내가 '그놈'에게 먼저 전화했다, 그리고 당했다…교묘해진 피싱

작성일 08-31

<div id="layerTranslateNotice" style="display:none;"></div>  <strong class="summary_view" data-translation="true">문자속 URL이 피싱 통로? 이제는 전화·검색 등 보안 우회 수법으로 진화<br>대포폰·악성앱 유포는 기본…대량 문자 발송 서비스 이용하는 공격자들<br>KISA "'악성문자 엑스레이' 서비스로 수신자 보호가능"</strong> 
        <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
         <section dmcf-sid="xc3c2bEQ5n">
          <figure class="figure_frm origin_fig" contents-hash="58d8fbcf703395bc896640fbddc724a8cc799ccbf71ff23656e1c103041c67bb" dmcf-pid="yuauOrzTGi" dmcf-ptype="figure">
           <p class="link_figure"><img alt="[서울=뉴시스]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202508/31/newsis/20250831120123813ijmm.jpg" data-org-width="700" dmcf-mid="QgauOrzTtL" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202508/31/newsis/20250831120123813ijmm.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            [서울=뉴시스]
           </figcaption>
          </figure>
          <p contents-hash="861c0764f9814b615fc7516dc81c16d2d9e406ad96d6b99d170a2625e56bb218" dmcf-pid="W7N7ImqyGJ" dmcf-ptype="general"><br> [서울=뉴시스]송혜리 기자 = <strong>"선생님 최근 6개월 전에 개인정보 유출있으셔서, 피해 보신적 있으시죠? 피해금 돌려드리려고 하는데 제가 불러드리는 사이트에서 신청해보시겠어요?"</strong></p>
          <p contents-hash="cbda118c99d1ce8499beec1c66f16d72a8532cf5043ab6ceb0f0ad4427cf05ff" dmcf-pid="YzjzCsBWtd" dmcf-ptype="general">이런 전화를 받으면 누구나 순간적으로 당황할 수 밖에 없다. 특히 요즘처럼 개인정보 유출 사고가 잦은 시기에는 그 불안감이 더욱 커진다. "혹시 나도 피해자인가?"라는 의심이 잠깐 스쳐 지나가지만, 곧 피해 사실을 확인하고 보상을 받기 위해 경계심을 내려놓게 된다. 바로 이런 심리를 피싱 공격자들은 교묘히 파고들어 악용한다.</p>
          <p contents-hash="3dc71c63705513d0a17e6e28c1c3ca22d52fd3aa61a71444dbe2a90dff6b7245" dmcf-pid="GqAqhObYHe" dmcf-ptype="general">김은성 한국인터넷진흥원(KISA) 스미싱대응팀장은 "최근 스미싱 수법은 단순히 문자 메시지에 악성 링크(URL)를 포함해 클릭을 유도하던 과거 방식에서 한 단계 더 교묘하게 진화하고 있다"며 "이제는 피해자가 공격자에게 직접 전화를 걸도록 하거나, 검색을 통해 피싱 사이트에 접속하도록 유도하는 방식으로 변형되고 있다"고 설명했다.</p>
          <h3 contents-hash="f3d31122d1d6ad9da1801a6aa83a92bf4d812afecd2779335e76ad0aaa210def" dmcf-pid="HBcBlIKG1R" dmcf-ptype="h3"><strong>피해자가 직접 전화하거나 검색하도록 유도</strong></h3>
          <div contents-hash="48fa0a002d73eeefe2088afc8fd5e171bc54d7c4b6b27993454edd54dbff460d" dmcf-pid="XbkbSC9H1M" dmcf-ptype="general">
           <strong> 진흥원에 따르면, 스미싱 탐지 기술의 발전과 정부 대응 강화로 인해 최근 공격자들은 이를 피해갈 새로운 수법을 동원하기 시작했다.<br><br> 대표적으로 경찰이나 정부기관을 사칭한 문자를 보내 피해자가 직접 전화를 걸도록 유도하는 이른바 '전화 유도형'이 있다.<br><br> 공격자는 전화를 걸어 온 피해자에게 "원격 보안 점검을 지원하겠다"거나 "보안을 위해 확인이 필요하다"는 식으로 신뢰를 심어준다. 이후 통화 과정에서 공격자는 직접 URL을 불러주며 접속을 지시하고, 사이트를 통해 앱을 설치하라고 요구한다.<br><br> 피해자가 안내에 따라 앱을 설치하면 처음에는 개인정보를 탈취하는 1차 악성 앱이 깔리고, 이어 통화 가로채기나 보안정책 우회를 위한 2차·3차 악성 앱까지 순차적으로 설치된다.<br><br> 김 팀장은 "이 과정에서 피해자는 공격자의 지시에 점점 의존하게 되고, 자신이 악성 앱을 설치하고 있다는 사실조차 인지하지 못한다"면서 "결국 계좌 정보나 인증 정보 등 민감한 개인정보가 탈취되면서도 사기를 당했다는 사실을 늦게 깨닫게 된다"고 설명했다.<br><br> 문자 메시지 대신 포털 검색을 악용하는 '검색 노출 유도형' 피싱도 등장했다.<br><br> 공격자들은 금융위원회, 행정안전부 등 정부기관이나 제로페이 등 공공성격의 서비스를 사칭한 피싱 사이트를 제작한 뒤, 이를 구글 검색 결과 상단에 노출시켜 놓는다.<br><br> 이후 피해자에게 "개인정보가 유출됐다", "보상금이나 소비쿠폰을 신청할 수 있다"는 식의 전화나 메시지를 보내 관련 내용을 검색하도록 유도한다. 이때 상단에 표시된 사이트는 실제 기관 사이트가 아니라 공격자가 만든 가짜 페이지다. 하지만 사용자는 "내가 직접 검색해서 들어온 결과니까 안전하다"는 심리로 쉽게 속아 접속한다.<br><br> 해당 사이트에 접속한 피해자는 상담을 신청하거나 개인정보를 입력하라는 안내를 받는다. 주민등록번호, 계좌번호, 카드번호 같은 민감한 정보를 요구받는 경우도 있다. 사용자가 정보를 입력하면 즉시 금전 피해가 발생하지 않을 수도 있지만, 공격자는 이를 2차 보이스피싱이나 추가 범죄에 활용해 더 큰 피해를 일으킨다.<br><br> 김 팀장은 "이러한 신종 피싱 대응을 위해 KISA는 신규 생성 도메인 정보를 지속적으로 수집하고 있으며, 특히 생성 후 일주일 이내나 한 달 이내의 도메인을 집중적으로 의심하고 있다"고 설명했다.<br><br> 이어 "공격자들은 일정한 패턴을 가지고 있기 때문에, 저희는 그 패턴을 기반으로 사전에 악성 가능성을 분석하고 모니터링을 강화하고 있다"면서 "그리고 해당 사이트가 실제로 활성화되는 순간, 악성 여부를 최종 판정하고 접속 경로를 즉시 차단하는 절차를 운영하고 있다"고 말했다.<br><strong><br> </strong></strong>
          </div>
          <h3 contents-hash="32991209559d6b7033dc607401085d3aa6a01546f937cf834ebb6b83f5f283d9" dmcf-pid="ZKEKvh2X5x" dmcf-ptype="h3"><strong><strong>대량문자 발송 서비스로 뿌려지는 스미싱…엑스레이로 차단</strong></strong></h3>
          <div contents-hash="594b757411407e1598706e6b78885830ee0dfbcb519b68e367066545402406aa" dmcf-pid="59D9TlVZYQ" dmcf-ptype="general">
           <strong> 김은성 팀장은 스미싱 공격자들이 문자를 유포하는 기술적 방식에 대해서도 세 가지 유형을 들어 설명했다.<br><br> 먼저, 타인 명의로 개통한 대포폰을 이용해 스미싱 문자를 직접 발송하는 방식과, 악성 앱에 감염된 피해자의 스마트폰을 통해 연락처에 저장된 지인들에게 문자를 자동 전파하는 방식이 기존에 주로 사용되던 수법이라고 설명했다.<br><br> 여기에 더해, 최근에는 실제 기업이 쓰는 문자 발송 계정을 훔쳐, 그 기업을 사칭한 스미싱 문자를 대량으로 퍼뜨리는 '대량문자 발송서비스 계정탈취' 방식이 등장했다고 말했다. <br><br> 김 팀장은 "공격자가 이 계정을 탈취하면 해당 기업을 사칭해 문자를 보낼 수 있게 되고, 이 문자를 받는 사람들은 대개 그 기업의 실제 고객일 가능성이 높기 때문에 더 쉽게 속을 수밖에 없는 구조"라고 설명했다.<br><br> 이런 문제에 대응하기 위해 도입된 것이 '악성문자 엑스레이’(X-ray) '시스템이다. 이 시스템은 스미싱으로 의심되는 문자를 발송 단계에서 사전에 탐지해 차단하는 역할을 한다. 발송 전에 악성 여부가 확인되면 해당 문자는 유통이 중단된다.<br><br> 정부는 지난 28일 '보이스피싱 근절 종합대책'을 발표하며 대량문자 전송을 서비스하는 모든 문자 사업자에게 '악성 문자 엑스레이'를 거치도록 의무화해 불특정 다수를대상으로 한 악성 문자전송을 1차 차단키로 했다.<br><br> 김 팀장은 "결국 이런 체계를 통해 수신자에게 전달되는 스미싱 문자를 원천적으로 차단할 수 있을 뿐 아니라, 문자 발송 이용자의 재산까지 보호할 수 있다는 점이 또 하나의 장점"이라고 설명했다.<br><br><br><span>☞공감언론 뉴시스</span> chewoo@newsis.com </strong>
          </div>
         </section> 
        </div> 
        <p class="" data-translation="true">Copyright © 뉴시스. 무단전재 및 재배포 금지.</p>

등록된 댓글이 없습니다.

로그인한 회원만 댓글 등록이 가능합니다.

먹튀폴리스

내가 '그놈'에게 먼저 전화했다, 그리고 당했다…교묘해진 피싱

멤버랭킹

관련자료

멤버랭킹