카카오 공식 메일인 줄 알았는데…눌렀다간 아이디·비번 털린다

[서울=뉴시스]윤정민 기자 = 카카오 공식 안내로 위장해 이용자의 이메일 주소와 비밀번호를 빼내는 정밀 피싱 메일이 발견돼 이용자들의 각별한 주의가 요구된다. 공격자는 최근 포털 다음(DAUM)의 운영사 변경 등 지배구조 변화를 틈타 '카카오 계정이 이전될 예정'이라며 이용자를 낚았다.

10일 보안업계에 따르면 안랩 시큐리티대응센터(ASEC)는 최근 대북 관련 인사에게 발송된 카카오 계정 이전 안내 사칭 피싱 메일을 확인했다.

해당 메일은 카카오 공식 로고와 화면 구성을 그대로 모방했다. 공격자는 이용자에게 카카오 계정이 이전될 예정이라고 속인 뒤, 계정을 계속 쓰려면 본문의 '계정이용 확인' 버튼을 누르도록 유도했다.

업계 일각에서는 업스테이지가 카카오로부터 포털 '다음' 운영사 AXZ를 인수하는 등 관련 서비스의 지배구조 변화가 이어진 점이 이용자 혼선을 키웠을 가능성이 있다는 해석도 나온다. 실제 계정 이전이나 서비스 변경 안내로 오인하기 쉬운 환경에서 공격자가 '카카오 계정 이전' 문구를 피싱 미끼로 활용했을 수 있다는 해석이다.

다만 이번 피싱 공격이 AXZ 매각이나 운영 주체 변화와 직접 연관됐다는 정황은 확인되지 않았다. 현재 다음 서비스 로그인에는 기존 카카오계정이 계속 사용된다. 운영사나 대주주가 바뀌었다는 이유만으로 이용자가 메일 속 링크에 접속해 카카오 계정을 별도로 이전하거나 비밀번호를 입력할 필요는 없다.

메일 속 링크를 누르면 카카오 계정 관리 페이지와 유사하게 제작된 가짜 로그인 화면이 나타난다. 이용자가 정상적인 계정 확인 절차로 오인해 이메일 계정과 비밀번호를 입력하면 해당 정보가 공격자가 관리하는 외부 서버로 전달된다.

탈취된 카카오 계정은 카카오톡과 다음 메일 등 연동 서비스에 접근하거나 피해자 지인을 사칭하는 2차 공격에 악용될 수 있다. 다른 온라인 서비스에서 같은 비밀번호를 사용했다면 피해 범위가 추가로 확대될 우려도 있다.

안랩은 피싱 페이지가 일반적인 무료 호스팅 사이트가 아닌 정상적으로 운영 중인 웹사이트 서버에 만들어졌다는 점에 주목했다.

안랩은 공격자가 정상 웹사이트를 침해한 뒤 서버 내부에 피싱 페이지를 만든 것으로 추정했다. 이용자에게 익숙하지 않은 조잡한 도메인 대신 정상 사이트 일부 경로처럼 보이도록 만들었다. 사용자가 이를 신뢰할 가능성이 높아지기 때문이다.

가짜 페이지 내부에는 이용자가 입력한 이메일 계정과 비밀번호를 알아보기 어려운 형태로 변환한 뒤 외부 서버로 보내는 코드도 포함돼 있었다. 단순히 로그인 화면만 모방한 것이 아니라 실제로 입력 정보를 수집·전송하도록 설계된 셈이다.

계정 이전이나 보안 확인을 요구하는 메일을 받았다면 보낸 사람 이름보다 실제 발신 이메일 주소를 먼저 확인해야 한다. 메일 화면에 '카카오팀'이나 'Kakao'라고 표시돼 있더라도 발신자 이름은 공격자가 임의로 위조할 수 있다.

본문에 포함된 링크도 곧바로 누르지 말고 실제 연결 주소를 확인해야 한다.

이미 의심스러운 페이지에 계정 정보를 입력했다면 공식 카카오 계정 페이지에서 즉시 비밀번호를 바꿔야 한다. 같은 비밀번호를 사용하는 다른 서비스도 함께 변경하고 로그인 기기와 접속 기록을 확인해야 한다. 추가 피해를 막기 위해 2단계 인증을 설정하는 것도 필요하다.

안랩 측은 "공격자가 익숙한 브랜드와 계정 안내 문구를 활용해 사용자의 행동을 유도한 피싱 공격한 사례"라며 "계정이 이전된다는 문구는 사용자의 불안감을 자극하기 쉽고 정상적인 계정 확인 절차처럼 보이는 화면은 로그인 정보 입력을 유도할 수 있다"고 말했다.

이어 "메일 디자인보다 발신자 주소와 실제 연결 URL을 먼저 확인해야 한다"며 "로그인 정보는 반드시 공식 앱이나 공식 웹사이트에서만 입력해야 한다"고 밝혔다.


◎공감언론 뉴시스 [email protected]