[뉴웨이브]가상자산 거래, 개인 보안의식 강화 선행돼야

이른바 가상자산 투자 ‘광풍’이 지속되면서 이와 관련된 사이버 범죄 또한 빠르게 증가하고 있다. 최근에는 한 가상자산 거래소 이용자들이 개인 휴대전화가 해킹을 당해 본인도 모르는 사이 거래소에 보관된 가상자산이 수 분내 출금 당하는 범죄 피해를 겪어 경찰이 수사에 나선 바 있다. 또한 가상자산 거래소를 사칭한 피싱, 스미싱 사례가 연일 보도되는 등 관련 범죄가 사회적 문제로 대두되고 있다.

과학기술정보통신부와 경찰청에 따르면 최근 3개월 간 거래소로 위장한 가짜 웹사이트가 32개 발견됐으며, 2020년 한해 동안 검거된 가상자산 관련 범죄 건수도 전년 대비 3.3배 증가한 것으로 나타났다. 이에 과기정통부와 경찰청은 가상자산 관련 해킹, 피싱 사이트 탐지 및 차단 조치 등 24시간 모니터링 체계를 강화하겠다고 밝히며 대책 마련에 나섰다.

안전한 가상자산 거래를 위해 가장 중요한 것은 무엇일까? 거래소의 투자자 보호 대책 마련과 보안 강화도 중요하지만 무엇보다 투자자 개인의 철저한 보안 의식이 선행돼야 한다. 특히 최근 늘어나고 있는 피싱이나 스미싱 등의 수법을 통해 개인정보 혹은 가상자산이 탈취된 경우, 거래소 차원에서 적극적으로 대응하기 어려운 것이 현실이다. 그리고 이 점을 노려 투자자를 겨낭한 범죄 수법은 점점 더 진화하고 교묘해지고 있다. 또한 아직 정부에서 가상자산을 금융자산으로 인정하지 않고 있으며 범죄 피해를 당해도 가상자산 특성상 피의자 특정이 힘들기 때문에 평소 개인 차원에서의 보안 수칙 준수와 각별한 주의가 요구된다.

가상자산과 관련해 가장 대표적인 사이버 범죄 피해 양상은 거래소를 사칭하는 가짜 사이트로 접속을 유도해 아이디, 패스워드, OTP 등의 정보를 탈취하는 것이다. 공격자는 탈취한 개인정보를 바탕으로 실제 거래소에 접속한 뒤 투자자 몰래 가상자산을 출금한다. 따라서 개인 이용자는 이러한 범죄에 대비하기 위해 가상자산 거래소를 사칭한 메일, SMS 등에 유의해야 한다. 거래소 명의로 발송된 메일, SMS에 포함된 의심스러운 URL은 접속하지 말아야 하며, 거래소 사이트에 로그인을 하기 전 반드시 주소창의 URL이 실제 사이트 주소가 맞는지 체크하는 습관을 가져야한다.

또다른 피해 양상으로는 악성코드가 포함된 확장 프로그램을 배포해 가상자산을 탈취하는 경우다. 이용자가 PC나 모바일에서 무심코 설치한 확장 프로그램 내에 숨겨진 악성코드는 이용자가 가상자산을 출금할 때 출금 주소를 공격자의 주소로 몰래 변경해 이용자가 아닌 공격자의 주소로 출금이 요청되도록 한다. 이 외에도 온라인 기반의 가상자산 개인 지갑 사이트에서 비밀번호 역할을 하는 개인키를 탈취하는 악성코드도 존재한다. 개인키가 탈취되면 공격자는 가상자산을 모두 공격자의 지갑으로 전송할 수 있다. 따라서 개인 이용자는 항상 출처가 분명한 확장 프로그램을 사용해야 하며, 조금이라도 의심스러운 확장 프로그램의 경우 바로 삭제하는 등의 주의를 기울여야 한다.

현재 국내 가상자산 거래소 이용자는 약 400만명에 이른다고 한다. 이들 개개인의 보안 의식 강화와 더불어 거래소 역시 보다 구체적이고 실질적인 보안 대책을 마련해야 한다. 특금법 등 법으로 규정된 보안 수준 준수 외에 보안 시스템 및 전문 인력에 대한 선제적인 투자를 진행하고, 외부 보안 전문가를 통한 정기적이고 객관적인 보안 취약점 분석 및 모의해킹 등을 병행해야 한다.

이처럼 투자자 개인과 가상자산 거래소의 종합적인 노력과 컨트롤타워로서의 정부의 역할이 뒷받침될 때 보다 안전한 가상자산 거래 환경이 마련될 것이다.

최정수 라온화이트햇 핵심연구팀장