이메일 피싱 사기는 인터넷 초창기부터 존재해 온 가장 오래된 사기 수법 중 하나입니다. 한때 '머나먼 나라의 왕자님'이라는 터무니없는 제안으로 사람들의 웃음을 자아내던 이메일 사기는, 이제 너무나 정교하게 발전해서 일반인의 눈으로는 진짜와 가짜를 구분하기 어려운 수준에 이르렀습니다.
URL을 조작해 공식 사이트처럼 보이게 하는 새로운 기법
최근 한 보안 연구원은 URL을 특정 방식으로 변조하면 실제로는 가짜 사이트임에도 불구하고 합법적인 웹사이트처럼 보이게 만들 수 있다는 사실을 밝혀냈습니다.
업데이트 이전의 크롬(Chrome) 브라우저에서는 https://www.xn--80ak6aa92e.com/이라는 주소가 https://www.apple.com으로 표시되었습니다. 주소창에는 분명히 애플 공식 홈페이지가 떠 있는데, 실제 접속한 곳은 전혀 다른 도메인인 셈입니다.
다행히 이번 사례는 테스트 목적으로 활용된 것이라 실질적인 피해는 없었지만, 누군가 해당 도메인을 미리 등록해 애플 웹사이트를 기대하며 접속한 사용자들을 상대로 피싱 공격에 악용할 가능성도 충분했습니다. 참고로 이러한 공격은 모양이 비슷한 유니코드 문자(호모글리프)를 도메인에 활용하는 '펀니코드(punycode)' 스푸핑 기법으로 알려져 있으며, 관련 브라우저들은 이후 이 문제를 수정했습니다.
이메일 링크, 그 어떤 경우에도 함부로 클릭하지 마세요
여기서 얻어야 할 교훈은 아주 단순합니다. 예상하지 못한 이메일에 포함된 링크는 그 어떤 경우에도 클릭하지 않는 것입니다.
예를 들어 은행 명의로 "수상한 거래가 감지되었습니다"라는 내용의 메시지가 도착했다면, 이메일 안의 어떤 버튼이나 링크도 누르면 안 됩니다. 대신 다음과 같은 안전한 방법으로 접속하세요.
- 주소창에 웹사이트 주소를 직접 입력한다
- 브라우저에 저장해 둔 즐겨찾기를 이용한다
- 구글 등 검색 엔진에서 사이트 이름을 검색해 접속한다
이렇게 하면 가짜 페이지가 아니라 진짜 페이지에 접속할 수 있어 피싱 위험을 크게 줄일 수 있습니다.
신중한 사람도 속을 수밖에 없는 이유
만약 이 가짜 이메일 속 링크 위에 마우스 커서를 올려두었다면, 당시 크롬을 비롯한 일부 브라우저의 결함 때문에 주소가 apple.com으로 표시되었을 것입니다. 평소 의심이 많고 꼼꼼하게 확인하는 습관이 있는 사람이라 해도, 겉으로 드러나는 위험 신호가 전혀 없었기 때문에 충분히 속을 수 있었던 상황입니다. 바로 이런 이유 때문에 이메일 속 링크를 직접 클릭하지 않는 것이 훨씬 안전합니다.
마무리하며
이메일 보안 습관을 다시 다졌다면, 반대로 자신이 지인들에게 스팸성 메일을 보내고 있지는 않은지도 함께 점검해 보시기 바랍니다.
피싱 이메일에 속아 본 적이 있으신가요? 여러분의 경험담을 댓글로 공유해 주세요!