🪪 전자금융 보안 모의해킹 · 접근매체 발급 실명확인
Target: 접근매체(보안카드/OTP/인증서) 발급
평가기준: 위험도 5 WEB-FIN 실명확인
평가기준: 위험도 5 WEB-FIN 실명확인
💡 쉽게 말하면
은행 카드를 새로 만들 때 신분증으로 진짜 본인인지 반드시 확인해야 합니다. 이 절차를 건너뛰면 남의 이름으로 카드를 만들어 도용할 수 있습니다.
은행 카드를 새로 만들 때 신분증으로 진짜 본인인지 반드시 확인해야 합니다. 이 절차를 건너뛰면 남의 이름으로 카드를 만들어 도용할 수 있습니다.
🔓 공격 시뮬레이션 (Red Team)
🛡️ 대응 방안 (Blue Team)
접근매체 발급 신청🔒 Secured Channel
보안카드·OTP·공동인증서 등 접근매체 발급 시 실명확인(본인확인기관 대조)이 미흡하면, 공격자가 타인 명의 정보만으로 접근매체를 비인가 발급받아 전자금융거래를 도용할 수 있습니다.
⚡ 타인 명의 접근매체 비인가 발급
실명확인 없이 name/RRN만으로 OTP 발급
실명확인 없이 name/RRN만으로 OTP 발급
OFF
🖥️ 금융 시스템 처리 로그
[SYSTEM] Core Banking Channel ready.
[INFO] 거래 요청 대기 중...
⚖️ 컴플라이언스 위반 분석
공격 실행 후 분석 결과가 표시됩니다.
[심각] 전자금융 보안 기준 위반 감지
- 평가기준 WEB-FIN [전자금융] 접근매체 발급 시 실명확인(위험도 5)
- 전자금융거래법 제6조: 접근매체 발급 시 본인 확인 의무 위반
- 전자금융감독규정 제34조: 접근매체 관리대책 미흡
🛡️ 대응 코드/설정 실습
서버는 접근매체 발급 전 본인확인기관을 통한 실명확인(CI/DI 대조)을 수행하고, 신청 명의자와 실명확인 결과의 일치를 검증해야 합니다. 아래 코드를 보완하세요.
📚 금융보안원 평가기준 / 조치 가이드
1. 점검 항목
접근매체 관리 > 발급 시 실명확인2. 위험 분석
- 실명확인 미흡 시 타인 명의 접근매체 비인가 발급
- 발급된 접근매체로 명의도용·부정거래 확대
3. 조치 방법
- 발급 시 본인확인기관(CI/DI) 통한 실명확인 수행
- 신청 명의자와 실명확인 결과 일치 검증
- 발급 이력·다중 발급 이상징후 모니터링
🏗️ 현대 금융 IT 환경에서의 변형
비대면 실명확인eKYC딥페이크
어디가 달라졌나
접근매체 발급이 비대면(eKYC) 으로 옮겨 가면서 실명확인의 무게중심이 바뀌었습니다. 신분증 사본 제출 → 신분증 진위확인 API + 얼굴 대조 + 계좌 인증 의 다중 확인 구조입니다. 그리고 생성형 AI 로 만든 위조 신분증·딥페이크 영상이 새로운 위협으로 올라왔습니다.
현대 스택에서의 조치
- 신분증은 OCR 로 읽는 데 그치지 말고 발급기관 진위확인(정부24·금융결제원 등)을 거칩니다. 사본 위조는 OCR 을 통과합니다.
- 얼굴 대조에는 라이브니스 검사(수동/능동) 를 넣습니다. 사진·영상 재생·딥페이크를 거르는 핵심 단계입니다.
- 확인 결과와 근거는 보존 의무 기간 동안 증적으로 남깁니다 — 분쟁 시 실명확인 이행을 증명해야 합니다.
놓치기 쉬운 곳 — 수집한 신분증 이미지와 얼굴 정보는 민감정보·고유식별정보입니다.
개인정보 보호법상 별도 동의와 암호화 저장이 필요하고, 목적 달성 후 파기해야 합니다.
eKYC 를 도입하며 개인정보 처리방침을 갱신하지 않는 실수가 흔합니다.