악성앱 스미싱 원천차단 '엑스레이'…내년 3월까지 의무적용해야

'문자재판매사 요건' 전기통신사업법·전송자격인증제에 반영
KISA 설루션 API 무료지원…"대량문자 고객 위해서라도 필수"

한국인터넷진흥원(KISA)가 지원하는 스미싱 사전 탐지 엑스레이 시스템 개념도.(KISA 제공)

(서울=뉴스1) 윤주영 기자 = 대량문자 사업자(문자재판매사)는 스미싱 악성 URL을 사전 탐지·차단하는 '엑스레이' 시스템을 내년 3월까지 도입해야 한다.

31일 한국인터넷진흥원(KISA)에 따르면 정부는 문자재판매사 자격을 규정하는 전기통신사업법 시행령 및 대량문자 전송자격인증제에 이같은 조건을 반영했다.

시행령이 개정되는 다음 달 19일부터 내년 3월까지가 유예기간이다.

스미싱 공격자는 문자에 악성 앱·웹사이트 URL을 심는다. 앱을 내려받거나 민감 정보를 입력하면 단말 권한 탈취, 금융 정보 유출 등 피해로 이어진다.

대량문자 스팸은 공격자가 손쉽게 스미싱을 확산할 수 있는 창구다. 공격자는 기업·기관의 대량문자 이용 계정을 탈취한 뒤, 여러 고객에게 사칭 문자를 보내는 수법을 쓴다.

정부 이를 막고자 기존 시범 운영하던 스미싱 엑스레이를 의무화하기로 했다. 기존에는 수신 단에서 이동통신사·단말 제조사 중심으로 스미싱 악성 URL을 모니터링했지만, 아예 발신부터 차단하는 게 필요하다고 봤다.

과기정통부에 따르면 엑스레이 시스템은 문자재판매사가 자체 구축할 수도 있고, KISA가 무료 지원하는 앱 프로그래밍 인터페이스(API)를 써도 된다.

엑스레이는 문자 내용 중 URL만 추출, 이를 악성앱 분석 설루션 등을 통해 검사하는 방식이다. URL이 악성으로 판정된다면 문자재판매사는 대량문자 발송을 차단한다. 이후 대량문자를 보낸 고객에게 연락해 오탐지 여부 등을 확인한다.

김은성 KISA 스미싱대응팀장은 "공격자가 스미싱을 위해 대량문자 이용자 계정을 탈취하면, 대량문자 고객은 서비스 마일리지도 뺏기는 것"이라며 "기업고객의 재산 보호를 위해서라도 시스템 도입은 필요하다"고 강조했다.

KISA는 영세 업체라도 시스템을 쉽게 도입할 수 있도록 지원한다는 방침이다.

한편 서비스를 구축·시범 운영한 곳으로는 에스엠티엔티가 있다. 김문식 에스엠티엔티 대표는 29일 관련 노하우도 공유했다.

우선 정상 사이트 특징 등을 반영한 '리스크 점수'를 통해 URL 오탐을 최소화해야 한다. URL이 실제 개인정보 입력을 요구하는지, APK 설치를 유도하는지 등도 파악해야 한다.

또 엑스레이는 문자 전체가 아닌 URL만 추출해야 한다. 사용자를 식별할 수 있는 전화번호 등을 연계해선 안 된다. 개인정보 침해 우려를 최소화해야 한다.

이 밖에도 △최신 피싱 데이터 상시 수집 △검증 알고리즘 업데이트 △KISA 및 외부 보안데이터 연계 등이 노하우로 제시됐다.

legomaster@news1.kr

<용어설명>

■ 전송자격인증제
전송자격인증제는 불법 스팸 방지를 위해 이동통신사업자, 문자중계사업자가 자율적으로 운영하는 것이다.
문자재판매사업자(특수부가통신사업자)를 대상으로 한다.

■ APK
안드로이드에서 프로그램 형태로 배포되는 형식의 확장자.

■ 스미싱
문자(SMS)와 피싱이 합쳐진 말로, 문자 기반 피싱을 의미한다. 악성 앱·웹사이트 URL 등이 스미싱으로 유포된다.