크라임웨어(Crimeware)는 사이버 범죄를 자동화하기 위해 특별히 설계된 악성 소프트웨어의 한 종류이다. 일반적인 스파이웨어나 애드웨어와 달리, 사이버 절도범을 대신하여 피해자의 금융 계좌 및 소매 계정에 접근해 자금을 인출하거나 무단 거래를 완료하거나, 신원 도용을 저지르거나, 기밀 정보를 탈취할 목적으로 제작된다.
해당 용어는 2005년 2월 데이비드 제반스(David Jevans)가 FDIC(미국 연방예금보험공사)에 기고한 "계정 탈취 신원 도용 종식"에 대한 안티 피싱 워킹 그룹의 답변에서 처음 만들어졌다.
크라임웨어가 정보를 탈취하는 주요 기술로는 키로거(Keylogger)를 통한 민감 데이터 수집, 사용자의 웹 브라우저를 위조 사이트로 리디렉션하는 파밍(Pharming), 시스템에 캐시된 비밀번호 탈취, 사용자의 금융 기관 세션 하이재킹, 원격 접근을 통한 네트워크 침입, 랜섬웨어를 통한 데이터 암호화 및 금전 요구 등이 있다.
크라임웨어의 전달 방식은 웹 애플리케이션의 보안 취약점 악용, 사회공학 기법을 활용한 표적 이메일(첨부 파일 실행 유도), 서버 및 클라이언트의 원격 취약점 공격 등 여러 경로를 통해 이루어진다.
사이버 범죄 환경은 개인이 자체 도구를 개발하는 방식에서 온라인 장터를 통해 크라임웨어와 관련 도구 및 서비스를 거래하는 시장 경제 체제로 진화하였다. 이러한 흐름 속에서 서비스형 크라임웨어(CaaS, Crimeware-as-a-Service) 모델이 등장하여, 숙련된 해커가 기술이 부족한 사이버 범죄자에게 금전을 대가로 범죄 도구나 서비스를 제공하는 형태로 발전하였다.
크라임웨어로 인한 피해는 민감 정보의 유출과 이에 따른 재정적 손실, 그리고 정부 및 산업 규제 요구사항(미국의 사베인스-옥슬리법, HIPAA 등) 위반으로 이어질 수 있어 네트워크 보안 분야에서 지속적으로 증가하는 위협으로 간주된다.
