• 정보보호학회논문지
• /
• 제25권4호
• /
• pp.941-950
• /
• 2015

인터넷의 발달과 함께 인터넷 뱅킹은 널리 사용되고 있다. 이와 함께 금전적 이득을 목적으로 인터넷 뱅킹을 타겟으로 하는 피싱 공격이 기승을 부리고 있으며, 이에 대응하기 위해 은행에서는 보안 모듈을 사용자 컴퓨터에 설치하고 인터넷 뱅킹을 이용하도록 요구한다. 하지만 메모리 해킹 공격 등 고도화된 피싱 공격은 보안 모듈을 우회한다. 본 논문에서는 국내 은행에서 제공하는 인터넷뱅킹 보안 모듈 현황을 알아보고, 그 중에서도 이체 정보의 암호화를 담당하는 키보드 보안 모듈을 분석한다. 그리고 자바스크립트를 이용하여 이체정보를 변조하는 기법을 제안한다. 키보드 보안 모듈은 공격자가 심어놓은 악의적 프로그램으로부터 사용자가 입력한 이체 정보의 노출 및 변조를 방지하는 기능을 담당한다. 하지만 우리가 제안한 자바스크립트 변조 공격은 키보드 암호화 모듈을 우회하고 이체 정보를 변조하는 것이 가능하다. 또한 이체정보확인 페이지를 변조하여 사용자가 정상적인 거래를 한 것처럼 속일 수 있다.