모바일 앱 위·변조 방지 및 코드 난독화 쟁점

핵심 판단

모바일 앱에 위·변조 탐지, 루팅/탈옥 탐지, 코드 난독화·안티디버깅, 핵심 로직 서버측 처리 등이 적용되어 클라이언트 변조·리버싱을 통한 우회가 방지되는지가 핵심이다.

배경

클라이언트 검증에만 의존하거나 난독화·위변조 탐지가 없어 앱 리패키징·리버싱으로 인증·거래 로직이 우회된다.

주요 쟁점 및 심사 포인트

• 앱 위·변조 및 루팅/탈옥 탐지 적용 여부
• 코드 난독화·안티디버깅·무결성 검증 여부
• 핵심 인증·거래 검증의 서버측 처리 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.8.2 보안 요구사항 검토 및 시험
• 2.10.4 전자거래 및 핀테크 보안
• 2.6.3 응용프로그램 접근

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• (참고) 앱 보안은 ISMS-P 2.8/2.10.4(전자거래·핀테크) 직접 요건
  • 보안 요구사항 검토·시험 및 핀테크 보안 통제.
• 「전자금융감독규정」 제37조(인증방법 사용기준) 등
  • 전자금융 앱 인증·거래 보안 준거.(금융권)

참고 가이드

• 「금융권 ISMS-P 점검항목 안내서」 2.10.4 관련
• 모바일 앱 보안 점검 가이드(KISA)

심사 시 확인사항 (증적)

• 위·변조/루팅 탐지 및 난독화 적용 명세·점검 결과
• 클라이언트 우회 시 서버측 검증 로직 확인
• 앱 진단(모의해킹) 보고서

주요 결함 사례

앱 인증·거래 검증이 클라이언트에만 존재하고 난독화·위변조 탐지가 없어 리패키징으로 검증 우회가 가능함.

보완 대책

1. 위·변조/루팅 탐지·난독화·무결성 검증 적용
2. 핵심 검증 로직 서버측 이관 및 정기 앱 보안 진단

연관 쟁점

• [ISSUE-003] 마이데이터 Open API 권한 검증(BOLA) 및 과다 노출 쟁점
• [ISSUE-038] 임직원 BYOD·모바일 단말 보안(MDM) 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)