스파이웨어: 정보 수집형 악성 프로그램

핵심 정리

스파이웨어는 개념상 악성 프로그램의 한 종류다. 스파이웨어는 사용자 동의 없이 정보를 수집하여 외부로 전송하는 악성 프로그램이다. 이 요건이 다른 악성코드와 가르는 기준이 된다.

스파이웨어는 바이러스처럼 스스로 퍼지지 않는다. 보안 취약점을 악용하여 설치되거나, 관련 없는 사용자 설치 소프트웨어 안에 숨겨져 함께 배포된다. 컴퓨터에 몰래 설치되어 사용자 정보를 빼내는 것이 특징이다.

스파이웨어가 노리는 정보는 신용카드 같은 금융 정보, 주민등록번호 같은 신상정보, 아이디와 암호 등이다. 금융·신상 정보 수집 사용자 동의 없이 금융·신상 정보를 수집·전송하는 악성 프로그램은 스파이웨어이다. 정보 종류와 동의 여부를 함께 보면 판별이 쉽다.

키로깅은 사용자가 키보드로 입력한 내용을 몰래 가로채어 기록하는 행위이다. 키로깅은 프로그램의 종류가 아니라 행위의 이름이라는 점을 기억한다.

스파이웨어라는 말은 처음에 인터넷 광고 회사가 쓰던 프로그램에서 출발하였다. 이후 아이디와 암호를 알아내도록 나쁜 용도로 변형되었고, 국어에서는 정보 빼내기 프로그램으로 순화하기도 한다.

자세히

정의의 요건과 동의 여부

스파이웨어인지 가르는 첫 요건은 사용자 동의가 없었는지다. 동의 아래 설치되어 정보를 보내는 프로그램은 이 정의에서 벗어난다. 정의는 수집과 외부 전송을 함께 요구하므로, 정보를 모으기만 하고 밖으로 보내지 않는 프로그램은 정의의 핵심을 채우지 못한다. 바이러스와 비교하면 차이가 분명하다.

표에서 보듯 확산 여부만으로도 두 악성코드를 구분할 수 있다.

수집 대상과 전송

수집 대상은 금융 정보, 신상 정보, 암호 등으로 넓다. 금융 정보만 수집하는지 신상 정보까지 수집하는지는 선지 문장에 적힌 대상으로 가른다. 전송이 빠진 서술은 정의와 맞지 않는다고 본다. 수집 대상의 목록을 외우기보다 동의 없음과 외부 전송이라는 두 요건을 기준으로 삼는 것이 정확하다.