ETRI, 스마트폰 카메라로 피싱 사이트 확인

[이데일리 김현아 기자] 컴퓨터로 금융거래 하는 일이 늘면서, 금융사고가 빈발하고 있다. 이에 스마트폰 카메라를 이용해 촬영하기만 하면, 웹사이트가 안전한지 자동 검증해 주는 기술이 국내 연구진에 의해 개발됐다.

전자통신연구원(ETRI) 연구진이 스마트폰으로 은행사이트에 접속해 QR코드로 확인하고 사진을 찍어 웹주소를 확인하고 있는 모습이다.

한국전자통신연구원(이하 ETRI, 원장 김흥남)은 스마트폰을 이용한 안전한 인증 및 피싱 방지 기능을 제공하는 ‘스마트채널3’ 기술을 개발했다고 23일 밝혔다. 피싱으로 인한 지난해 상반기까지 피해액은 4만여건에 약 4400억 원에 달했다.

해당 금융기관의 사이트에 접속해 팝업으로 띄워진 QR코드를 스마트폰으로 인식해 금융기관의 서버와 내 PC, 스마트폰을 동시 인증하는 방식이다. 스마트폰에 인증정보를 입력하면 PC가 로그인 되고, 스마트폰으로 사진을 찍듯이 주소창을 찍으면 웹브라우저 주소가 진짜인지 확인도 가능하다.

ETRI는 이와 같은 본인 확인절차가 끝나면 최종 접속한 시간, 사용자 PC의 IP, 접속횟수 등도 스마트폰에 표시된다고 밝혔다. 패스워드를 직접 전송하지 않고 상호인증을 수행하기 때문에 안전하게 피싱과 파밍 공격을 차단할 수 있다.

이 기술을 이용케 되면 한 번 인식된 사용자 PC는 보안쿠키가 설치된다. 따라서 번거롭게 사용시마다 위 절차를 거치지 않고도 보안쿠키를 검증해 간편하게 사용할 수 있다.

일부 SNS 계정에서 지원하는 자동 로그인 기능도 보안쿠키를 사용하지만 해커가 쿠키의 내용을 변조하거나 재사용하는 공격이 가능하다. 하지만 ETRI의 보안쿠키는 PC에 특화된 정보를 내장하고 있으며 스마트폰에서 매번 변경되는 보안키로 암호화 시켜 두었기 때문에 해커의 공격에 안전하다는 특징이 있다.

ETRI는 본 기술의 핵심이 사이트 URL을 카메라로 인식해 피싱 사이트인지 판별하는 기술과, 변조 및 재사용을 방지하는 보안쿠키라고 설명했다.

아울러 핵심기술에는 화면의 문자처리 및 이미지 프로세싱 기술과 투 채널 보안 프로토콜이 적용됐다고 밝혔다.

진승헌 ETRI 사이버보안기반연구부장은 “이번에 개발한 스마트채널3 기술은 단순히 QR코드를 인식하여 서비스에 로그인한다는 개념만 인식하면 되기 때문에 매우 현실적이고 효과적인 피싱·파밍 방지 솔루션이다”고 말했다.

이번 기술은 보안업체에 기술이전됐으며, 추가 이전도 협의 중에 있다. 향후 금융기관 및 공공기관과 협의해 웹사이트에 피싱 방지 및 사용자 인증 강화를 위한 시범서비스 및 상용화를 추진할 계획이다. IDC 보고서에 따르면 지난해 고도화 인증 시장규모는 약 8.3억불에 달한다.