NHN페이코, 서명키 유출에 금감원 현장 조사

서명키 교체 새 앱 배포한다지만…언제 될지 몰라
금감원 “오늘 중 새 앱 다운로드 가능” 혼선 빚어

간편결제 금융 애플리케이션(앱) 페이코의 서명키가 유출돼 해킹에 악용될 수 있다는 사실이 알려진 지 하루 만에 금융감독원이 현장 조사에 나섰다. 첫 서명키 유출이 파악된 최초 시점인 지난 8월부터 계산하면 4개월 만이다. 금감원은 페이코 앱으로 가장한 악성 앱이 유포될 위험이 있다며 주의를 당부했다.

/페이코 제공

페이코 운영사인 NHN페이코는 서명키를 바꾼 새 앱을 앱 마켓을 통해 배포될 예정이지만 구글, 애플 등 앱 마켓 운영사가 언제 승인을 해줄지 몰라 정확한 시기는 미지수다.

금융권에 다르면 금감원은 6일 페이코 운영사 NHN페이코에 대한 현장 조사에 착수했다. 금감원은 서명키 유출 경로와 관리 실태 등을 파악한다는 계획이다.

또 금감원은 이날 페이코 앱을 가장한 악성 앱이 유포될 위험이 있다며 소비자경보 주의를 내렸다. 금감원은 현재까지 서명키 유출로 인한 직접적인 피해 사례는 없다고 밝혔다. 앱은 구글플레이 등 정식 앱마켓을 통해서만 설치하며 출처가 불분명한 인터넷 웹사이트 주소(URL)이나 문자 다운로드를 통해 설치한 앱은 사용을 중단할 것을 권고했다.

NHN페이코는 이날 새로운 서명키를 이용한 앱을 업데이트해 앱 마켓을 통해 내려 받을 수 있게 할 계획이라고 밝혔다. 하지만 사용자가 언제부터 새 앱을 이용할 수 있는지는 불확실하다. 구글, 애플 등 앱 마켓 운영회사의 승인을 받아야하기 때문이다. “유출된 서명키를 즉각 폐기하고 새로운 서명키를 이용한 앱을 금일 앱 마켓에 등록 신청했다”며 “앱마켓 심사가 올라갔다고 해서 승인이 언제 날지는 알 수 없다”고 말했다.

문제는 이 같은 내용이 금감원에 제대로 전달이 되지 않은 것이다. 금감원은 이날 배포한 보도자료에서 “새로운 서명키를 이용한 앱이 오늘 중으로 앱 마켓에 재배포될 예정”이라고 했다.

지난 5일 보안솔루션 기업 에버스핀은 고객사 30여 곳에 페이코 서명키가 유출됐다는 공문을 보냈다. 에버스핀에 따르면 유출된 서명키를 통해 제작된 악성 앱은 전날 기준 5144건이다.

통상 보안 앱들은 서명 키가 같으면 추가적인 검사는 하지 않는다. 이에 서명키가 유출되면 해커가 만든 악성 앱이 정상 앱으로 위장된다. 악성 앱은 고객의 휴대전화 내 파일에 접근하거나 보이스피싱 앱으로 악용돼 개인정보 유출 등 피해를 일으킨다.

- Copyright ⓒ 조선비즈 & Chosun.com -