휴대폰을 노리는 피싱 공격은 새로운 유형은 아니지만, 공격 수법이 끊임없이 진화하면서 점점 더 정교해지고 있습니다. 이제는 단순히 원본 사이트의 글꼴과 색상만 흉내 내는 가짜 웹사이트 수준을 넘어섰습니다. 최근 스캐머들은 소셜 미디어 데이터를 탈취하고, 일회용 비밀번호(OTP) 보안 체계마저 무력화하는 방향으로 공격을 고도화하고 있습니다.
이 글에서는 전통적인 휴대폰 피싱 공격과 최신 첨단 공격 기법을 살펴보고, 각각에 대한 효과적인 대응 방법을 소개합니다.
전통적인 휴대폰 피싱 공격
1. 스미싱(SMS 피싱)
스미싱은 오랫동안 이어져 온 공격 기법입니다. 기본적인 방식은 크게 변하지 않았는데, 혜택 제공이나 공포 조성, 도발적인 문구로 수신자의 주의를 끄는 것이 핵심입니다. 특히 주목할 점은 공격 대상이 은행 계좌나 신용카드 정보에만 국한되지 않는다는 것입니다. 애플 ID 로그인 정보, 암호화폐 지갑, PayPal 계정도 주요 표적이 되고 있으며, 이런 정보들은 다크웹에서 현금으로 거래됩니다.
현재 애플 ID 하나의 암시장 거래가는 불과 15달러 수준입니다. 이렇게 저렴한 가격은 해당 정보가 얼마나 쉽게 유통되고 있는지를 보여주는 방증입니다. 금융 사기의 경우, 사기범이 먼저 전화를 걸어 OTP 번호를 확인하려 드는 경우도 많습니다.
대처 방법: 서두르라고 강요하는 링크는 절대 클릭하지 마세요. 정당한 기업은 이런 방식으로 고객을 압박하지 않습니다. 또한 해당 링크에는 휴대폰 악성코드가 숨어 있을 가능성이 높습니다.
2. 보이스피싱(로보콜)
음성 통화를 이용한 피싱 공격(일명 '보이스피싱')은 문자 메시지 피싱보다 더 노골적인 편입니다. 로보콜 사기범들은 발신번호 변작, 원격 자동 다이얼러, 지역번호 기반 번호 생성, 개인정보 접근 등 최신 기술을 총동원합니다. 상대방이 "1번을 누르라"고 안내한 뒤 신용카드 정보를 입력하게 하는 방식이 대표적입니다.
대처 방법: Truecaller, Robokiller 같은 차단 앱을 활용하면 로보콜을 자동으로 걸러낼 수 있습니다. 상대가 실제 사람인 사기범이라면 미안해할 필요 없이 바로 전화를 끊는 것이 좋습니다.
3. 소셜 미디어 피싱
캠브리지 애널리티카 사건 이후, 소셜 미디어가 피싱 공격의 온상이 되었다는 사실은 더 이상 놀라운 일이 아닙니다. 사용자들이 자발적으로 올리는 방대한 개인정보 덕분에 사기범들은 연예인, 친한 친구, 심지어 가족까지 손쉽게 사칭할 수 있습니다. 암호화폐 사기범들은 잠재적 피해자를 물색하기 위해 소셜 미디어 게시물을 미리 훑어보기도 합니다.
대처 방법: 항상 경각심을 유지하고, 소셜 미디어에 개인정보를 과도하게 공개하지 마세요. 보유한 비트코인 내역을 자랑하는 행위 등은 특히 위험합니다.
첨단 휴대폰 피싱 공격
1. 번호 이동('포트아웃') 공격
전화번호 '포트아웃(port out)' 공격은 최신 휴대폰 피싱 사기 중 하나로, 통신사들조차 공식 경보를 발령할 정도로 심각한 상황입니다. 이 공격의 무서운 점은 은행 계좌 보안의 핵심인 2단계 인증(2FA)을 직접 공격한다는 것입니다. 은행과 카드사가 추가 보안 장치로 의존하는 OTP가 사실상 완벽하지 않다는 것이 드러난 셈입니다.
공격자는 전화번호, 생년월일 등 개인정보를 수집한 뒤 본인인 척하여 SIM 번호를 다른 통신사로 이전합니다. 특히 보안과 본인 확인이 허술한 통신사 매장에서 이런 수법이 빈번하게 발생하고 있습니다. 몇 시간에서 며칠간 피해자의 전화번호를 장악한 상태에서 은행이 보내는 OTP를 가로채 금융 사기를 저지르는 것입니다. 금융 사기 외에도 마약 거래상들이 자신의 흔적을 지우기 위해 포트아웃된 번호를 활용하기도 합니다.
대처 방법: 사기범이 이미 번호를 사칭했다면 개인이 할 수 있는 일은 많지 않습니다. 하지만 피해가 발생하기 전까지 몇 시간의 여유 시간이 있을 수 있으므로 평소 각별한 주의가 중요합니다. 전화 발신이나 문자 전송 같은 기본 기능이 갑자기 작동하지 않는다면 번호가 탈취되었음을 의심해야 합니다. 즉시 은행에 연락해 계좌 동결을 요청하고, 통신사에 SIM 카드 차단을 요청하세요.
2. 휴대폰 클로닝(복제)
휴대폰 클로닝 공격은 모바일 피싱 계열에서 가장 최근에 등장한 기법입니다. 과거에는 'SIM 스와핑'으로 IMEI 번호에 접근하는 방식이 사용되었지만, 요즘은 기기를 직접 만지지 않고도 복제가 가능합니다. 실제로 '무선으로 휴대폰 복제하는 법'을 구글에 검색하면 놀랍도록 쉬운 튜토리얼이 검색됩니다.
그중 하나가 블루투스 해킹입니다. 공격자는 다운로드한 소프트웨어를 이용해 근거리에 있는 켜진 블루투스 기기에 접속할 수 있습니다. 연결에 성공하면 타겟 폰의 키 입력을 포함한 모든 활동을 원격으로 감시할 수 있습니다. 자녀 관리용 앱이 원격 모니터링 기능을 합법적으로 제공하는 만큼, 이 기술 자체가 불법으로 규정되지 않는 점도 문제입니다.
대처 방법: 클로닝 공격은 방어가 매우 어려운 편입니다. 가장 좋은 예방책은 검증된 출처의 앱만 설치하고, 각 앱이 요청하는 권한을 꼼꼼히 확인하는 것입니다. 앱이 필요하지 않은 기능에 대한 권한을 요구한다면 즉시 삭제하거나 블랙리스트에 등록하세요.
맺음말
휴대폰 피싱 공격이 날로 늘어나는 상황에서 안전을 지키려면 무엇보다 끊임없는 경각심이 필수적입니다.
혹시 휴대폰 피싱 공격의 피해를 겪으신 적이 있으신가요? 여러분의 경험을 댓글로 공유해 주세요.