세월호 참사와 지방선거 등으로 사회적 이슈가 끊이지 않았던 지난 4월과 5월 휴대폰 문자사기(스미싱)가 크게 늘었다. 직접 세월호 사건을 사칭한 스미싱부터 개인정보유출로 불안한 국민 심리를 노린 경찰청 사칭, 취업자를 노린 사기 등 유형도 천태만상이다.
안랩(대표 권치중)은 지난 4월과 5월 수집된 스미싱 악성코드가 지난해 같은 기간에 발생한 529개보다 183% 증가한 1496개가 발견됐다고 12일 밝혔다.
이 기간 발견된 스미싱은 고도로 교묘하게 위장했다는 점이 특징이다. 웹 사이트 주소(URL) 및 디자인, 원문, 캡챠코드(CAPTCHA CODE) 입력 화면까지 정상 사이트와 매우 유사하게 만들어 일반 사용자의 육안으로 구별하기 어려운 가짜(피싱) 사이트를 만들어 놓고 스미싱을 보내 해당 사이트로 유도하는 방식이 활개를 쳤다. 캡챠코드란 무작위 입력 등을 피하기 위해 왜곡된 이미지를 보여줘 사람만이 보고 입력할 수 있도록 만든 코드다. 그런데 이런 캡챠코드 입력을 일부러 가짜페이지에 만들어 오히려 이용자들이 `믿을만한 사이트'라고 방심하도록 유도한 것이다.
안랩이 분석한 결과에 따르면 경찰청 사이버테러대응센터로 위장된 피싱 사이트의 경우, 서류 접수 확인을 누르면 해커가 위장해 놓은 캡챠코드 입력 화면이 뜬다. 번호 입력을 하지 않거나 틀려도 확인만 누르면 악성 앱이 다운된다.
정상 사이트 URL과 피싱 사이트 URL을 섞어 이용자 의심을 최소화하는가 하면 이용자가 평소 보던 정상 사이트 디자인과 문구, 문자 등을 그대로 사용해 최대한 의심을 피하려 한 점도 발견됐다.
유출된 개인정보를 악용, 스미싱을 받는 대상자의 실명을 직접 기재해 믿을만한 문자로 위장하는 사례까지 나타나기도 했다는 것이 안랩측의 설명이다.
강종석 안랩 선임연구원은 "전문가들도 단번에 구별하기 어려운 수준으로 고도화된 스미싱 수법을 통해 공인인증서, ID및 비밀번호, 통신사 정보, 문자메시지 등 금융 거래 및 결제에 필요한 모든 정보를 한 번에 탈취해 간다"면서 "주소록 정보까지도 유출해 스미싱 수신자들을 기하급수적으로 늘려 가는 등 대형 보안사고의 시작점으로 변하고 있다"고 경고했다.
스미싱 공격에 당하지 않으려면 출처가 불분명한 문자메시지에 포함된 인터넷 주소링크(URL)는 클릭하지 않는 것이 좋다. 휴대폰 소액결제 한도는 0원 또는 최소한으로 설정하는 것이 필요하며 휴대폰 보안설정에서 `알 수 없는 출처` 항목의 체크를 해제해야 한다. 아울러 신뢰할 수 있는 모바일 백신을 설치하고, 정기적인 정밀 검사를 실행하며 블로그나 카페 등에 업로드 되어있는 앱을 설치하지 않고, 반드시 정식 마켓에서 앱을 내려 받아 설치하는 자세도 필요하다.
강은성기자 esther@
안랩(대표 권치중)은 지난 4월과 5월 수집된 스미싱 악성코드가 지난해 같은 기간에 발생한 529개보다 183% 증가한 1496개가 발견됐다고 12일 밝혔다.
이 기간 발견된 스미싱은 고도로 교묘하게 위장했다는 점이 특징이다. 웹 사이트 주소(URL) 및 디자인, 원문, 캡챠코드(CAPTCHA CODE) 입력 화면까지 정상 사이트와 매우 유사하게 만들어 일반 사용자의 육안으로 구별하기 어려운 가짜(피싱) 사이트를 만들어 놓고 스미싱을 보내 해당 사이트로 유도하는 방식이 활개를 쳤다. 캡챠코드란 무작위 입력 등을 피하기 위해 왜곡된 이미지를 보여줘 사람만이 보고 입력할 수 있도록 만든 코드다. 그런데 이런 캡챠코드 입력을 일부러 가짜페이지에 만들어 오히려 이용자들이 `믿을만한 사이트'라고 방심하도록 유도한 것이다.
안랩이 분석한 결과에 따르면 경찰청 사이버테러대응센터로 위장된 피싱 사이트의 경우, 서류 접수 확인을 누르면 해커가 위장해 놓은 캡챠코드 입력 화면이 뜬다. 번호 입력을 하지 않거나 틀려도 확인만 누르면 악성 앱이 다운된다.
정상 사이트 URL과 피싱 사이트 URL을 섞어 이용자 의심을 최소화하는가 하면 이용자가 평소 보던 정상 사이트 디자인과 문구, 문자 등을 그대로 사용해 최대한 의심을 피하려 한 점도 발견됐다.
유출된 개인정보를 악용, 스미싱을 받는 대상자의 실명을 직접 기재해 믿을만한 문자로 위장하는 사례까지 나타나기도 했다는 것이 안랩측의 설명이다.
강종석 안랩 선임연구원은 "전문가들도 단번에 구별하기 어려운 수준으로 고도화된 스미싱 수법을 통해 공인인증서, ID및 비밀번호, 통신사 정보, 문자메시지 등 금융 거래 및 결제에 필요한 모든 정보를 한 번에 탈취해 간다"면서 "주소록 정보까지도 유출해 스미싱 수신자들을 기하급수적으로 늘려 가는 등 대형 보안사고의 시작점으로 변하고 있다"고 경고했다.
스미싱 공격에 당하지 않으려면 출처가 불분명한 문자메시지에 포함된 인터넷 주소링크(URL)는 클릭하지 않는 것이 좋다. 휴대폰 소액결제 한도는 0원 또는 최소한으로 설정하는 것이 필요하며 휴대폰 보안설정에서 `알 수 없는 출처` 항목의 체크를 해제해야 한다. 아울러 신뢰할 수 있는 모바일 백신을 설치하고, 정기적인 정밀 검사를 실행하며 블로그나 카페 등에 업로드 되어있는 앱을 설치하지 않고, 반드시 정식 마켓에서 앱을 내려 받아 설치하는 자세도 필요하다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
