“보안 위해 깔았는데 해킹 경로”···KAIST, 금융 보안SW 구조적 취약 경고

김용대 교수, 윤인수 교수, 김형식 교수, 김승주 교수, 윤태식 연구원, 이용화 연구원, 정수환 연구원. [사진=KAIST]

[이뉴스투데이 김진영 기자] 한국에서만 의무 설치되는 금융 보안 소프트웨어가 오히려 사이버 공격에 취약할 수 있다는 연구 결과가 나왔다.

김용대·윤인수 KAIST 교수 연구팀은 김승주 고려대 교수, 김형식 성균관대 교수, 보안기업 티오리와 공동으로 국내 금융기관에서 사용하는 보안 프로그램 7종을 분석해 총 19건의 심각한 취약점을 확인했다고 2일 밝혔다.

연구진은 키보드 입력 탈취, 인증서 유출, 원격 코드 실행 등 주요 위협 요소를 발견하고 해당 소프트웨어들이 웹 브라우저 보안 체계를 우회해 민감 정보에 접근하도록 설계된 점에 주목했다. 샌드박스, 동일 출처 정책(SOP), 권한 격리 등 웹 보안 원칙과 정면으로 충돌한다는 설명이다.

김용대 KAIST 교수는 “문제는 단순한 버그가 아닌, 웹은 위험하다는 전제를 깔고 보안을 구현한 기존 구조 자체”라며 “이 같은 비표준 보안 소프트웨어 강제 설치 방식은 국가 보안 위협의 통로가 될 수 있다”고 지적했다.

연구팀이 전국 400명을 대상으로 설문한 결과 97.4%가 금융 보안 프로그램을 설치한 경험이 있다 답했다. 이 중 59.3%는 해당 프로그램의 기능조차 인지하지 못했다. 실제 사용자 PC 48대를 분석한 결과 1인당 평균 9개 프로그램이 설치돼 있었고, 일부는 2019년 이전 구버전이었다.

한편, 이번 연구는 세계 최고 권위의 보안 학회 중 하나인 ‘유즈닉스 시큐리티 2025’에 채택됐다.