대형 신용카드 사기 사건이 한 업체를 덮칠 때마다 우리는 그것이 자신에게 직접적인 피해를 주지 않는 한 대수롭지 않게 넘겨버리곤 합니다. 하지만 모든 정보 유출 사건이 뉴스에 보도되는 것은 아닙니다. 상대적으로 규모가 작은 사건들이 훨씬 더 자주, 그리고 꾸준히 발생하고 있습니다.
요즘은 많은 사람들이 소셜 엔지니어링 공격을 경계할 만큼 보안 의식이 높아졌지만, 범죄자들 역시 이미 더 새로운 신용카드 도난 방식을 손에 넣었습니다. 여기에서는 2019년 기준으로 신용카드 번호가 도난당하는 가장 흔한 방법들을 하나씩 살펴보겠습니다.
1. 카드 클로닝(카드 복제)
신용카드를 복제하는 것은 도둑이 남의 돈을 가장 쉽게 사용하는 방법입니다. 범죄자가 해야 할 일은 잠시 동안(흔히 몇십 초) 당신의 신용카드에 접근해, 그 정보를 다른 선불카드에 입력하는 것뿐입니다. 이렇게 만들어진 복제 카드는 다크웹에서 주로 암호화폐 결제를 통해 판매됩니다. 상당수의 복제 카드는 진짜 카드와 거의 구분이 어려울 정도로 디테일이 놀라울 정도입니다.
주의: 온라인에서 복제 신용카드를 구매하는 행위는 중대한 사이버 범죄입니다. 아래 화면은 순수하게 정보 제공 목적일 뿐이며, 관련 주소와 이름은 모두 가려 두었습니다.
카드 복제는 대부분 조직 범죄의 영역입니다. 단 한 명의 신용카드를 위해 번거로운 과정을 거치는 것은 비효율적이기 때문입니다. 충분한 수의 피해자가 확보되고, 도난된 카드 정보가 큰 할인율로 판매될 수 있을 때 비로소 복제 사업은 규모를 갖추게 됩니다. 대부분의 범죄자는 이런 '상점'에서 카드를 여러 장 확보해 두는데, 일부 카드가 정지당하더라도 곤란하지 않도록 하기 위해서입니다.
예방 방법은? 카드 복제를 막으려면 급한 경우가 아니라면 신용카드를 다른 사람에게 건네지 않는 것이 좋습니다. 요즘은 많은 식당, 클럽, 바에서 테이블 결제 단말기를 운영하니 이를 적극 활용하세요. 또한 PIN 번호를 자주 변경하고, 휴대폰 알림 기능으로 소액·미확인 지출을 꼼꼼히 체크하세요. 많은 범죄자가 큰 금액 결제가 승인되는지 확인하기 위해 먼저 소액 결제를 시도합니다. 이를 빠르게 감지하면 최소한 문제를 대응할 짧은 시간이라도 벌 수 있습니다.
2. 카드 스키밍
카드 복제에 버금가는 방식으로, ATM 스키밍은 신용카드 및 체크카드 정보를 탈취하는 가장 흔한 수단 중 하나입니다. 주로 칩·PIN 방식보다는 마그네틱 스와이프 카드가 표적이 되지만, 앞서 소개된 사례처럼 범죄자가 스키머에 미니 카메라를 부착해 PIN 번호까지 몰래 촬영하기도 합니다.
스키머는 의심스러운 매장의 POS 결제 단말기에 설치되기도 하는데, 육안으로는 전혀 감지하기 어렵습니다. 집법 기관이 이런 수법을 쓰는 범죄자들을 계속 추적하고 있지만, 그럼에도 스키밍은 여전히 인기 있는 카드 정보 탈취 방식입니다. 특히 경찰이 이런 범죄를 외면하는 국가를 여행할 때는 더욱 취약해집니다.
예방 방법은? 모바일 앱을 활용해 불법 장치를 탐지해 볼 수 있습니다. 하지만 무엇보다 중요한 것은 승인되지 않은 거래를 수시로 점검하고 PIN 번호를 자주 변경하는 습관입니다.
3. 폼재킹(Formjacking)
ATM 스키밍의 디지털 버전이라 할 수 있는 '폼재킹'은 시만텍(Symantec)이 명명한 용어로, 해커가 웹사이트의 결제 페이지에서 신용카드 정보를 훔치는 공격을 말합니다. 해커는 보통 악성 코드, 주로 자바스크립트(JavaScript)를 심어 카드 번호를 빼내갑니다. 이와 유사한 '크립토재킹(Cryptojacking)'은 암호화폐 관련 정보를 탈취하는 행위를 가리킵니다.
폼재킹은 2019년 들어 심각한 위협이 되었으며, 영국항공(British Airways), 티켓마스터(Ticketmaster), 홈디포(Home Depot), 타깃(Target), 피디파이(Feedify) 등 유명 웹사이트들이 유출 사고를 보고했습니다.
예방 방법은? 대부분의 폼재킹 공격은 악성 스크립트를 이용하므로, 결제 단계에서 스크립트 차단 도구로 이를 막아야 합니다. 파이어폭스(Firefox)에서는 NoScript 확장 프로그램을 사용할 수 있습니다.
마무리하며
우리 중 얼마나 많은 사람이 낯선 앱이나 웹사이트에 신용카드 번호를 입력하기 전에 한 번이라도 고민할까요? 은행의 암호화 소프트웨어와 일회용 비밀번호(OTP)가 내 금융 정보를 지켜준다고 믿는다면, 반은 맞는 생각입니다. 실제로 오늘날 온라인에서 신용카드를 사용하는 것은 2004년 같은 과거보다 훨씬 안전합니다. 하지만 위협이 완전히 사라진 것은 결코 아닙니다.
여러분은 신용카드 도난을 막기 위해 어떤 예방 조치를 취하고 계신가요? 댓글로 알려주세요.