코로나19 이슈 편승한 스미싱 통해 악성 앱 설치파일 유포
악성 앱 감염 시 전화번호, 연락처, 금융정보, 신분증 등 각종 개인정보 탈취
질병관리청은 1399 혹은 공식 전화번호로만 메시지 발송...앱 설치 URL 역시 발송 안해
[보안뉴스 이상우 기자] 코로나19 확산세가 누그러들줄 모르는 가운데, 최근 사이버 공격자는 이러한 이슈를 중심으로 스미싱 공격을 시도하고 있다. 최근 발견된 스미싱은 질병관리청 예방접종증명서를 사칭하고 있으며, 이를 통해 사용자 금융정보 등을 탈취할 수 있기 때문에 주의가 필요하다.
공격자는 ‘[질병관리청COOV] 코로나19 전자예방접종증명서 발송 완료’, ‘[질병관리청]안녕하세요... 코로나19 백신 예약 인증 본인확인’, ‘[질병관리청] 안녕하세요... 코로나19 백신 예약 확인요청’ 등의 내용으로 사칭 문자 메시지를 보내며, 메시지에 포함된 URL을 클릭할 경우 공격자가 꾸민 가짜 ‘검진 모아’ 사이트로 연결된다.
해당 페이지에서 사용자가 전화번호를 입력하면 질병관리청 예방접종증명서 앱(COOV)을 사칭한 악성 앱 설치 파일이 저장된다. 해당 앱을 실행할 경우 통신사 등 단말기 정보, 주고받은 문자 메시지 등을 유출하며, 신분증이나 면허증 사진 등을 찍도록 속여 개인정보를 탈취하고, 이 밖에 계좌번호나 인증서 비밀번호 등 금융정보 입력을 유도한다.
보안전문 업체 이스트시큐리티의 ESRC(시큐리티대응센터)에 따르면 건강검진을 키워드로 하는 스미싱 공격은 지난해 7월부터 발견되기 시작했으며, 코로나19 상황에 따라 공격이 증감되는 양상을 보이고 있다. 최근 발견된 스미싱은 코로나19를 키워드로 활용해 질병관리청을 사칭했지만, 공격 과정은 기존 건강검진 스미싱과 동일하다.
메시지 내 URL 클릭 시 피싱 사이트로 연결되며, 피해자가 자신의 전화번호를 입력한 뒤 조회 버튼을 누르면 이름과 주민번호 앞 6자리를 요구하는 페이지로 이동하며, 개인정보를 입력한 이후에는 악성 앱을 내려받는 페이지로 이동한다. 내려받은 설치 파일 실행 시 ‘건강검진모아’ 혹은 ‘질병관리청 COOV’ 등의 이름이 나타난다. 이처럼 여러 단계에 걸쳐 개인정보를 입력하고, 정보를 조회하는 것처럼 꾸며 피해자가 가짜 사이트를 신뢰하도록 만든 것으로 보인다.
설치된 악성 앱을 실행하면 피해자 신분증과 개인정보 탈취를 시도하는 화면이 나타난다. 탈취를 시도하는 개인정보는 신분증과 금융 정보(계좌번호, 계좌 비밀번호, 인증서 비밀번호) 등으로, 공격자의 최종 목표는 금전 갈취인 것으로 보인다. 개인정보 탈취가 완료되면 ARS 화면이 노출된다. 화면에 나타나는 안내는 ARS 인증 후 검진 문의를 하는 형식이지만 인증이 확인 중이라는 메시지만 노출되며, 이후 반응이 없다. 이 단계에서는 이미 공격이 완료됐다고 볼 수 있다.
건강검진 스미싱 공격의 빈도는 택배 스미싱에 비해 낮지만, 코로나19 발생 이후 꾸준히 발견되고 있는 유형이라고 할 수 있다.
이러한 스미싱 공격을 예방하기 위해서는 우선 문자 메시지를 보낸 상대방 번호를 잘 확인해야 한다. 질병관리청은 010 번호를 사용하지 않으며, 1339 또는 질병관리청 전화번호로만 발송된다. 또한, 사전 예약 시스템을 통한 경우를 제외하면 개인정보를 전혀 요구하지 않는다. 애플리케이션 설치와 관련해서도 질병관리청의 전자예방접종 증명서(COOV)는 사용자가 직접 앱스토어나 구글 플레이 등에서 설치해야 하며, 질병관리청이 별도로 인터넷 접속 주소(URL 링크)를 보내지 않는다.
이스트시큐리티 ESRC 측은 “결국 스미싱 공격은 사용자의 예방 노력이 무엇보다 중요하다. 링크 등을 통한 앱 설치 시 본인의 스마트폰이 위협에 노출될 수 있음을 인지하고 주의를 기울여야 하며, 신뢰할 수 있는 백신 앱을 통해 기기를 보호해야 한다”고 말했다.
[이상우 기자(boan@boannews.com)]
악성 앱 감염 시 전화번호, 연락처, 금융정보, 신분증 등 각종 개인정보 탈취
질병관리청은 1399 혹은 공식 전화번호로만 메시지 발송...앱 설치 URL 역시 발송 안해
[보안뉴스 이상우 기자] 코로나19 확산세가 누그러들줄 모르는 가운데, 최근 사이버 공격자는 이러한 이슈를 중심으로 스미싱 공격을 시도하고 있다. 최근 발견된 스미싱은 질병관리청 예방접종증명서를 사칭하고 있으며, 이를 통해 사용자 금융정보 등을 탈취할 수 있기 때문에 주의가 필요하다.
▲질병관리청 사칭 스미싱 문자와 가짜 ‘검진 모아’ 사이트[자료=한국인터넷진흥원]
공격자는 ‘[질병관리청COOV] 코로나19 전자예방접종증명서 발송 완료’, ‘[질병관리청]안녕하세요... 코로나19 백신 예약 인증 본인확인’, ‘[질병관리청] 안녕하세요... 코로나19 백신 예약 확인요청’ 등의 내용으로 사칭 문자 메시지를 보내며, 메시지에 포함된 URL을 클릭할 경우 공격자가 꾸민 가짜 ‘검진 모아’ 사이트로 연결된다.
해당 페이지에서 사용자가 전화번호를 입력하면 질병관리청 예방접종증명서 앱(COOV)을 사칭한 악성 앱 설치 파일이 저장된다. 해당 앱을 실행할 경우 통신사 등 단말기 정보, 주고받은 문자 메시지 등을 유출하며, 신분증이나 면허증 사진 등을 찍도록 속여 개인정보를 탈취하고, 이 밖에 계좌번호나 인증서 비밀번호 등 금융정보 입력을 유도한다.
보안전문 업체 이스트시큐리티의 ESRC(시큐리티대응센터)에 따르면 건강검진을 키워드로 하는 스미싱 공격은 지난해 7월부터 발견되기 시작했으며, 코로나19 상황에 따라 공격이 증감되는 양상을 보이고 있다. 최근 발견된 스미싱은 코로나19를 키워드로 활용해 질병관리청을 사칭했지만, 공격 과정은 기존 건강검진 스미싱과 동일하다.
▲개인정보 탈취 화면[자료=한국인터넷진흥원]
메시지 내 URL 클릭 시 피싱 사이트로 연결되며, 피해자가 자신의 전화번호를 입력한 뒤 조회 버튼을 누르면 이름과 주민번호 앞 6자리를 요구하는 페이지로 이동하며, 개인정보를 입력한 이후에는 악성 앱을 내려받는 페이지로 이동한다. 내려받은 설치 파일 실행 시 ‘건강검진모아’ 혹은 ‘질병관리청 COOV’ 등의 이름이 나타난다. 이처럼 여러 단계에 걸쳐 개인정보를 입력하고, 정보를 조회하는 것처럼 꾸며 피해자가 가짜 사이트를 신뢰하도록 만든 것으로 보인다.
설치된 악성 앱을 실행하면 피해자 신분증과 개인정보 탈취를 시도하는 화면이 나타난다. 탈취를 시도하는 개인정보는 신분증과 금융 정보(계좌번호, 계좌 비밀번호, 인증서 비밀번호) 등으로, 공격자의 최종 목표는 금전 갈취인 것으로 보인다. 개인정보 탈취가 완료되면 ARS 화면이 노출된다. 화면에 나타나는 안내는 ARS 인증 후 검진 문의를 하는 형식이지만 인증이 확인 중이라는 메시지만 노출되며, 이후 반응이 없다. 이 단계에서는 이미 공격이 완료됐다고 볼 수 있다.
건강검진 스미싱 공격의 빈도는 택배 스미싱에 비해 낮지만, 코로나19 발생 이후 꾸준히 발견되고 있는 유형이라고 할 수 있다.
▲ARS 화면[자료=이스트시큐리티]
이러한 스미싱 공격을 예방하기 위해서는 우선 문자 메시지를 보낸 상대방 번호를 잘 확인해야 한다. 질병관리청은 010 번호를 사용하지 않으며, 1339 또는 질병관리청 전화번호로만 발송된다. 또한, 사전 예약 시스템을 통한 경우를 제외하면 개인정보를 전혀 요구하지 않는다. 애플리케이션 설치와 관련해서도 질병관리청의 전자예방접종 증명서(COOV)는 사용자가 직접 앱스토어나 구글 플레이 등에서 설치해야 하며, 질병관리청이 별도로 인터넷 접속 주소(URL 링크)를 보내지 않는다.
이스트시큐리티 ESRC 측은 “결국 스미싱 공격은 사용자의 예방 노력이 무엇보다 중요하다. 링크 등을 통한 앱 설치 시 본인의 스마트폰이 위협에 노출될 수 있음을 인지하고 주의를 기울여야 하며, 신뢰할 수 있는 백신 앱을 통해 기기를 보호해야 한다”고 말했다.
[이상우 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
이상우기자 기사보기
[2024-09-29] 
