메신저 피싱 예방을 위한 금융 앱의 비대면 인증 취약점 분석 및 보안대책 (Analysis of Vulnerabilities in Non-Face-to-Face Authentication of Financial Apps for Preventing Messenger Phishing and Security Measures)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 18권 / 5호 / 30 ~ 39페이지
· 저자명 : 이수평, 박정흠, 이상진

초록

최근 모바일 앱을 통한 금융 거래가 활발해지면서 원격 제어 앱의 설치를 유도하는 방식의 메신저 피싱 범죄도 증가하고 있다. 금융 앱 개발사들은 원격 제어 환경이 탐지되면 해당 금융 앱의 실행을 종료시키는 보안 기능을 탑재하였다. 그러나 단순히 원격 제어 환경을 탐지하는 방식의 대책만으로는 점점 고도화되는 메신저 피싱 범죄를 효과적으로 예방하기에 부족하다. 본 연구에서는 국내 금융사의 공식 앱에 탑재된 보안 기능을 분석하기 위해 메신저 피싱이 발생하는 상황을 가정하여 안드로이드 에뮬레이터에서 금융 앱을 실행한 후 비대면 인증을 시도하는 실험을 진행했다. 실험 결과, 15개의 금융 앱 중 6개의 앱이 에뮬레이터에서 실행되었고 2개의 앱에서는 로그인 및 계좌 이체가 가능했다. 이는 금융 앱 사용에서 보안 취약점이 존재한다는 것을 의미한다. 결론적으로 금융 앱의 보안성 확보와 메신저 피싱 범죄 피해 최소화를 위해 에뮬레이터 환경 식별 및 제도화, 스마트폰 번호 검증 강화, 금융 거래 시 바이오 인증 의무화, 비정상 거래 식별 등을 제안하였다.

영어초록

With the recent increase in financial transactions through mobile apps, there has also been a rise in messenger phishing crimes that induce the installation of remote control apps. Financial app developers have implemented security features to terminate the execution of their apps when a remote control environment is detected. However, relying solely on methods to detect remote control environments is insufficient to effectively prevent the increasingly sophisticated messenger phishing crimes. In this study, we conducted experiments simulating situations where messenger phishing occurs to analyze the security features embedded in the official apps of domestic financial institutions. We executed the financial apps on an Android emulator and attempted non-face-to-face authentication. The experiment results revealed that among 15 financial apps, 6 were successfully executed in the emulator, and 2 allowed for login and account transfers. This indicates that security vulnerabilities exist in the use of financial apps. In conclusion, to ensure the security of financial apps and minimize the impact of messenger phishing crimes, we recommend identifying and institutionalizing emulator environments, strengthening smartphone number verification, mandating biometric authentication for financial transactions, and identifying abnormal transactions.

참고자료

· 없음