기존 패턴과 달라진 입학통지서 스미싱 분석했더니...

CMS통지서, 입학통지서 사칭 스미싱 발견

    ▲ APK파일에 감염되어 스마트폰에 저장된
       개인정보를 대상으로 뿌려진 입학통지서
       스미싱 유포 캡처화면

[보안뉴스 김경애] 최근 CMS통지서, 입학통지서를 사칭한 스미싱이 줄줄이 발견돼 이용자들의 각별한 주의가 요구된다.

특히, 이번에 발견된 스미싱 유형은 기존의 청첩장이나 택배를 사칭한 스미싱 유형에서 패턴이 바뀌었을 뿐만 아니라 이용자 스마트폰에 저장된 연락처를 대상으로 스미싱 문자를 재유포하는 등 갈수록 지능화되고 있다.

이번에 새롭게 등장한 입학통지서 사칭 스미싱 유형은 지난 15일 오전 2시 42분경을 시작으로 17일 주말동안 집중적으로 뿌려졌다.

스미싱 공격 방식을 정리해 보면 먼저 ① 공격자가 이용자에게 스미싱 문자를 유포 ②이용자가 스미싱 문자에 포함된 URL 링크를 클릭하면 ③피싱사이트로 연결된다. ④해당 피싱사이트에서는 APK파일을 다운로드하게 되며, 이용자 모르게 자동으로 설치된다. ⑤이용자 스마트폰에 저장된 전화번호 정보가 공격자 서버로 자동 저장되며 ⑥공격자는 이렇게 수집한 개인정보를 대상으로 스미싱을 재유포한다.

▲스미싱 공격 흐름도

스미싱 문자에 포함된 URL을 클릭하면 피싱사이트로 연결되며, 해당 피싱사이트에는 각종 개인정보를 탈취하기 위한 악성파일이 포함돼 있다.

이와 관련 바이러스 콜렉터 김근주 실장은 “스미싱 URL클릭하면 해당 피싱 사이트로 연결되는데 피싱사이트를 살펴본 결과 △사용자 정보 체크 △APK 파일 서명 △사용자 쿠키 체크 △ZIP 파일의 서명 △사용자 추적 코드 등이 발견됐다”며 “해당 피싱 사이트를 통해 APK파일을 설치하게 되면, 피해자 스마트폰에 저장된 전화번호가 공격자 서버로 탈취된다. 공격자는 이렇게 수집된 개인정보를 대상으로 스미싱이 재유포한다”고 설명했다.

특히, 이번 스미싱에는 사용자의 스마트폰을 감염시켜 스마트폰에 저장된 지인을 정보를 가로채 사용자를 위장하는 것으로 분석됐다. 게다가 국내 호스팅 업체에 등록해 스미싱 악성파일을 대량 유포하고 있어 호스팅 업체의 보안이 또 다시 도마 위에 오르고 있다.

이와 관련 김근주 실장은 “보안이 허술한 호스팅 업체를 악용해 스미싱 악성파일을 대량으로 유포하고 있다”고 지적했다.

또한, 사용자 주소록에 저장되어 있는 지인을 대상으로 스미싱을 전송할 경우 사용자 번호를 그대로 전송할 수 있어 더욱 많은 사용자가 악성파일에 감염될 수 있다고 우려했다.

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)