안드로이드 기반 국내 스마트 폰 이용자를 노린 소액결제 피해가 급격히 증가하고 있어 사용자들의 각별한 주의가 요구된다.
 
잉카인터넷 대응팀은 2012년 11월부터 안드로이드 기반의 악성파일(KRSpammer)을 마치 정상적인 앱처럼 위장하여 스마트폰 이용자를 유혹한 후, 단말기에 설치를 유도하고 감염시켜 소액결제 승인문자 메시지(SMS)를 몰래 가로채기하는 방식으로 약 10~30만원 상당의 휴대폰 결제피해를 입히고 있는 악성파일을 지속적으로 발견하고 있다.
 
대응팀 관계자는 “현재까지 약 20 여종 이상의 변종이 발견되었으며, 새로운 변종이 꾸준히 제작되고 있는 상황”이라며 “요 며칠 사이 변형된 공격이 끊임없이 발생하고 있으므로 문자메시지로 수신된 단축 URL 클릭시 세심한 주의가 필요하다”고 강조했다.
 
악성파일 제작자는 대부분 유명 외식업체, 영화사,  베이커리, 커피전문점, 치킨, 피자 등의 잘 알려진 브랜드의 할인이나 무료쿠폰 등의 문자메시지로 사용자를 현혹시키고 악성 안드로이드 앱을 설치하도록 유도하고 있다. 사용자가 무심코 문자에 포함되어 있단 단축 URL주소를 클릭하고 안드로이드 앱을 설치할 경우 악성파일에 감염되어 소액결제 피해를 입게 되는 것. 이외에 구글 코리아의 신규서비스를 사칭하여 DDoS 기능의 악성파일이 발견되기도 해 주의가 요구된다.
 
공격자가 보낸 문자의 단축 인터넷 주소를 클릭하게 되면 사용자 단말기에 악성 안드로이드 앱(APK)파일이 설치된다. 지금까지 "SmartBilling.apk", "SmartBill.apk". "domino.apk", "coffee.apk", "Lotteria.apk" 등 다양한 변종이 발견되고 있고 잉카인터넷 대응팀은 20 여종 이상의 변종을 발견한 상태이다.
 
◇잠깐의 부주의로 30만원의 과금피해 발생
최근 악성파일 제작자는 연말연시 시즌을 이용해서 각종 이벤트 쿠폰처럼 사칭하여 악성파일을 유포하고 있다는 점을 명심해야 한다. 공격자들은 발신자 번호와 내용 등을 모두 실제와 같이 모방하기 때문에 사용자가 육안으로 조작여부를 파악하기는 쉽지 않아 피해가 증가하고 있다.
 
악성앱에 감염이 되면 공격자는 게임 등의 사이트에서 소액결제를 진행하고, 승인문자를 대기한다. 하지만 악성파일에 감염된 스마트폰에는 승인문자 메시지가 사용자에게 보여지지 않도록 숨겨지며, 공격자에게 전송된다. 이렇게 하여 공격자는 외부에서 가로채기한 승인문자를 통해서 정상 승인과정을 진행해 사용자에게 소액결제 피해를 입히게 된다.
 
아래는 실제 잉카인터넷 대응팀으로 접수된 피해자분의 소액결제 내역이다. 2013년 1월 5일 오후 5시 경 롯데리아 교환권으로 위장된 안드로이드 악성앱(KRSpammer) 문자 메시지를 받아 감염되었고, 그날 저녁 8시 28분과 35분 두 차례에 걸쳐 게임사에서 5만원과 25만원, 총 30만원의 소액결제 피해를 입었다. 최근 이런 피해를 호소하는 이용자가 증가하고 있어 근본적인 대책이 마련되어야 할 것으로 보인다.

 
일반적인 휴대폰 소액결제 이용과정은 다음과 같다. 먼저 웹 사이트를 방문하여 구매할 콘텐츠 혹은 상품을 선택하고 결제 방법으로 휴대폰 결제를 선택한다. 그 다음에 휴대폰 번호와 주민등록번호 등을 입력하게 된다. 자신의 휴대폰으로 결재 승인용 문자메시지(SMS)가 수신되고, 일정 시간내에 결제 화면에 해당 내용을 입력하면 정상적인 승인절차가 완료된다. 결제된 금액은 다음 달 휴대폰 요금고지서에 청구된다.
 
휴대폰 결제가 진행되지 않는 경우는 휴대폰 번호와 가입자 정보가 일치하지 않는 경우, 미성년자나 법인명의, 분실 및 요금미납 등 고객의 조건 및 요청에 의해서 제한되어 있는 경우, 이동통신사 월 한도액을 초과한 경우 등이다.
 
이통사별 월 한도액은 SKT가 30/20/12/6/3만원 등으로 고객별로 차등적용되어 있고, KT는 30만원, LGT도 30만원이다. 물론 신규가입 및 번호이동 후 3개월 미만의 고객의 경우 가입당월에는 보통 3~5만원선으로 책정되어 있다.
 
현재 국내의 많은 웹 모바일 서비스는 문자메시지(SMS)를 이용하여 본인 인증수단으로 활용하고 있다. KRSpammer 악성앱은 이러한 환경에 부합되어 제작되었고, 기존에 유출된 개인정보와 악성앱을 통해서 수집된 단말기의 주요정보를 복합적으로 활용해서 소액결제 서비스 사기를 수행하고 있다. 안드로이드 악성앱은 다음과 같은 절차로 특정 스마트폰 사용자에게 예상하기 어려운 큰 금액의 이른바 휴대폰 요금폭탄 피해를 입히게 될 수 있다.
 
ⓐ 악성앱(KRSpammer) 제작자는 이미 사전에 수집한 개인정보를 기반으로 특정 사용자들에게 악성앱 설치용 문자메시지를 발송한다.
ⓑ 이용자가 무심코 문자메시지의 단축URL 주소를 클릭하여 앱을 설치시 감염되고, 악성앱(KRSpammer)에 감염된 이용자의 단말기에서 정보를 수집하여 해커의 해외서버로 전송한다.
ⓒ 해커는 게임사이트 등 각종 인터넷 구매사이트 등에서 소액결제 서비스를 진행한다.
ⓓ 구매사이트에서는 결제대행사 등을 통해 본인 인증용 승인 문자번호를 사용자 휴대폰으로 발송한다.
ⓔ 악성앱(KRSpammer)은 실제 사용자에게 수신된 문자번호를 보이지 않도록 조작한다.
ⓕ 악성앱(KRSpammer)은 승인번호 문자메시지를 해커가 지정한 해외 서버로 몰래 전송한다.
ⓖ 서버에 수집된 승인번호를 가로채기하여 정상적인 구매절차를 수행한다.
ⓗ 해커는 적립된 사이버머니 등을 불법적으로 현금화하여 부당이득을 취한다.

 
평소 휴대폰 소액결제 서비스를 이용하지 않는 경우는 아예 가입중인 해당 통신사에 소액결제금지 요청을 해 두는 것도 하나의 좋은 예방법이고, KRSpammer 안드로이드 악성앱 전파수법처럼 의심스러운 단축 도메인이나 신뢰하기 어려운 안드로이드 앱 설치를 하지 않는 습관도 중요하다.
 
만약 의도하지 않은 소액결제 피해를 당하게 되면 관할 경찰에 알리거나 해당 통신사에 적극적으로 신고를 하고 통신사 소액결제 대행업체를 통해 증빙자료를 받은 뒤 해당 통신사의 소액결제 중재센터에 회부를 하면 조건에 따라 일정부분 정상 참작과 보상을 받을 수 있는 경우도 있다고 한다.
 
잉카인터넷 관계자는 “이와 같은 스마트폰 소액결제 사기용 악성앱으로 부터 피해를 최소화하고 안전한 이용을 하기 위해서는 최신 모바일 보안제품을 설치하여 정기적으로 검사하는 습관을 가져야 한다”며 “또한 타인에게 유출 위험이 있는 단순 승인문자 입력 방식을 외부에서 남용하지 못하게 개선하는 노력과 스마트폰 소액결제 서비스시 본인 인증 절차를 보다 강화하고 의무화 하는 등의 시급한 제도적 개선도 필요해 보인다”고 강조했다.
 
방송통신위원회는 최근 스마트폰 소액결제에 대한 민원이 급증하자 피해구제를 위해서는 방통위(www.kcc.go.kr) 홈페이지 또는 국민신문고(www.epeople.go.kr) 홈페이지를 통해서 민원을 접수해야 한다고 강조한다. 소액결제 한도를 필요한 만큼만 하향조정하고 콘텐츠 다운로드 및 게임 아이템 요금 결제와 관련해서 이용자들의 세심한 주의가 필요하다고 조언한다.
 
데일리시큐 길민권 기자 mkgil@dailysecu.com