[보안뉴스]9월 19일부터 스미싱 사전 차단 의무화...정부, ‘엑스레이’ 무기로 스미싱과 전쟁

내용 요약

국가정보자원단(KISA)에서 제공하는 무료 스미싱(문자 메신저를 이용한 사기) 방지 서비스 ‘엑스레이(X‑ray)’가 내달 19일부터 국내 문자 사업자에게 의무적으로 적용된다. 이는 국정실이 추진하는 ‘보이스피싱 근절 종합 대책’의 일환으로, 작은 규모의 사업자라도 쉽게 도입할 수 있도록 지원한다. 엑스레이는 악성 문자와 링크를 사전 차단해 사용자에게 전달되지 않도록 하며, 이는 스미싱과 보이스피싱을 포함한 다양한 사기 수법을 근절하기 위한 핵심 기술이다.

핵심 포인트

• 의무화: 내달 19일부터 국내 문자 사업자 전원이 엑스레이를 적용해야 한다.
• 무료 제공: KISA가 제공하는 서비스로 비용 부담이 없다.
• 스미싱·보이스피싱 차단: 악성 문자와 링크를 사전 차단해 사기 피해를 줄인다.
• 영세 사업자 지원: 간단한 API와 웹 대시보드를 통해 소규모 기업도 손쉽게 도입 가능.
• 통합 방어 체계: 문자, 전화, 이메일 등 다양한 채널의 사기 방지 전략과 연계된다.

기술 세부 내용

1️⃣ 스미싱(문자 기반 사기) 개요

스미싱은 SMS나 모바일 메신저(WhatsApp, KakaoTalk 등)를 통해 사용자에게 가짜 은행/공공기관 안내 메시지를 전송하고, 개인정보를 유출하거나 악성 링크를 유도해 바이러스를 설치하도록 유도하는 범죄이다.
- 주요 수법:
- 긴급성 부여: “계좌 정산 필요”와 같은 긴급 문구 사용
- 링크 삽입: 해킹 사이트나 피싱 페이지로 연결되는 짧은 URL
- 인증 요청: OTP(일회용 비밀번호) 입력 요청
- 피해 규모: 한국 내 스미싱 피해는 연간 1,000억 원 이상으로 추정된다.

2️⃣ 엑스레이(X‑ray) 서비스 구조

엑스레이는 “문자 메시지 → 차단 엔진 → 사용자에게 전달”의 3단계 흐름으로 구성된다.

2.1 메시지 수집 및 전처리

• SMS Gateway 연동: 국내 문자 사업자와 API 연결을 통해 수신되는 모든 SMS를 실시간으로 수집.
• 메시지 파싱: 제목, 본문, 발신번호, 수신번호, 발신 시각 등 메타데이터 추출.

2.2 차단 엔진

• 시그니처 기반 필터링: 과거 보고된 악성 키워드, URL 패턴, 스미싱 시그니처를 사전 등록.
• 머신러닝 모델:
  • 텍스트 분류: BERT, RoBERTa 같은 사전 학습 모델을 fine‑tune해 스미싱 여부 판단
  • URL 스코어링: URL의 도메인 평판, 메타데이터(길이, HTTPS 여부)를 분석해 위험도 평가
• 실시간 위험 점수 계산: 시그니처와 ML 결과를 종합해 0–100 점 사이의 위험 점수 부여.
• 정책 엔진: 위험 점수가 임계값(예: 70점)을 초과하면 차단, 경고, 혹은 휴지통으로 이동.

2.3 결과 전달 및 보고

• 차단 메시지: 차단된 경우, 사용자가 사기를 의심할 수 있도록 “해당 메시지는 스미싱으로 판단되어 차단되었습니다” 라는 안내 메시지를 발송.
• 통계 대시보드: 사업자는 웹 인터페이스에서 차단된 메시지 수, 주요 키워드, 트렌드 차트를 확인.
• 데이터 익명화: 개인정보를 보호하기 위해 통계에 사용되는 데이터는 익명화 처리.

3️⃣ API 및 SDK 제공

• RESTful API:
  • POST /filter – 메시지를 전달하면 차단 여부와 위험 점수를 반환
  • GET /stats – 일정 기간 내 차단 통계 요청
• SDK: Java, Python, Node.js 등 다양한 언어용 SDK 제공으로 연동 비용 최소화.
• Webhook: 차단 이벤트를 실시간으로 푸시 받을 수 있는 기능.

4️⃣ 소규모 사업자 도입 가이드

1. 회원가입: KISA 웹 포털에서 계정 생성 후 API 키 발급.
2. 문자 서비스 연동: SMS Gateway 제공 업체(예: Kakao, SKT)와 연결 설정.
3. 필터 설정: 차단 기준, 허용 목록(특정 발신번호 허용) 등을 정의.
4. 테스트: 가상 스미싱 메시지를 보내 필터 동작 여부 확인.
5. 운영: 실시간 모니터링과 정기적 리포트 확인.

5️⃣ 보안 정책 및 법적 준수

• 개인정보보호법: 사용자 메시지의 내용은 익명화해 분석에 사용; 수집된 데이터는 최소화.
• 통신비밀보호법: 차단 과정은 메시지의 내용이 아니라 메타데이터를 기반으로 수행.
• 국가보안법: 보이스피싱 근절 종합 대책에 따라 필수 방어 수단으로 지정.

6️⃣ 차별화된 기술 요소

• 다중 채널 연계: SMS뿐만 아니라 메신저(WhatsApp, LINE)와 연동해 하나의 플랫폼에서 관리.
• 자동 업데이트: 악성 시그니처와 ML 모델이 실시간으로 업데이트되어 최신 사기 수법 대응.
• 협업 플랫폼: KISA와 각 사업자 간의 피드백 루프를 통해 차단 정책을 지속적으로 개선.

7️⃣ 잠재적 위험과 대응 방안

• 거짓 차단(False Positive): 정밀한 ML 튜닝과 사용자 피드백 루프 구축으로 감소.
• 프라이버시 우려: 데이터 익명화와 암호화 저장, GDPR 유사 정책 적용.
• 서비스 장애: 분산형 아키텍처와 CDN을 활용해 가용성 확보.

8️⃣ 미래 전망

• AI 기반 진화: 강화 학습으로 스미싱 패턴을 자동으로 탐지하고 대응 전략을 개선.
• 보이스피싱·스미싱 융합: 음성 인식과 텍스트 분석을 결합해 통합 사기 방어 체계 구축.
• 국제 협업: 글로벌 스미싱 트렌드와 위협 정보를 공유해 차단 효율성 극대화.

9️⃣ 사용자 교육 및 인식 제고

• 캠페인: 엑스레이 도입 기업이 사용자에게 스미싱 인식 교육 제공.
• 알림: 차단 메시지와 함께 스미싱 예방법 팁 제공.
• 피드백: 사용자가 의심 메시지를 신고하면 KISA가 즉시 분석.

10️⃣ 총괄 평가

엑스레이는 의무화와 무료 제공이라는 정책적 장점을 통해 스미싱 방지에 혁신을 가져올 것으로 예상된다. 소규모 사업자까지 참여할 수 있도록 설계된 API와 쉬운 도입 가이드는 실제 피해 감소에 큰 기여를 할 것이다. 향후 AI 기반 진화와 멀티채널 통합으로 보이스피싱과 스미싱을 한 번에 차단하는 종합 보안 플랫폼으로 자리매김할 가능성이 높다.

 

출처: http://www.boannews.com/media/view.asp?idx=138991&kind=&sub_kind=