[ⓒ픽사베이]

[디지털데일리 김보민기자] 금융기관을 사칭하거나 수사기관 연락을 가로채는 방식의 사이버 공격이 포착됐다. 일명 '알면서도 당하는 공격'이 활개치고 있는 만큼 사용자 주의가 요구된다.

24일 데이터 인텔리전스 기업 S2W가 최근 발표한 보고서에 따르면 최근 금융을 비롯한 주요 산업계에서 화두로 떠오른 보안 키워드는 '사칭'이다. 금융기관은 물론, 국내 수사기관과 쇼핑몰로 위장한 보이스피싱 조직은 피싱 페이지를 만들고 안드로이드 악성코드를 개발해 사용자가 접속하도록 유도했다.

S2W는 위협 그룹을 'TheftCRow'라고 부르고, 이들이 유포한 악성앱 이름을 'TheftCalls Loader'과 'TheftCalls'라고 칭했다. 이 조직은 다양한 테마의 피싱 페이지를 구축해 악성 앱 다운로드를 유도했고, 이 과정에서 보이스피싱 방지를 비롯해 금융사 및 공공기관을 사칭한 앱을 만든 것으로 확인됐다.

피싱 페이지에서 다운로드 된 1차 악성앱은 'TheftCalls Loader'이었다. 이 앱은 접근성 서비스를 악용해, 파일 내부에 저장돼 있는 2차 악성앱 'TheftCalls' 설치를 실행하도록 했다. 권한 허용 등을 수행하기 위해 일련의 과정을 사용자 개입 없이 강제로 실행되도록 한 것이 특징이다.

'TheftCalls'는 해커들이 사용하는 C2 서버로부터 포워딩 번호를 수신하고, 수사 및 금융기관에 전화를 걸어도 공격자에게 강제로 전화가 연결되도록 했다. 수사기관이나 금융사가 사용자에게 전화를 걸더라도, 공격자가 이를 가로챌 수 있다는 의미다. 강제 수신 및 발신 기능이 작동하는 방식이다.

이러한 방식의 공격은 사용자가 피해 가능성을 인지하면서도 당한다는 특징이 있다. 피싱 방법이 교묘해지고 있다는 사실은 알지만, 막상 유사 페이지나 신뢰가 높은 기관을 사칭한 연락이 올 때 의심을 거두게 되기 때문이다. 다만 사이버 공격자들이 이 점을 노리고 있다는 점을 고려했을 때, 각별한 주의가 필요한 상황이다.

문자메시지를 활용해 피싱 공격을 가하는 '스미싱' 또한 마찬가지다. 한국인터넷진흥원(KISA)에 따르면 지난해 스미싱 문자 탐지 건수는 50만3300건에 달했다. 같은 기간 공공기관을 사칭하는 경우는 35만여건, 금융기관은 164건으로 집계됐다.