[아이티데일리] 금융보안원(원장 박상원)은 근거리 무선 통신(NFC) 결제 정보를 탈취해 부정결제, 무단 출에 악용하는 사이버 위협이 확산하고 있다고 7일 밝혔다.

기존 부정결제 사기는 카드번호, 인증코드 등 실물 카드 정보를 악용했다. 신종 사기 유형은 스마트폰의 NFC 결제 기능 활성화로 생성되는 정보를 실시간으로 가로채 범죄에 사용하는 방식으로 이뤄졌다.

특히 신종 NFC 부정결제는 피싱 공격과 결합할 시 금융소비자의 금전적 피해로 이어질 수 있다. 애플페이 도입 등으로 NFC 결제가 점점 확대되는 만큼 선제 대응이 필요한 상황이다.

금융보안원은 최근 해외에서 국내 금융회사 고객 정보를 이용한 NFC 부정결제 등 피해 사례를 분석하고 관련 위협 정보를 금융사에 전달했다.

일례로 해외에서는 스미싱 공격과 연계된 NFC 부정 출금 사례가 있었다. 피해자는 세금 환급 안내 SMS에 첨부된 링크로 접속 후 환급금 신청 화면에서 은행 계좌번호, 계정 정보 등을 입력했다.

얼마 후 피해자는 은행 직원 사칭범으로부터 과거 환급금 수령 과정에서 입력한 정보로 인해 은행 계좌가 해킹됐다는 전화를 받았다. 사칭범은 피해 방지를 위해 핀(PIN) 번호 변경 및 카드 인증이 필요하다며 악성 앱 설치 URL을 피해자에게 전송했고, 피해자는 이를 설치했다.

악성 앱의 안내에 따라 핀 번호를 변경한 피해자는 스마트폰 NFC 기능을 활성화하고 카드를 스마트폰 뒷면에 접촉해 카드 인증을 진행했다. 공격자는 해당 정보를 실시간으로 넘겨받았으며, 이를 악용해 부정 출금을 시도했다.

국내는 NFC 결제 시 추가 인증을 적용하고 있어 해외에 비해 상대적으로 안전하나 악성 앱이 탈취한 비밀번호 등을 사용할 시 피해가 발생할 수 있다.

이에 금융보안원은 금융회사에 NFC 결제 관련 이상 거래를 탐지할 수 있는 ‘이상거래탐지(FDS)’ 모니터링 강화를 권고했다. 또 소비자에게는 출처가 불분명한 링크가 포함된 문자메시지나 금융회사를 빙자한 보이스피싱에 유의하고, 특히 스마트폰과 신용카드 간 물리적 접촉을 유도하는 비정상적 인증 요청은 거부할 것을 강조했다.

금융보안원 박상원 원장은 “최근 NFC 결제 이용이 확산하는 국내 금융 환경을 고려할 때 지능화되는 부정결제 위협에 회사와 소비자 모두 각별히 주의해야 한다”며 “금융보안원은 앞으로도 끊임없이 변화하는 사이버 위협을 모니터링하고 분석함으로써 안전한 디지털 금융 환경을 조성하는 데 힘쓰겠다”고 밝혔다.