2014 한국은행전자금융세미나 고려대학교사이버국방학과정보보호대학원
Ⅰ 금융환경및금융보안현황 3 Page Ⅱ 금융보안패러다임의전환 9 Page Ⅱ 금융보안패러다임전환에따른과제 14 Page Ⅳ 시사점 20 Page
Ⅰ
비대면전자금융거래비중이점차증가하고있으며, 특히스마트폰활용금융거래, 상거래비중이급증하고있는상황 전자금융거래 : 은행 인터넷뱅킹, 스마트폰뱅킹등이증가함에따라전체금융거래중비대면전자금융거래비중이 87% 를차지하고있는상황 특히스마트폰뱅킹이급속히증가하여전체인터넷뱅킹의 43% 가스마트폰을통해이루어짐 일평균전자금융거래이용건수 전자금융거래 : 상거래 전제신용카드거래중온라인신용카드거래가 4.5% 정도를차지하는등온라인신용카드거래가성장하고있음 상거래, 쇼핑에있어모바일시장이급속히성장하여, 전체쇼핑시장의 17% 를차지하고있음 PC 및모바일쇼핑시장 ( 천건 ) 인터넷뱅킹 ( 스마트폰뱅킹포함 ) 스마트폰뱅킹 스마트폰뱅킹비중 70,000 63,688 50% 60,000 50,000 40,000 30,000 20,000 10,000 39,023 19.72% 7,697 45,728 28.31% 12,946 54,285 39.76% 21,583 43.33% 27,597 40% 30% 20% 10% 0 2011 2012 2013 2014 1Q 0% 자료 : 한국은행 자료 : 삼성증권 4
최근온라인상 30 만원이상결제시공인인증서의무사용조항이폐지됨에따라전자결제와전자결제보안환경에변화가예상됨 30 만원이상결제시 공인인증서의무사용폐지 2014 년 5 월, 30 만원이상카드전자상거래시 공인인증서사용을의무화했던 전자금융감독 규정시행세칙 을개정하여의무화조항폐지 제 1 차규제개혁장관회의겸민관합동규제 개혁점검회의 에서박근혜대통령이국내 쇼핑몰결제에있어공인인증서사용으로인해 중국소비자가쇼핑을못하는점을강조하며 온라인결제환경변화촉구 이에따라 30 만원이상의무사용조항이폐지 되었으나, 카드사들은대체기술이없으며, 폐지의무가아니기에아직까지 30 만원이상결제시공인인증서를요구하고있는상황 5
최근삼성카드, 신한카드등주요카드사의모바일앱카드서비스에서부정사용이탐지됨에따라새로운금융환경에서보안이슈가제기됨 모바일앱카드부정사용적발 2014 년 4 월, 삼성카드는자사앱카드고객 53 명의명의가도용돼 6,000 만원이환급성게임사이트에서거래된사실을 FDS 를통해적발하여당국에신고 금융당국및경찰은해당사고이후신한카드, KB 국민카드, 현대카드, 롯데카드등주요카드사를압수수색함 2014 년 6 월, 신한카드역시앱카드부정사용이적발되었으며, 이는삼성카드사고에서사용된 IP 를바탕으로타카드사압수수색중 50 여건, 8 천만원의부정사용적발 스미싱을통해공인인증서등개인정보를탈취했으며, 이를바탕으로앱카드의인증헛점을이용해임의결제한것으로추정 6
전자금융거래를타겟으로하는스미싱, 파밍, 메모리해킹등다양한전자금융사기가발생하여사회문제로대두되고있는상황 파밍사이트통한정보유출 금융회사사칭비밀번호변경, 보안승급등의메시지를보내위조된사이트에서개인정보와보안카드번호등금융정보를입력하도록유도 최근공유기의취약점을활용해포털사이트접속시변조된사이트로접속을우회시키는 공유기 DNS 파밍 이문제가되고있음 악성앱을이용한스미싱 스마트폰이용자를대상으로이용자를현혹하는내용과함께단축 URL 주소가포함된문자를발송하며, 이용자가해당주소클릭하도록유도 해당 URL 클릭시악성앱을이용자스마트폰에설치하며, 이용자몰래휴대폰소액결제청구및개인정보유출등의활동수행 메모리해킹기법 전자금융거래시정상적인금융회사웹사이트에서정상적으로 ID/PW, 공인인증서, 보안카드번호를입력했음에도, 해커가메모리에저장된값을변조하여임의로전자금융거래를조작하는방식의해킹 메모리해킹으로 2013 년 27 억의피해가발생했으며, 대응으로이상행위탐지, 추가인증이도입된상황 7
카드 3 사개인정보유출을비롯해대형유출사고가지속되고있으며, 이미 3 억 7 천만건이상의개인정보가유출된것으로집계됨 역대개인정보유출사고 2000 년대중반이후개인정보유출사고가지속적으로발생하고있으며, 최근에는대형개인정보유출사고가급증하고있음 지속된대형개인정보유출사고로인해총 3 억 7 천만건의주민등록번호포함개인정보가유출된것으로집계됨 유출된정보규모가경제활동전체인구를포괄하고있으며, 지속된유출과정보집적으로인한위협가능성존재 이름, 주소, 전화번호, 이메일주소등과함께주민등록번호가유출됨에따라이를이용한신분사기, 금융사기등 2 차피해발생 8
Ⅱ
Windows, IE 중심의 IT 환경이다양한 OS 와브라우저를사용하는환경으로변화하였으며, 스마트폰에대한의존도가증가하고있는상황 대한민국 OS 점유율 자료 : StatCounter (%) 대한민국웹브라우저점유율 자료 : StatCounter (%) OS 2010 2011 2012 2013 2014 WinXP 74.46 63.32 42.92 26.94 14.84 Win7 12.15 25.88 48.35 64.34 75.24 Win Vista 12.05 9.2 4.61 1.85 0.9 Win8(8.1) - - 0.27 4.35 6.78 Mac OS X 0.87 1.13 2.55 1.74 1.43 Linux 0.05 0.07 0.19 0.22 0.23 Other 0.43 0.39 1.11 0.56 0.58 Browser 2010 2011 2012 2013 2014 IE (Internet Explorer) 94.32 91.33 77.33 75.38 77.18 Chrome 1.94 4.79 15.59 20.56 20.08 Firefox 2.78 2.64 4.09 2.57 1.67 Safari 0.59 0.88 2.2 0.98 0.73 Other 0.36 0.37 0.77 0.5 0.34 스마트폰점유율 2009 년스마트폰이보급되기시작한이후 5 년만인 2014 년상반기, 4 천만가입자를돌파할것으로예상 ( 만명 ) 4000 3000 3272 3750 4000 미국시장조사기관스트래티지애널리틱스 (SA) 에따르면 2013 년한국의스마트폰보급률은 79.5% 로전세계 1 위를차지할것으로전망 2000 2258 2011년 2012년 2013년 11월 2014 년상반기 (E) 자료 : 각통신사 10
자국내결제중심에서빈번히해외결제가이루어지는환경으로글로벌소비환경이변화하였으며, 글로벌결제업체의국내진출시도 글로벌소비활동으로해외직구증가 국내소비자들이 2013 년해외직구로소비한금액은 10 억달러를돌파하였으며, 이는전년대비 111% 늘어난수치 해외직구가전체소비재수입액에서차지하는비중도 1.8% 까지확대됨 해외결제업체한국진출 최근알리페이, 텐센트등중국결제업체가한국진출을추진하고있는상황 중국인들이국내쇼핑몰결제에있어중계역할을위함이나이후시장확대가능 페이팔, 이베이등역시국내시장진출추진중 다수국내소비자들이해외결제시별도인증수단없이카드번호, 유효기간, CVC 값등을입력하며, 최초입력후자동으로결제하는 원클릭결제 경험 반면에해외소비자들역시국내시장에서결제하려는요구가발생 중국의경우해외온라인직구금액은작년 35 조 6000 억원이며, 이는 2018 년 165 조원으로증가할것이라는전망 11
금융결제원이추진하는 뱅크웰렛, 뱅크머니 서비스에카카오톡이참여함에따라카카오톡기반송금서비스가출시될것으로에상 뱅크월렛카카오 대표모바일메신저카카오톡은친구들간모바일송금서비스 뱅크월렛카카오 출시예정 2013 년 3 월, 금융결제원이시중 18 개은행과협력하여출시한뱅크월렛서비스에카카오톡이참여하는형태 뱅크월렛에최대 50 만원까지충전할수있으며, 이충전금액인뱅크머니를하루최대 10 만원까지사용, 송금가능한일종의전자지갑 비트코인, 페이스북 e- 머니등 새로운전자화폐 2013 년가상전자화폐비트코인이새로운금융거래수단으로주복을받음 비트코인은암호학을이용해돈을채굴하는새로운방식의화폐로, 세계적으로다양한사용처를확보하며미래의화폐로부상 페이스북은아일랜드에서전자화폐 e 머니출시를준비하는등금융시장진출추진중 우리나라도각이통사, 스마트폰제조사, 금융사, 유통사등이전자화폐를서비스중이나사용이저조함 12
新 보안조치의상당부분을고객에게전가했던기존보안패러다임에서고객의편의성을보장하고보안, 리스크를기업이대응하는패러다임으로전환필요 As-Is 기존금융보안패러다임 To-Be 新금융보안패러다임 제한된환경중심, 사전대응중심 금융보안패러다임 OS : Windows, 웹브라우저 : IE 인 PC 환경 중심의전자금융거래환경 금융보안조치들역시이를중심으로설계돼, 제한된 PC 환경중심의보안시스템운영 특히전자금융사고발생시입증및보상책임이금융회사에있어금융회사는사용자에게여러사전보안조치전가 전자금융감독규정 에서이용자 PC 보안조치로개인방화벽, 키보드해킹방지, 안티바이러스등을규정함에따라일괄적보안조치의무화 (2011 년 10 월이전 ) 금융사, 사후대응중심 금융보안패러다임 언제, 어디서든, 어떠한디바이스를통해서도거래할수있는전자금융거래환경으로변화 기존 Windows / IE / PC 중심금융보안조치는새로운환경에서적용함에있어사용자불편초래, 새로운보안취약점노출등의문제가있음 사용자에게사전적인보안조치를전가하는것이아닌, 사용자의편의성을보장하며금융회사가보안, 리스크를사후대응하는형태로전환필요 이를위해거래유효성을검증하는 FDS, 리스크관리를위한보험등금융회사대응필요 기존보안감독규정개정필요 13
Ⅲ
온라인카드결제 FDS 의경우가맹점, PG, 카드사결제승인과정에작동하여다양한정보를바탕으로미리설정된 Rule 에따라정상거래여부판별 1. 상품주문 2. 결제요청 3. 결제요청 6. 상품배송 5. 결제승인 4., 결제승인가맹점사용자 8. 대금정산 PG 사 7. 대금정산카드발급사수수료 3% 납부수수료 0.5% 수취수수료 2.5% 수취 Fraud Detection System 1 차판별및거래정보수집 Rule 기반판별 최종결정및보고 1 차판별 사전에각요소별 Rule 셋팅 셋팅된 Rule 에따른최종결정 - Accept / Deny / Review / Flag 다음필터, 정보들기반종합적판별 - 자동화된판단 거래정보수집 - 주문상세정보 - 주문자신원정보 - 주문자과거거래기록등 주문정보 카드정보 기타정보 결제가맹점 카드번호, CVC 매칭 활동, 습관패턴 배송방식 카드번호, CVC 매칭 디바이스정보 배송지주소 카드등록결제지주소 IP 주소, 국가정보 주문자정보 해당카드거래내역 블랙리스트, 사고 DB - 보고통한담당자의판단 보고, 기록통한 - 보고및 1종 2종오류기록 - 수집데이터통해 Rule 개선 15
대표적글로벌에스크로서비스업체 PayPal 은계정승인, FDS 등을종합적으로활용하여전자금융거래보안을수행 PayPal 전자금융거래보안 ID/PW 방식, 신용카드거래번호인증, 주소인증, FDS 등종합적인보안방식통해전자금융거래보안수행 ID/PW : 기본 ID/PW 방식외이메일주소를 ID 로활용하여이메일인증통한계정인증수행 신용카드인증 : 최초카드등록시즉시등록되는것이아닌, 신용카드거래일련번호중일부자릿수를입력해야신용카드등록승인 국가인증, 주소인증 : Billing Address, IP 주소등을통해국가인증및주소인증수행 FDS : 다양한 Rule, Filter 통해정해진이상패턴감지시거래보류혹은거부 거래시 1.9 % ~ 3.9 % + $ 0.30 의수수료수취 ( 거래국가, 국제거래여부, 거래금액에따라상이 ) 자료 : PayPal 16
금융회사는부정거래탐지외에도전자금융사기에대응하기위해보험제도등리스크관리방안마련, 활용할필요 전자금융사기대응소비자보호, 리스크관리대책필요 전자금융거래법개정안에서금융회사에책임이행을위한보험, 공제가입, 적립금마련등대응요구 금융회사는전자금융사기발생시입증책임, 피해보상의책임이있어이러한리스크에대응하기위해보험등대안필요 해킹, 금융사기보상보험 현황과실효성논란 전자금융사기보상보험이이미출시되었으나, 실효성문제로가입이저조한상황으로효과적인보험제도마련등개선필요 특히금융보안패러다임이사후대응중심으로변화할경우다수의 Fraud Transaction 이발생할수있으며, 이를막지못할경우금융회사와소비자의피해로이어질수있음 따라서 FDS 외에도전자금융사기의리스크대응을위해보험등의대응책을적극마련, 활용할필요 17
계정, 거래이상징후탐지시스템 (FDS) 구축을위해개인정보수집, 처리가필요하며, 이과정에서개인정보과도수집논란의위험이있음 FDS 구축, 활용에있어 데이터수집과개인정보이슈 FDS 데이터수집과 개인정보과도수집논란 FDS 구축과활용을위해서는기존정상적인활동기록, 이상행위기록등에대한수집이필요하며, 이데이터확보가 FDS 탐지율에주요한역할 개인정보보호법에서 개인정보최소수집원칙 을규정하고있는상황에서 FDS 를위한개인정보수집은과도한개인정보수집문제를야기할수있음 FDS 와정보수집의필요성설득, 사회적합의, FDS 정보수집관련가이드라인등관련제반사항이마련되지않은상황에서 FDS 도입은문제가될수있음 FDS 구축, 활용시필요한개인정보항목과수집한개인정보보호조치등 FDS 개인정보수집활용에전반에대한논의필요 18
기존필수보안조치나열식, 보안조치이행시면책등규제중심감독에서이용자편의성과사업자자율성을보장하는방향으로감독방향변화필요 전자금융감독방향변화필요 FDS 구현, 운영을위해 여신전문금융업감독규정 에서규정한가맹점의신용카드번호등금융기록저장금지조항재검토필요 FDS 를위해수집하는개인정보항목이관련법위반이되지않도록법제개선등필요 새로운금융보안패러다임에서 FDS 구축 지원 당국의역할 FDS 구축인센티브등을통해도입, 전환비용부담경감 FDS 관련정보수집에있어위법행위없도록제도적지원필요 또한전자금융보안을사업자들의자율에맡기되다음과같은사항들감독필요 - 이용자의편의성보장 - 기타타법에서명시된불법행위여부 - 소비자피해발생가능성 - 보안사각지대에있는영세업체기술지원 영세 업체 기술 지원 가이드라인 마련 FDS 등새로운보안조치도입이어려운영세업체위한지원필요 FDS 표준모델개발과도입지원등대응책마련필요 안전하고편리한전자금융거래위한가이드라인마련, 보급필요 특정기술규정이아닌가능한모범보안조치소개수준 19
Ⅳ
금융거래환경의변화 보안위협등국내특수성고려필요 스마트폰을중심으로한 IT 환경변화로금융거래환경역시변화 언제, 어디서, 어떤디바이스로든쉽게금융거래를할수있는환경구축필요 전자금융사기등다양한금융관련보안위협이발생하고있는상황 개인정보유출로인해개인정보 DB 암시장이존재하는국내상황고려필요 새로운금융보안패러다임 인식과대응필요 고객편의성보장 FDS 개발, 구축필요 감독, 규제패러다임변화 21