공식 앱인 줄 알았는데…
가짜 금융 앱을 통한 계정·개인정보 탈취, 실제로 벌어진 이야기
“로그인했는데요… 화면이 조금 다른 것 같아요.”
어느 날, 한 금융·핀테크 앱 운영사 고객센터에 접수된 문의였습니다.
상담사는 처음엔 단순한 UI 업데이트 차이거나, 기기 문제라고 생각했습니다.
하지만 같은 문의가 하루에도 여러 건 반복됐습니다.
- “아이콘은 같은데 글씨가 좀 다릅니다”
- “로그인하고 나니까 바로 로그아웃돼요”
- “이상해서 다시 켜보니 계정이 잠겼습니다”
운영팀은 그제서야 상황의 심각성을 인지했습니다. 그리고 조사 결과, 충격적인 사실이 드러났습니다.
사용자들이 실행한 앱은 ‘공식 앱’이 아니었습니다.
“우리 앱이 아닌데요?” – 가짜 금융 앱의 실체
문제가 된 앱은 앱스토어에서 받은 공식 앱이 아니라, 외부 경로로 설치된 가짜 앱이었습니다.
하지만 사용자 입장에서는 구분이 거의 불가능했습니다.
- 앱 이름 동일
- 아이콘 동일
- 초기 화면과 색상까지 유사
운영사가 직접 분석한 결과, 공격자는 공식 앱을 정교하게 복제하고 있었습니다.
어떻게 이런 일이 가능했을까? – 실제 공격 시나리오
가짜 금융 앱 공격은 생각보다 단순하지만, 매우 치명적입니다.
실제로 사용된 공격 흐름
- 공식 앱 APK 추출
- 정상 앱을 기반으로 코드 확보
- 리패키징
- 내부 코드에 로그인 정보 탈취 로직 삽입
- 아이콘·앱 이름 동일하게 제작
- 사용자가 의심하지 않도록 완벽히 위장
- 커뮤니티·메신저·문자 링크로 유포
- “이벤트 참여 앱”, “빠른 설치 버전” 등으로 속임
- 가짜 로그인 화면
- ID·비밀번호·인증번호 입력 시 외부 서버로 전송
사용자는 전혀 의심하지 못한 채 금융 계정 정보 전체를 직접 입력하게 됩니다.
왜 이 공격은 특히 위험할까?
가짜 앱 공격이 무서운 이유는, 서버를 뚫지 않아도 모든 정보가 사용자 손으로 넘어오기 때문입니다.
실제 발생 가능한 피해
- ✔ 금융 계정 직접 탈취
- ✔ OTP·인증번호까지 수집 가능
- ✔ 동일 정보로 다른 금융 서비스 공격
- ✔ 대출·결제·송금 2차 피해
- ✔ “이 회사 보안 문제 아니냐”는 브랜드 불신
한 번 유출된 계정 정보는 되돌릴 수 없습니다.
그래서 금융 앱에서는 이 공격이 곧 신뢰 붕괴 사고로 이어집니다.
대응 전략 – 단일 방어가 아닌 ‘3중 방어’
운영사는 결론을 내렸습니다.
“가짜 앱은 하나의 보안으로는 막을 수 없다.”
그래서 LIAPP · LIKEY · LISS를 동시에 적용하는 구조를 선택했습니다.
LIAPP – 가짜 앱 자체를 실행 못 하게 하다
가장 먼저 적용한 것은 LIAPP이었습니다.
LIAPP의 역할
- ✔ 리패키징·위변조 앱 탐지
- 코드 변조 흔적 발견 시 앱 종료
- ✔ 비정상 배포 앱 차단
- 공식 빌드가 아닌 앱 접근 불가
- ✔ 외부 앱 오버레이 차단
즉, 가짜 앱은 실행 단계에서 바로 차단됩니다.
사용자가 실수로 설치했더라도 앱은 아예 실행되지 않습니다.
LIKEY – 입력되는 순간을 보호하다
하지만 만약 공격자가 로그인 화면을 띄우는 데까지 성공한다면?
그래서 두 번째로 적용한 것이 LIKEY (모바일 보안 키패드)입니다.
LIKEY의 역할
- ✔ 키 입력 암호화
- ✔ 가짜 키패드 탐지
- ✔ 키로거 기반 탈취 차단
- ✔ 인증·비밀번호 입력 구간 보호
이를 통해 가짜 앱이나 악성 환경에서는 입력 자체가 의미 없어집니다.
LISS – 가짜 화면 덮어씌우기까지 차단
마지막 퍼즐은 LISS였습니다.
LISS가 막는 공격
- ✔ 가짜 로그인 화면 덮어씌우기 차단
- ✔ 화면 캡처·녹화 차단
적용 결과 – “이제 속지 않는다”
3중 보안 적용 이후 결과는 명확했습니다.
- ✔ 가짜 앱 실행 시도 즉시 차단
- ✔ 계정 탈취 사고 0건 유지
- ✔ 금융사·제휴사 보안 심사 통과
- ✔ 사용자 신뢰 회복
운영사는 내부 회의에서 이렇게 정리했습니다.
“이건 해커를 막은 게 아니라 사용자를 지켜낸 것이다.”
이 사건이 남긴 교훈
가짜 금융 앱 사고를 겪으며 운영사가 얻은 교훈은 분명했습니다.
금융 앱 보안의 핵심은 ‘사용자가 무엇을 실행하고, 무엇을 입력하느냐’를 지키는 것
- 서버만 안전해도 부족합니다
- 네트워크 암호화만으로는 막을 수 없습니다
- 앱 실행 환경 + 입력 + 화면
이 세 가지가 동시에 보호돼야 합니다.
금융 앱을 위한 최소한의 보안 체계
이제 금융·핀테크 앱에서 다음은 기본 요건입니다.
- LIAPP → 가짜 앱·위변조 앱 실행 차단
- LIKEY → 인증·입력 정보 보호
- LISS → 화면정보 유출 차단
이 세 가지는 각각의 기능이 아니라, 금융 서비스를 신뢰 위에서 운영하기 위한 하나의 보안 체계입니다.
#금융앱보안 #핀테크보안 #가짜앱주의 #리패키징공격 #모바일보안 #계정탈취사고 #개인정보유출 #전자금융보안 #금융사보안 #모바일앱위변조 #보안사고사례 #금융보안이슈 #앱무결성 #인증보안 #모바일해킹 #핀테크운영 #금융IT #보안솔루션 #LIAPP #LISS #LIKEY
