← 메인으로

🖼️ 전자금융 보안 모의해킹 · 화면 내 중요정보 평문노출·캡처 방지

Target: 거래내역·계좌 표시 화면
평가기준: 위험도 4 MOB-SER 화면 노출 방지
💡 쉽게 말하면
비밀번호를 화면에 띄워두면 옆 사람이 어깨너머로 사진을 찍는 것과 같습니다. 가림막(마스킹)을 치고 사진 촬영 자체를 막아야 합니다.
🔓 공격 시뮬레이션 (Red Team)
🛡️ 대응 방안 (Blue Team)
화면 캡처·미리보기 추출🔒 Secured Channel
계좌번호·주민번호가 평문으로 화면에 표시되고 스크린샷·화면녹화·최근앱 미리보기가 허용되면, 캡처 이미지로 중요정보가 그대로 유출됩니다.
⚡ 스크린샷·최근앱 미리보기 탈취
스크린샷/화면녹화 및 최근앱 썸네일 캡처
OFF
🖥️ 금융 시스템 처리 로그
[SYSTEM] Core Banking Channel ready.
[INFO] 거래 요청 대기 중...
⚖️ 컴플라이언스 위반 분석
공격 실행 후 분석 결과가 표시됩니다.
[심각] 전자금융 보안 기준 위반 감지
  • 평가기준 [전자금융] 화면 내 중요정보 노출(위험도 4) 위반
  • 전자금융감독규정 제37조의2 단말기 정보보호 미흡
  • 개인정보보호법 제24조의2 주민등록번호 처리 제한 위반
🛡️ 대응 코드/설정 실습

중요정보는 마스킹 표시하고, 민감 화면에는 FLAG_SECURE를 설정해 스크린샷·화면녹화·최근앱 미리보기 캡처를 차단해야 합니다. 아래 코드를 보완하세요.

📚 금융보안원 평가기준 / 조치 가이드

1. 점검 항목

모바일 단말 보호 > 화면 내 중요정보 노출·캡처 방지

2. 위험 분석

  • 스크린샷·화면녹화로 평문 캡처
  • 최근앱 미리보기 썸네일 노출

3. 조치 방법

  • 민감 화면에 FLAG_SECURE 설정
  • 계좌·주민번호 등 마스킹 표시
🏗️ 현대 금융 IT 환경에서의 변형
FLAG_SECUREiOS 한계화면 공유

어디가 달라졌나

위협이 스크린샷에서 실시간 화면 공유로 옮겨 갔습니다. 보이스피싱에서 원격제어 앱으로 피해자 화면을 보며 이체를 유도하는 수법이 일반화되어, 정적인 캡처 차단만으로는 부족합니다.

현대 스택에서의 조치

  • Android 는 FLAG_SECURE 로 캡처·미러링·최근 앱 미리보기를 한 번에 막습니다.
  • iOS 에는 동등한 API 가 없습니다. UIScreen.isCaptured 로 녹화·미러링 중임을 감지해 민감 화면을 가리는 우회 구현이 필요합니다.
  • 원격제어 앱 동작 탐지(접근성 서비스 오용·화면 공유 세션)를 서버 위험 신호로 보냅니다.
// iOS — 캡처 상태를 관찰해 민감 화면을 가린다
NotificationCenter.default.addObserver(forName: UIScreen.capturedDidChangeNotification,
                                       object: nil, queue: .main) { _ in
    blurOverlay.isHidden = !UIScreen.main.isCaptured
}
놓치기 쉬운 곳 — FLAG_SECURE 를 걸면 정상적인 화면 공유 고객지원도 막힙니다. 콜센터가 화면을 함께 보며 안내하는 서비스가 있다면 화면별로 정책을 나눠야 합니다.