• 한국컴퓨터정보학회논문지
• /
• 제12권2호
• /
• pp.171-180
• /
• 2007

최근의 사이버 범죄 중 사기성 피싱, 파밍, 비싱, 스미싱 등을 이용한 금융범죄가 늘어가고 있다. 본 논문에서는 사회공학 기법과 VoIP를 이용하는 피싱, 비싱, 스미싱으로 정보의 유출과 침해가 얼마나 손쉽게 발생할 수 있는지 실험을 통해 체계적으로 연구한다. 해커가 피싱과 비싱 사이트를 제작하고 서버를 구축하여 피싱 메일 및 바이러스, 악성코드, 비싱, 스미싱 문자, 키로거 방지 S/W의 무력화 등을 통한 사용자의 정보침해 과정을 실험한다. 실험 결과에서 피싱과 비싱, 스미싱으로 인한 정보가 유출 및 침해됨을 확인하고, 방지 대책으로 공인인증서와 White List 및 공인인증마크, 플러그 인 프로그램 설치 등을 실험하여 보안이 됨을 증명한다. 본 논문의 피싱과 비싱 공격에 대한 기술적인 실험 및 방지대책은 정보침해의 피해를 줄이고, 유비쿼터스 정보보안을 위한 학문 기술적 발전에 기여할 것이다.

• 인터넷정보학회논문지
• /
• 제17권3호
• /
• pp.11-18
• /
• 2016

와이파이 환경에서 비인가 AP(rogue AP)의 접속은 스니핑(sniffing), 피싱(phishing), 파밍(pharming) 공격 등 다양한 사이버 공격에 노출될 수 있는 매우 위험한 행위이다. 따라서 비인가 AP를 신속하고 정확하게 탐지하여 와이파이 사용자가 해당 AP에 대한 접속을 회피할 수 있도록 적절하게 경고하는 것은 와이파이 보안의 핵심 요구사항이 되고 있다. 본 논문은 인가된 AP에 대한 설치 정보와 스위치의 DHCP 스누핑 정보를 활용하여 비인가 AP를 정확하고 신속하게 탐지하여, 무선 단말에 실시간으로 통보하는 새로운 비인가 AP 탐지 기법을 제시한다. 제안된 비인가 AP 탐지 기법은 별도의 장비가 불필요하고 간단하여 많은 수의 탐지 센서와 탐지 서버로 구성되는 무선 침입 방지 시스템(wireless intrusion prevention system)에 비해 저가격에 구현가능하다. 그리고 타이밍 정보, 위치 정보, 화이트 리스트 기반 등의 기존 비인가 AP 탐지 기법에 비해 탐지의 정확성이 높고, 신속하며, 개방 환경을 포함하여 다양한 환경에 유연하게 적용가능한 장점이 있다.

• 서비스연구
• /
• 제5권1호
• /
• pp.71-78
• /
• 2015

모바일 기기의 발달은 삶의 여유를 가지도록 만들었지만 그 반대편에서는 이를 금융범죄의 대상으로 간주하고 공격하는 세력들이 나타나게 되었다. 스마트폰을 대상으로 하는 범죄 중에서 금융관련 범죄는 스미싱, 피싱, 파밍, 보이스 피싱 등이 있으며, 특히 모바일의 특성상 문자메시지를 이용한 스미싱이 많이 증가되고 있는 현상이다. 스미싱 공격으로부터 안전하게 개인과 기업 및 국가의 자산이 보호되기 위해서는 사후적인 대응보다는 사전적인 예진이 더욱 중요하다. 이를 위해서는 스미싱 공격을 사전에 감지하고 차단할 수 있는 프로그램을 개발하고 배포하는 것이 필요하다.

• 한국통신학회논문지
• /
• 제38B권6호
• /
• pp.492-500
• /
• 2013

One-Time Password(OTP) 발생기는 현재 은행이나 증권 회사에서 전자금융 거래 시에 안전한 거래를 보장하기 위해 multi-factor 인증으로 사용되고 있다. 국내 OTP 기반 전자금융 거래 검증 프로토콜은 OTP 인증 정보를 통해 사용자에 대한 신원을 확인함으로써 안전한 거래를 보장하며, 또한 Man-in-the-Browser(MITB) 공격, 메모리 해킹 공격 등에 대처하기 위해 사용된다. 하지만 지능적인 피싱, 파밍, 사회공학 공격들을 통해 OTP 생성 단말에 대한 정보를 수집하여 활용한다면 동일한 OTP 값을 생성할 수 있는 가능성이 있다. 그러므로 이와 같은 위협에 대응할 수 있는 대책이 필요하며 본고에서는 앞에서 언급한 문제점을 해결하기 위해 Physical Unclonable Functions(PUFs)을 이용한 새로운 기법을 제안한다. 먼저, 물리적으로 PUFs를 복제할 수 없는 특성은 동일한 OTP 값을 생성하는 것을 불가능하게 만든다. 또한 하드웨어적으로 OTP 발생기를 복제하는 것이 불가능하다. 결론적으로 제안된 프로토콜은 PUFs를 추가함으로써 이전 프로토콜보다 강력하고 안전한 인증 프로토콜을 제공한다.

• 정보보호학회지
• /
• 제18권5호
• /
• pp.1-20
• /
• 2008

편리한 금융거래 수단으로써 인터넷뱅킹을 포함한 전자금융 서비스가 생활화 되었으며 그 중요성 또한 갈수록 증가하고 있다. 이에 대한 부작용으로서 사용자의 실수나 금융기관, 쇼핑몰, 포털 등의 해킹을 통한 전자금융 접근매체의 유출, 비정상적인 지불결제나 인터넷뱅킹 이체 사고 등 침해사고 또한 함께 증가하고 있다. 금융권은 금융감독원을 중심으로 전자금융 종합보안 대책 수립(2005년) 및 전자금융거래법 시행(2007년) 등을 통해 고객 PC의 해킹방지를 위한 다양한 보안프로그램 제공 의무화, 보안등급에 따른 이체한도 차등화, 금융권 통합 OTP 인증체계 구축 등 전자금융 침해사고 예방을 위한 적극적인 노력을 기울여오고 있으나, 최근 들어 피싱/파밍 등 신종 사이버사기 기법이나 해외의 전문 해커에 의해 개발된 고도의 지능화된 해킹툴이 사용되어 보안프로그램을 무력화시킨 후 고객정보를 유출해가거나 일반 포털사이트, 웹하드, 웹메일 등의 해킹을 통해 인터넷 사이트에 등록된 고객의 인터넷뱅킹 접근 매체를 유출하여 인터넷뱅킹 침해 사고를 일으키는 등의 신종 침해사고를 완벽히 차단하지는 못하고 있어, 더욱 강력한 전자금융 침해사고 예방 통제 방안의 수립과 함께 침해사고 발생 시 원인 파악 및 범인 검거를 위한 역추적 시스템의 구축 등 기존 보안체계를 대폭 강화할 필요성이 발생하고 있다. 본 연구에서는 시중 은행의 인터넷뱅킹 침해사고 발생 현황 조사를 중심으로 최근 발생한 전자금융 침해사고의 추이분석, 침해사고 주요 원인과 기존 대응 체계의 현황, 한계점 등을 파악하였다. 그리고 전자금융 침해사고의 효과적인 예방 및 대응 강화 방안으로서 사용자 관점에서 공인인증서를 중심으로 한 전자금융 접근매체의 관리 강화 방안을 제안하였으며, 전자금융 서비스를 제공하는 금융 기관 관점에서 효과적인 전자금융거래 로깅 및 역추적 시스템의 구축 및 전체 금융기관과 감독기관 간의 유기적인 공조를 기반으로 한 침해사고 공동 대응체계의 구축 및 운영을 위한 시스템의 구성 방법, 운영 프로세스, 관련 법률의 검토 및 대응 방법 등을 제안하였다.

• 한국산학기술학회논문지
• /
• 제16권9호
• /
• pp.6282-6289
• /
• 2015

최근 공인인증서 유출 사고가 급증하고 있으며 이로 인한 전자금융사기가 빈번하게 일어나고 있다. 공인인증서와 개인키는 파일 형태로 존재하여 접근이 용이하고 쉽게 복사가 가능하기 때문에 PC의 하드디스크나 이동식디스크 등에 저장해두는 경우 악성코드에 의한 파밍, 피싱, 스미싱 등의 해킹 공격에 의하여 유출될 위험이 높다. 따라서 안전한 저장매체인 보안토큰, 저장토큰 등을 권고하고 있지만 분실 위험, 비용 문제 등의 이유로 실제로 사용하는 사람은 소수에 불과하다. 본 논문에서는 이러한 문제를 해결하고 단점을 보완하기 위하여 인증서와 개인키를 인증기관에서 보관하도록 하고 사용자는 본인 소유의 단말에서 바이오인증절차를 거쳐 인증기관에게 기기 고유 식별자와 인증토큰을 전달함으로써 인터넷 뱅킹을 위한 본인확인 및 전자서명을 수행할 수 있는 시스템을 제안한다. 제안하는 시스템은 인증서 비밀번호 입력 없이 바이오인증만으로 인증기관을 통하여 전자서명을 수행할 수 있어 기존 시스템에 비하여 서비스 이용이 간편하며 키로깅, 저장매체 분실, 인증서 유출 등의 위협요소를 무력화시킴으로써 안전한 인터넷 뱅킹 환경을 제공한다.

• 예술인문사회 융합 멀티미디어 논문지
• /
• 제7권12호
• /
• pp.955-963
• /
• 2017

핀테크 기술은 모바일 뱅킹 및 지불의 핵심으로 대두되어 있고, 현재 우리나라에서는 전통적인 대면거래로부터 비대면 핀테크 기반 뱅킹 및 지불로 급격한 금융시장의 변화가 이루어지고 있다. 특히 스마트폰은 지문센서, 홍채센서 등 다양한 생체인식 센서를 갖춤으로써 본인확인의 핵심 도구가 되어 있다. 하지만 이러한 금융거래에 있어서 데이터전송 경로상의 해킹 및 파밍의 위협이 상존하고 있고, 이러한 위험을 회피하기 위한 다양한 보안체계 및 다단계 본인인증 절차가 적용되어 있다. 결과적으로 다양한 보안체계와 본인인증 절차가 위험을 줄여주는 효과가 있음은 분명하나, 상반되게 금융거래와 지불에 있어서 상당한 불편함을 가중시키고 있는 것도 사실이다. 본 논문은 이러한 보안체계 적용에 있어서 무선랜과 이동통신망 등 네트워크 경로에 따라 서로 다른 감성신뢰도가 있음을 확인하고, 네트워크 접속경로에 따른 점진적 본인인증 방법을 제안함으로써 사용자에게 신뢰도와 불편함에 있어서 효율적인 해결방법을 제안한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2007년도 추계학술발표대회
• /
• pp.1119-1122
• /
• 2007

최근 전자우편이나 해킹을 통한 피싱과 파밍 등 금융 사기가 많이 발생하고 있다. 이에 이러한 피해로부터 사용자의 경제적 손실 및 개인정보 보호를 위하여 웹 사이트 인증, 전자우편 인증 등의 연구가 진행되고 있다. 기존 인증 방법에서는 WBL (Website Black-List) DB를 사용하였는데, 피싱의 짧은 생명주기(life cycle)로 인해 WBL DB의 유효성은 떨어질 뿐만 아니라, 피싱 사건 발생 후 웹 사이트가 WBL DB에 등록되기 전까지는 확인 불가능하다는 단점을 가지고 있다. 이러한 문제점을 극복하기 위해 WWL (Website White-List) DB를 이용한 연구가 진행 중이지만 아직은 미비한 편이다. 이에 본 논문에서는 기존의 WBL DB와 WWL DB를 이용한 방법이 가지고 있는 한계점을 극복하기 위해 WWL DB 항목을 정의하고, 이를 이용하여 웹사이트 보안 위험도를 정량화할 수 있는 웹사이트 위험도 산정 기법을 제안한다.

• 한국콘텐츠학회논문지
• /
• 제15권10호
• /
• pp.607-615
• /
• 2015

대부분의 인터넷 사용자 및 스마트폰 보유자는 공인인증서를 발급 받았고, 공인인증서를 통해 계좌 이체, 주식거래, 쇼핑 등 다양한 업무에 활용하고 있다. 대부분은 PC나 USB 메모리와 같은 외부 저장매체에 공인인증서와 개인키를 저장한다. 특히, 공인인증기관에서는 공인인증서와 개인키 저장매체로 하드디스크 보다는 보안토큰, 휴대폰, USB 메모리 등의 저장매체를 권장하고 있다. 그러나 USB메모리는 PC에 연결되는 순간 쉽게 이동/복사될 수 있고, 악성코드나 파밍 사이트 연결을 통해 쉽게 해커에게 인증서 파일과 개인키 파일이 노출될 수 있다. 더욱 큰 문제는 해커에게 복사된 인증서 파일과 개인키 파일은 아무런 제약 없이 사용자의 패스워드만 알면 정당한 사용자처럼 사용할 수 있다는 점이다. 이에 본 논문에서는 암호화된 개인키 파일의 패스워드와 USB 메모리의 HW 정보를 이용하여 USB 메모리에 개인키 파일의 안전한 관리 방안을 제안하였다. 이를 통해, 해커에 의해 암호화된 개인키 파일을 임의로 이동/복사되거나 또는 개인키 파일이 노출되더라도 암호화된 개인키를 안전하게 보호할 수 있다. 또한, 개인키 파일의 패스워드가 노출되더라도 USB 메모리의 컨테이너ID라는 추가 인증요소를 활용하여 개인키를 안전하게 보호할 수 있다. 따라서 활용도가 매우 높은 공인인증체계에서 제안시스템은 저장매체 보호 방안으로 보안성이 크게 향상될 것으로 기대한다.

• 서비스연구
• /
• 제5권2호
• /
• pp.111-118
• /
• 2015

모바일 기기의 발달은 삶의 여유를 가지도록 만들었지만 그 반대편에서는 이를 금융범죄의 대상으로 간주하고 공격하는 세력들이 나타나게 되었다. 스마트폰을 대상으로 하는 범죄 중에서 금융관련 범죄는 스미싱, 피싱, 파밍, 보이스 피싱 등이 있으며, 특히 모바일의 특성상 문자메시지를 이용한 스미싱이 많이 증가되고 있는 현상이다. 스미싱은 스마트폰 사용자가 급증해 짐으로 인하여 발생하는 신종범죄로서, 그들의 범죄방식도 기존의 사기행위에서 벗어나 악성 앱을 제작하는 등 그 수법이 고도화되어가고 있으며, 특히 관련법의 허점을 이용하기 때문에 외국서버를 이용하는 등의 방법을 통하여 발생시키고 있다. 스미싱 공격으로부터 안전하게 개인과 기업 및 국가의 자산이 보호되기 위해서는 사후적인 대응보다는 사전적인 예진이 더욱 중요하다. 이를 위해서는 스미싱 공격을 사전에 감지하고 차단할 수 있는 프로그램을 개발하고 배포하는 것이 필요하다. 이에 본 논문에서는 현재 배포되고 있는 차단앱의 종류와 차단과정을 조사하고 감지설정을 적용한 차단앱의 평가방법을 제시한다.