한 차감 승인 엄격히 방지해야
셰윈쩌는 인터넷뱅킹 거래는 은행 창구 서비스와 같아서 계좌 자료를 조회했더라도 고객에게 예금을 사용할 권한이 있는지 확인해야 하고, 해당 거래의 수취 대상과 금액에 고객이 동의했는지 대조해야 한다고 지적했다. 공격자는 반복적인 시도를 통해 유효 계좌를 찾아낼 수 있으며, 은행 시스템이 조작자의 신분을 오인하거나 거래 승인을 제대로 대조하지 않거나, 다른 프로그램이 보낸 지시를 고객이 확인한 것으로 간주하면 고객 본인의 의사가 아닌 거래가 승인될 수 있다. 따라서 은행은 이전 절차에 인증 완료로 표시됐는지만 확인할 것이 아니라 실제 차감 전에 해당 거래가 확실히 고객의 승인을 거쳤는지 다시 확인해야 한다.
출시 전 전 과정 테스트를 철저히 해야
은행 App 출시 전 통상적으로 기능 및 정보보안 테스트를 진행하고 제3자 검사를 위탁하기도 하는데 왜 여전히 사고가 발생했는지에 대해 KPMG안허우젠예 전무이사 린다콰이는 테스트의 깊이, 범위 및 유효성이 관건이라고 지적했다. 테스트는 정상 이체가 완료될 수 있는지 확인하고, 소스코드와 개별 구성요소의 보안성을 점검할 뿐만 아니라 App, 인증 서비스와 차감 시스템 연계 후의 완전한 거래 절차도 포함해야 한다. 그는 후속 조치로 신원 인증, 기기 관리, 거래 확인, 그리고 은행과 거래 관련 시스템 간에 고객 승인 상태가 정확히 전달되고 검증되는지를 우선 점검할 수 있다고 밝혔다.
신구 시스템 모두 정보보안 위험 존재
셰윈쩌의 분석에 따르면 대만의 금융업계 과거 중대 정보보안 사건을 보면 위험은 종종 두 극단에서 나타났다. 하나는多年 운용된 노후 시스템이고, 다른 하나는 막 출시된 신규 시스템 또는 구성요소이다. 노후 시스템은 아직 패치되지 않은 취약점이 있을 수 있고, 신규 시스템은 관리자가 보안 설정에 아직 익숙하지 않거나 충분히 완전한 테스트를 거치지 않고 출시돼 위험이 커질 수 있다. 은행은 이번 사건이 신형 인터넷뱅킹 거래 시스템 공급업체의 보안 설정과 관련이 있다고 밝혔으며, 인증 강화와 이상 거래 모니터링 등의 조치를 이미 취했고, 완전한 공격 방식은 후속 조사를 통해 밝혀져야 한다.
사용자는 알림을 켜고 조기에 스스로 보호해야
사용자 측면에서 셰윈쩌는 일반 대만 국민이 이로 인해 지나치게 공포를 느껴 인터넷뱅킹 사용을 꺼릴 필요는 없으며, 금융감독 당국의 감독 및 은행의 협조 하에 대만 금융기술 응용에 대한 신뢰를 유지해야 한다고 본다. 다만 그는 인터넷뱅킹 사용자는 은행이 제공하는 이체 또는 차감 알림을 켜야 한다고 당부했다. 거래 알림이 은행 자체의 보안 통제를 대신할 수는 없지만 사용자가 이상 징후를 조기에 발견하는 데 도움이 된다. 본인이 아닌 거래를 발견하면 은행 공식 App이나 공식 홈페이지에서 제공하는 고객센터 채널을 통해 직접 신고해야 한다.