1. 증가하는 인터넷뱅킹, 해킹으로부터 안전한가?

○ 한국은행 자료에 의하면, 인터넷뱅킹 고객수가 5,557만명이고, 일평균 이용건수가 2,690만건이며, 거래금액은 28조 3,482억원임

○ 이렇게 많은 이용자와 거래규모를 감안하면, 안전한 인터넷뱅킹을 위한 철저한 보안시스템을 구축하여 해킹으로부터 개인의 예금을 보호해야 함

○ 지난 2007년 7월 모(김현미) 의원이 현재의 인터넷뱅킹의 해킹 우려에 대해서 문제를 제기했고, 그 이후에 일회용 비밀번호 생성기(OTP), 종단간 키보드보안(E2E) 등을 도입함으로써, 이를 해결한다고 했음

○ 금감원 제출 자료에 의하면, 그 이후인 '08년에 총 8건, 1억5천만원, 그리고 '09년(8월말 기준)에는 총 14건에 2억3천만원 규모의 인터넷뱅킹 사고가 발생했음 (별첨: 건별 금감원 자료)

<금감원: 인터넷뱅킹 사고건수 및 사고금액>

(단위 : 건, 백만원)

구 분	’05년	’06년	’07년	’08년	'09년 (1～8월)	합계
사고건수	5	2	12	8	14	41
사고금액	149	15	159.1	155.7	230	708.8

※ '09년도 발생 사고는 현재 경찰에서 수사 중으로 수사결과에 따라 전자금융 사고 여부가 최종 결정될 예정임

○ 이후에 많은 돈을 들여서 여러 가지 보안시스템을 도입했는데도 사고가 계속 발생하고 있는 이유는 무엇인가?

2. OTP만으로 해킹을 막을 수 있나?

○ 하루 평균 28조원이라는 엄청나게 많은 금액이 거래되는 인터넷뱅킹의 보안 문제를 해결하기 위하여 금융기관을 통하여 보급하고 있는 것이 일회용 비밀번호 생성기, 이른바 OTP임

○ 이미 대부분의 금융기관에서 사용하고 있으며, 기업 금융사용자인 경우에는 반드시 OTP를 사용하도록 하고 있는데, 지속적인 확대를  추진하고 있는 것이 맞습니까?

○ 금융보안연구원의 자료에 의하면, ‘07년 6월 OTP통합인증센터 설립 이전 OTP 발급건수는 총 62만여 건에서 ’08년 상반기에만 1백만건을 상회하고, ‘09년 상반기에도 51만6천여 건으로 매우 빠르게 증가하고 있음 (현재 OTP 발급/재발급 건수는 총 2,961,595건임)

분류	2007년 下반기	2008년 上반기	2008년 下반기	2009년 上반기
발급건수	206,621	1,072,686	482,821	516,444
재발급건수	8,003	11,860	22,590	21,368

<전체 OTP 발급/재발급 건수 증가현황>

* OTP통합인증센터 설립('07.6월) 이후 발급/재발급 건수임

○ 이러한 OTP 도입을 위해서 지금까지 들어간 비용이 어느 정도 되며, 이를 운영하기 위하여 연간 필요한 금액은 얼마입니까?

○ ‘05년부터 현재까지 보안시스템 개발, 도입, 유지보수에 7개 시중은행이 투자한 액수는 무려 2,140억원에 달하고 국민은행은 같은 기간동안 가장 많은 812억원을 투자했음

<보안시스템 개발, 도입, 유지보수 투자액>

	2005	2006	2007	2008	2009	합계
우리	3,629	4,221	3,777	6,256	6,508	24,391
SC제일	2,410	2,325	2,318	2,379	2,400	11,832
하나	3,468	3,439	4,795	17,287	5,114	34,103
외환	1,734	1,148	1,603	2,182	416	7,083
신한	627	5,236	2,106	2,114	1,421	11,504
한국씨티	5,157	19,014	8,885	10,610	150	43,816
국민	6,084	28,564	24,435	14,746	7,370	81,199
합계	23,109	63,947	47,919	55,574	23,379	213,928

(단위 : 백만원)

○ 수백억원을 투자해서 도입하고 연간 40억 이상의 운용비용이 들어가는 OTP를 사용하면 보안 사고가 발생하지 않습니까?

○ OTP 자체는 큰 문제가 없다고 해도 OTP 비밀번호는 반드시 컴퓨터(PC)에 입력되어야만 실제 사용이 가능하기 때문에 인터넷이라는 OPEN된 환경에서 사용되는 컴퓨터(PC)에는 다양한 프로그램들이 수도 없이 설치되고 작동되고 있으니, 어쩔 수 없이 취약점은 존재할 수밖에 없지요?

○ 그래서, 이러한 취약점을 보완하고자 각종 보안 대책을 수립했는데 특히, 키보드보안과 확장E2E(End-to-End) 같은 보안 프로그램을 금융보안연구원이라는 곳에서 표준을 수립해 금융기관에 배포하셨지요?

○ 이러한 보안프로그램이 모두 컴퓨터(PC)에 설치되고 있기 때문에 이것들도 해커의 말에 의하면 해킹이 가능하다고 하는데 동의하십니까?

○ 결국, 이러한 보안프로그램도 안전하지 못하니까 모든 해킹에도 안전한 보안대책으로 금감원 주도로 금융보안연구원과 같이 OTP 도입을 금융권에 지시한적 있으시죠?

3. OTP와 확장 E2E 키보드 보안도 PC 메모리해킹에는 무방비

○ 2009년 8월 11일부터 9월 1일까지 독일 소재의 한 은행이 개인 고객 pc 메모리해킹(고객 pc 메모리변조)에 의하여 한화 약 4억원 정도가 인출되는 사건이 발생했는데 파악하고 계신지요?

○ 여기에 사용된 해킹 기법이 어떤 건지 알고 계십니까?

○ 해당 사건에서는 웹사이트 해킹, 피싱, 스파이웨어, 입력내용 변조, 키보드 해킹 등의 기법이 복합적으로 사용되었음

○ 독일에서의 사건에서 볼 수 있듯이, 앞서 말한 해킹 기법 중 사용자 입력내용 변조를 통하여 이체 계좌, 이체 금액을 조작하는  해킹에 대해서는 국내 금융기관들도 안전하지 않은 것으로 아는데 맞습니까?

○ 잠시 이 메모리 변조과정을 화면 설명을 통해 보시겠습니다. (1‘30“)

○ 다시 한번 묻겠습니다. 그동안 금융기관에 권고하여 수백억원을 들여서 OTP 시스템을 도입하셨고, 결국 그 돈은 금융기관을 이용하는 일반 국민들이 부담한 것이나 다를 바 없을 겁니다. 여전히 OTP만 이용하면 걱정 없이 인터넷뱅킹을 해도 된다는 생각이십니까?

○ 금융감독원이 법적 근거도 없는 정체불명의 금융보안연구원이라는 기관을 이용해서 지금까지 진행해 온 OTP 사업은 결국 불필요했던 것 아닙니까?

○ OTP센터가 있는 금융보안연구원에는 현재 금감원 (고봉식) 수석조사역이 ‘08년 6월부터 현재까지 파견근무를 나가 경영·인증관리 본부장 겸 대외협력팀장을 겸임하고 있는데, 금감원은 파견이유를 “금융보안연구원 설립 초기 금융회사간 이해관계 조정 및 대외기관과의 업무협력 등을 효율적으로 수행하기 위하여” 파견되었다고 답변자료를 보냈는데 맞지요?

○ 하지만, 설립된 지 3년이 다 되어가도록 아직까지 위와 같은 이유로 파견직원을 연구원에 보내 근무시키는 것은 세간에 떠도는 “금감원 직원이 OTP 사용을 확대시키려고 은행에 압력을 넣기 위해 그 자리에 나가 있는 것이다”라는 의혹을 불러일으키기에 충분한 조건이 된다고 생각되는데, 언제까지 금감원 직원을 연구원에 파견근무 시킬 것인지, 정확히 어떠한 업무를 수행하고 있는지 알고 계십니까?

○ 금융보안연구원은 은행사, 보험사, 카드사, 상호저축은행, 선물사 등으로부터 매년 연구원의 운영·관리와 OTP통합인증센터 운영·관리를 명목으로 분담금을 받는데, 설립한 다음해인 ‘07년에는 63억원, ’08년과 ‘09년에는 각각 45억원이나 됩니다.

연구원 운영 및 관리에 따른 경상적 지출 등으로 지출하는 분담금 (일반회계)

(단위 : 백만원)

연도	은행권역	증권권역	보험권역	기타권역*	계
‘06년	359	167	139	106	771
‘07년	1,098	509	426	328	2,361
‘08년	1,201	552	468	361	2,582
‘09년	1,216	555	432	373	2,576

* 상호저축은행, 선물사, 카드사 등

OTP통합인증센터 운영 및 관리 등으로 지출하는 분담금 (특별회계)

(단위 : 백만원)

연도	은행권역	증권 및 기타권역	계
‘07년	2,378	1,585	3,963
‘08년	1,306	672	1,978
‘09년	1,306	672	1,978

※ 금융보안연구원 설립일 : 2006년 10월 4일

○ 금감원에서 OTP만 도입하면 인터넷뱅킹은 안전하다고 하면서 금융기관에 반강제적으로 OTP 시스템을 구축하게 했다는 이야기가 있는데, 실제로는 안전하지 않은 것을 강요한 것은 아닌지요?

○ 앞서 본, 입력내용 변조 해킹을 하면 OTP는 결국 있으나마나 하다는 것인데, 이것에 대한 근본적인 방지대책은 뒷전에 두고 도대체 왜 OTP만을 그렇게 고집하는 겁니까?

○ 처음에 OTP를 도입할 때는 마치 모든 해킹에 안전한 것처럼 하고, 이제는 OTP의 한계를 만회하기 위해 해킹에 취약한 컴퓨터(PC)에다 또다시 이것저것 보안프로그램을 설치하는 악순환의 고리를 끊지 못하는 이유가 무엇입니까?

○ 근본적으로 현재 인터넷뱅킹이 일방향 승인으로 거래가 체결되기 때문에 결과적으로는 최초 사용자 컴퓨터(PC)의 안전이 보장되지 않는다면, OTP든 뭐든지 간에 완전한 보안은 불가능하다고 생각되지 않습니까?

4. 안전한 인터넷뱅킹의 지름길은 양방향 전자금융시스템 구축

○ 최초 사용자컴퓨터(PC)의 특성상 보안프로그램을 아무리 설치해도 취약점은 계속 나올수 밖에 없다고 봅니다. 따라서, 많은 보안프로그램을 설치하고 다시 보완하는 식의 소모적인 방식보다, 보안프로그램의 설치를 아주 최소화 하고도 보안이 가능하고, 국민들도 보안프로그램 설치 및 장애로부터 자유로워지고 금융기관도 관리나 운영 등에 필요한 각종 비용도 대폭 축소될 수 있는 획기적인 방식이 필요하다고 생각하는데, 어떻게 생각하십니까?

○ 인터넷뱅킹의 이체실행 직전에 PC 이외에 다른 매체(전화 등)를 이용하여 최종확인을 받는 양방향 전자금융시스템을 구축하는 것이, 나날이 발전해가는 해킹 기법에 능동적으로 대처하고 인터넷뱅킹 피해를 최대한 막을 수 있는 대안이라고 생각하는데 이에 대한 견해와 향후 어떠한 조치를 취할 것인지 답변해 주십시오.

[참고자료]

<건별 사고금액(2005.1월～2009.8월)>

(단위 : 백만원)

발생일자	금융회사명	사 고 내 용	사고 금액
2005.3.24	HSBC	인터넷뱅킹을 통한 불법 자금 이체	17
2005.5.10	외환은행	인터넷뱅킹을 통한 불법 자금 이체	50
2005.8.10	우리은행	인터넷뱅킹을 통한 불법 자금 이체	2
2005.8.22	하나은행	피싱에 의한 인터넷뱅킹 예금인출	30
2005.9.13	우리은행	인터넷뱅킹을 통한 불법 자금 이체	50
2005년 계	5건		149
2006.12.22	우리은행	인터넷 신용카드결제서비스(PG) 불법결제 사고	9.6
2006.12.24	하나은행	인터넷 신용카드결제서비스(PG) 불법결제 사고	5.4
2006년 계	2건		313
2007.1.19	삼성화재	주민등록증 위조를 이용한 보험해지금 인출	6.5
2007.1.25	농협중앙회	전자상거래상 계좌이체PG를 통한 불법결제	1.2
2007.1.25	수협중앙회	타인의 신용카드를 이용하여 게임사이트에서 불법 결제	3.4
2007.1.30	국민은행	전자상거래상 계좌이체PG를 통한 불법결제	19
2007.1.31	외환은행	계좌이체PG를 이용한 불법 결제	8.8
2007.2.11	농협중앙회	전자상거래상 계좌이체PG를 통한 불법결제	0.1
2007.2.12	국민은행	전자상거래상 계좌이체PG를 통한 불법결제	18
2007.2.17	우리은행	인터넷뱅킹을 통한 불법 자금 이체	0.1
2007.2.2	대구은행	계좌이체PG를 이용한 불법 결제	20
2007.2.6	씨티은행	신용카드 인터넷 결제 사고	50
2007.9	국민은행	인터넷뱅킹을 통한 불법 자금 이체	17
2007.11	국민은행	인터넷뱅킹을 통한 불법 자금 이체	15
2007년 계	12건		785.1
2008.1.24	국민은행	인터넷뱅킹을 이용한 대출사기 사고	12.6
2008.3.5	농협중앙회	인터넷뱅킹을 이용한 대출사기 사고	37.4
2008.6.25	하나은행	인터넷뱅킹을 통한 불법 자금 이체	25
2008.7.19	국민은행	인터넷뱅킹을 통한 불법 자금 이체	25.4
2008.10.15	우리은행	인터넷뱅킹을 통한 불법 자금 이체	29
2008.10.21	우리은행	인터넷뱅킹을 통한 불법 자금 이체	2.5
2008.11.8	현대증권	인터넷뱅킹을 통한 불법 자금 이체	9.4
2008.12.29	씨티은행	인터넷뱅킹을 통한 불법 자금 이체	14.4
2008년 계	8건		155.7
2009.1.5	하나은행	인터넷뱅킹을 통한 불법 자금 이체	21
2009.1.26	하나대투증권	인터넷뱅킹을 통한 불법 자금 이체	3
2009.3.6	우리은행	인터넷뱅킹을 통한 불법 자금 이체	30
2009.4.2	우리은행	인터넷뱅킹을 통한 불법 자금 이체	11.9
2009.4.12	우리은행	인터넷뱅킹을 통한 불법 자금 이체	6.4
2009.4.23	하나은행	인터넷뱅킹을 통한 불법 자금 이체	25
2009.4.27	우리은행	인터넷뱅킹을 통한 불법 자금 이체	20
2009.5.18	외환은행	인터넷뱅킹을 통한 불법 자금 이체	2.3
2009.5.18	국민은행	인터넷뱅킹을 통한 불법 자금 이체	1.6
2009.5.28	SC제일은행	인터넷뱅킹을 통한 불법 자금 이체	3.7
2009.8.10	농협	인터넷뱅킹을 통한 불법 자금 이체	41.3
2009.8.11	하나은행	인터넷뱅킹을 통한 불법 자금 이체	32
2009.8.17	산업은행	인터넷뱅킹을 통한 불법 자금 이체	30
2009.8.23	우리은행	인터넷뱅킹을 통한 불법 자금 이체	1.8
2009년 계	14건		230

※ '09년도 발생 사고는 현재 경찰에서 수사 중으로 수사결과에 따라 전자금융 사고 여부가 최종 결정될 예정임