Home

우리나라에서는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 48조 2항에 따라 악성 프로그램의 유포행위를 불법적으로 규정하고 있다.

최근 남자 143명, 여자 16명 기준으로 스미싱 피해사례 연구를 한 결과 스미싱 피해는 남성보다 여성이 통계적으로 유의하게 높은 수준으로 많이 발생한 결과를 얻었다. 스미싱 문자를 받고 URL을 클릭하는 연구를 한 결과 남성의 1.51에 비해 여성이 1.88로 통계적으로 유의하게 많은 스미싱 문자 내 URL을 클릭하고 있었다. 이 연구에서는 스마트폰을 오래 사용할수록 스미싱 공격에 노출될 위험이 더 크다는 결론을 내렸다[1].

스미싱 관련 범죄의 수사 및 예방을 위한 차단 행위들은 피해자가 수사기관이나 통신회사에 신고 후 확보된 악성코드를 분석하거나 해당 악성코드의 유포지 주소로 확인된 URL을 차단하는 방식으로 문자메시지가 피해자들에게 발송된 이후의 사후 대처 방식에만 초점이 맞춰져 있다. 일반적으로 스미싱은 피의자들이 악성코드를 생성한 후 무료 혹은 유료로 임대한 서버나 해킹된 서버에 악성코드를 업로드 한다[4]-[6]. 그 후 해당 주소를 단축 URL 서비스를 통해 단축한 뒤 해당 링크를 문자메시지에 포함해 보내는 수법을 사용한다. 단축 URL은 인터넷상의 긴 URL을 짧게 만들어 주는 기술로 인터넷에 사용될 수 있는 주소의 크기가 수백 바이트라 해도 단축 URL 서비스를 이용하여 30바이트 수준을 넘지 않는 크기의 주소를 생성하여 주소 자원을 절약하고 타인의 관심을 끌 수 있게 해주는 서비스를 말한다. 이러한 단축 URL은 글쓰기 자수의 제한이 있는 SNS 서비스에서 널리 사용되는 등 인기를 얻고 있다[7]-[9]. 그림 1은 단축 URL을 사용한 메시지와 사용하지 않은 메시지를 보여주고 있다.

Fig. 1. 
Example of shortened URL usage

최근 단축 URL 내 악성코드가 포함되어 있는지 판별하는 연구는 활발히 진행되고 있다. 일반적으로 단축 URL을 포함한 문자메시지가 스마트폰 사용자에게 전달되었다면 우선 단축 URL을 정상적인 URL로 변환하고 그 URL 내에 APK라는 텍스트가 포함되어 있는지 판별하여 메시지를 차단하거나, 또는 악성 URL 정보를 제공하는 웹사이트 DB 검색을 통해 판별하여 메시지를 차단할 수 있다. 하지만 이런 차단방식에는 치명적인 단점이 존재한다. 스미싱은 단순히 스마트폰에 악성코드를 설치하는 행위뿐만 아니라 계좌번호 등 이용자의 중요정보를 입력하게 하여 정보를 탈취하거나 이용자의 심리를 이용하여 범죄자에게 전화를 걸게 하는 보이스 피싱 범죄로 그 범위가 확대될 수 있기 때문이다. 단순히 메시지를 필터링하는 방법만으로는 스미싱을 근본적으로 막을 수는 없다.

실험을 통해 보안교육이나 보안서비스 제공이 조직구성원의 보안정책 준수 행동에 어떤 영향을 미치는지 알아보는 연구는 아래와 같은 결론을 얻었다. 첫 번째 실험에서는 국내 대기업 임직원을 대상으로 스팸 이메일 대응 교육을 한 후 교육 효과를 알아보기 위해 스팸 이메일 열람 여부를 측정했고, 3개월이 지난 후에도 효과가 지속하는지 알아보았다. 두 번째 실험에서는 보안서비스의 효과를 알아보기 위해 보안경고 알림 메시지를 제공한 후 그 효과를 측정하였다. 실험 결과, 보안교육은 보안정책 준수 행동에 긍정적인 영향을 미치는 것으로 나타났다. 보안교육 직후 교육 이수 집단이 미이수 집단보다 스팸 이메일 열람률이 낮았다. 또한 보안위험 경고 알림 메시지는 스팸 이메일을 낮추는 데 효과가 큰 것으로 나타나 보안정책 준수 행동에 긍정적인 영향을 미쳤다[10].

위의 연구결과와 같이 기술적 보안대책만으로는 사이버범죄를 막는 데 한계가 있고 보안교육과 보안서비스 활용이 병행되어야 효과적인 사이버범죄를 예방할 수 있음을 확인할 수 있었다.

MSTS는 그림 2와 같이 4단계 훈련 프로세스를 통해 악성 문자 모의훈련을 한다. 첫 번째 단계는 훈련대상자 등록과 훈련에 사용할 악성 문자 템플릿을 생성하는 단계이다. 두 번째 단계는 모의훈련 관리자가 MSTS를 통해 이미 등록한 훈련대상자와 훈련문자 템플릿을 조합하여 문자훈련을 등록하는 단계로 단축 URL이 생성되고 훈련문자가 발송된다. 세 번째 단계는 열람자 DB 기록 단계로 문자가 발송된 대상자 정보와 등록된 훈련 명을 기초로 훈련결과를 DB화하는 단계이다. 네 번째 단계는 훈련결과 생성단계로 훈련문자를 받은 대상자가 단축 URL을 클릭하면 MSTS는 훈련 명에 맞는 스미싱 웹페이지를 보여주고 훈련대상자 정보를 훈련 DB에 기록한다. 모든 훈련이 종료되면 모의훈련 관리자는 MSTS에서 훈련결과를 확인할 수 있다.

Fig. 2. 
MSTS training process

“훈련양식 등록” 기능은 사용자 등록, 문자훈련 템플릿 등록, 문자훈련 등록으로 나누어져 있다. 사용자 등록은 그림 3과 같이 훈련대상자의 조직 구분을 위해 3차까지 구분하여 등록할 수 있게 하였다.

Fig. 3. 
Input screen of user data

문자훈련 템플릿은 단문자 발송을 위해 문자의 크기가 URL을 포함해 80바이트를 넘지 않게 하였고 문자메시지 내 URL 링크를 삽입하기 위해 그림 4와 같이 {링크}라는 치환단어를 문자메시지에 포함하였다. 문자훈련 템플릿은 단순히 URL클릭을 유도하는 문자와 사용자 정보를 입력하게 하는 문자 템플릿으로 구성된다. 훈련대상자와 문자템플릿 생성이 완료되면 마지막으로 훈련명을 입력하여 훈련목록을 생성한다.

Fig. 4. 
Short message service(SMS) template

“문자훈련 실행” 기능은 훈련양식 등록기능에서 생성된 훈련목록을 선택해서 문자메시지를 발송하는 단계로 문자메시지 내 {링크}라는 치환문자를 훈련 URL로 변환하고 다시 네이버 단축 URL 서비스를 이용하여 단축 URL을 생성하는 단계이다. 이렇게 생성된 문자메시지는 상용 SMS 서비스를 통해 훈련대상자에게 문자가 발송된다.

“훈련 결과” 기능은 훈련문자를 받은 훈련대상자가 문자메시지 내 단축 URL을 클릭했을 경우 생성된 데이터를 확인하는 단계로 그림 5와 같이 8가지 정보(훈련 이름, 수신자 이름, 수신자 전화번호, 첫 접속 일시, 페이지 접속 여부, 금융정보 입력 여부, 계정정보 입력 여부, 배송정보 입력 여부)를 확인하고 결과값을 내려받을 수 있다.

Fig. 5. 
Training results