https://etoland.co.kr/link.php?n=7153549 복사

https://n.news.naver.com/article/009/0005055720

다운로드 수가  1000 만건이 넘는 간편결제 금융 앱 '페이코'의 서명키가 외부로 유출된 것으로 파악됐다. 전자인증에서 일종의 인감도장 역할을 하는 서명키가 도난당한 것이어서 상당한 후폭풍이 예상된다. 유출된 서명키를 악용하면 보이스피싱 앱이 정상 앱인 것처럼 위장하고 고객 개인정보를 빼갈 수 있기 때문이다. 이미 고객 휴대폰에 수천 개 악성 앱이 위장 설치된 것으로 알려지고 있고, 현재 그 수가 계속 늘어나고 있다.

5일 금융권에 따르면 보안솔루션 기업 에버스핀은  KB 국민은행,  NH 농협은행, 카카오뱅크를 비롯한 고객사  30 여 곳에 '페이코 서명키가 유출됐고, 이를 악용해 악성 앱이 제작, 유포됐다'며 주의하라는 긴급 공문을 보냈다. 공문은 이미 지난 8월 1일부터  11 월  30 일까지 유출된 서명키를 통해 제작된 악성 앱  5144 건이 탐지됐다며 고객사들에 "서명키 관리와 보이스피싱 등 각종 금융사고 대응에 유념하라"고 경고했다. 페이코는 유출 사실을 8월  10 일께 인지했으나 매일경제 보도 전까지 외부에 알리지 않았다. 페이코는 "페이코 앱 자체에 대한 공격은 없어 외부에 신고할 사항이 아니라고 판단했다"고 말했다.

페이코 서명키로 인증한 앱은 페이코가 만든 앱으로 인식돼 보안검사를 피할 수 있다. 에버스핀에 따르면 보이스피싱 앱들은 페이코 앱과 고윳값(시그니처값)이 동일하다. 시그니처값과 서명키는 일대일 대응하는 것인데, 시그니처값이 같다는 것은 똑같은 서명키로 서명이 됐다는 걸 의미한다.

실제로 페이코 서명키는 다른 앱 서명에도 사용되는 보안 취약점이 발견됐다. 법인 인감도장을 다른 계열사 문서에도 쓰는 것과 비슷한 격이다. 공문은 '한게임  OTP'  '운수도원 투데이' '티켓링크'를 비롯한  18 개 앱이 같은 서명키를 쓰고 있다고 지적했다.

에버스핀은 유출 경로로 구글 플레이스토어 계정 유출, 관리자  PC 의 해킹, 기타 관리자 부주의 등을 추정했다. 에버스핀 관계자는 "구글 계정이 유출되거나 관리자  PC 가 해킹당했을 경우 해커가 구글 플레이스토어 앱을 바꿔치기 해 금융정보 유출 등 큰 피해가 초래될 수 있다"며 "보안상 매우 심각한 문제"라고 말했다. 페이코는 "금주 중 신규 서명키를 활용한 앱 업데이트를 진행하겠다"며 "악성 앱의 작동을 무효화할 수 있는 방안을 현재 강구 중에 있다"고 밝혔다