온라인 세상에서는 모든 사람이 당신을 노리는 것 같은 느낌이 들 때가 있습니다. 스팸 폴더를 한번만 열어봐도 매일 수십 통의 사기 이메일이 쌓여 있는 것을 확인할 수 있으며, 그들은 모두 당신의 무언가를 원합니다.
무료 비트코인을 준다거나, 화려한 해외 파트너를 소개해준다는 제안일 수도 있고, 가짜 세금 고지서나 가짜 PayPal 결제 알림일 수도 있습니다. 목록은 끝없이 이어집니다. 게다가 랜섬웨어 첨부 파일까지 더하면, PC 데이터를 인질로 잡고 몸값을 요구하는 공격도 기다리고 있습니다.
그런데 2017년 말부터 전 세계 메일함에 새로운 유형의 사기가 퍼지기 시작했습니다. 바로 '공갈 피싱(extortion phishing)'이라 불리는 이 사기는 흔히 "당신은 부끄러워해야 합니다(You Should Be Ashamed Of Yourself)"라는 제목으로 발송되며, 수신자에게 수치심을 안겨 돈을 내게 만드는 것이 특징입니다. 결제는 대부분 추적이 거의 불가능한 비트코인으로 요구됩니다.
공갈 피싱의 배후에 있는 사기 수법
'피싱(phishing)'에 대해 들어보셨을 것입니다. 피싱은 사기꾼들이 기만적인 방법으로 개인 정보를 빼내는 기법을 말합니다. 마이크로소프트는 피싱을 다음과 같이 정의합니다.
"온라인 신원 도용의 한 유형으로, 신용카드 번호, 비밀번호, 계정 정보 등 개인 데이터나 정보를 탈취하기 위해 설계된 이메일과 가짜 웹사이트를 이용합니다."
피싱을 차단하는 다양한 방법이 있지만, 결국 핵심은 피싱 이메일이나 메시지를 스스로 식별하는 법을 익히는 것입니다.
그런데 상황은 계속 진화하고 있습니다. 지난 몇 년간 피싱은 새로운 플랫폼과 공격 경로를 끊임없이 흡수해 왔습니다. 이제는 소셜 네트워크와 메신저 앱도 표적이 되었고, 사기꾼들은 은행, 검찰·경찰 등 집행 기관, 심지어 의료기관을 사칭하기도 합니다.
그리고 이제 사기꾼들은 자신들이 당신을 지켜보고 있다고 주장합니다. 특히 당신이 혼자 있을 때 무엇을 하는지 지켜본다고요.
"당신은 부끄러워해야 합니다" — 사기의 실제 내용
수법은 아주 단순합니다. 사기꾼들은 보유한 이메일 주소 목록으로 메일을 일괄 발송하고, 수신자가 성인 사이트를 방문(그리고 즐겼다고)하는 장면을 촬영했다고 주장합니다. 이는 '성인 사이트에 설치된 악성 프로그램' 덕분이라며, 성인 웹사이트의 데이터 유출에 대한 두려움을 교묘히 이용합니다.
목적은 명확합니다. 침묵의 대가로 돈을 내지 않으면 해당 영상을 당신의 소셜 네트워크에 퍼뜨리겠다는 협박입니다. 몸값 자체는 낮은 편입니다(비트코인으로 약 290달러). 하지만 메시지 수신 후 24시간 이내에 지급하라고 요구합니다.
결국 이것은 경계심 없는 사용자라면 누구든 속아 넘어갈 수 있는 전형적인 음흉한 사기입니다.
어떻게 가짜임을 알 수 있을까?
이 이메일에는 여러 가지 허점이 있습니다. 우선 제목부터가 마치 고객 지원 티켓처럼 생겼습니다.
- ?i??et#186980138: <이메일 주소> 2018/01/29 07:09:48 You were not clever
온라인에는 이 사기 이메일의 여러 변형이 기록되어 있습니다. 다른 제목들도 확인됩니다.
- 제목: YOU SHOULD BE ASHAMED OF YOURSELF
- 제목: YOUR PRIVACY HAS BEEN COMPROMISED
물론 웹캠을 원격으로 몰래 작동시키는 것이 가능하기는 합니다(표시등이 켜지지 않은 경우도 포함). 하지만 이 메일은 온라인 성인 콘텐츠를 전혀 이용하지 않는 사람들에게도 도착했습니다. 해당 활동을 하는 사용자 중에서도 이메일 계정과 연동하지 않는 경우에도 수신되었습니다.
또한 Kodi 박스 같은 다른 경로로 성인 콘텐츠를 시청하는 수신자들에게도 발송되었습니다.
게다가 사기꾼들이 원격 데스크톱(RDP)이나 키로깅을 강제로 설치하려면 보안 소프트웨어의 주의를 끌기 쉽습니다. 그리고 전 세계 수많은 기기의 웹캠 영상을 저장할 만큼 충분한 저장 공간을 갖추고 있을 가능성도 거의 없습니다.
하지만 가장 명백한 허점은 바로 이 협박 문구입니다. "내 메시지를 연 순간부터 정확히 24시간 안에 거래를 완료하라."
읽음 확인 기능이 없는 이상 발신자는 이메일이 언제 열렸는지 알 방법이 없습니다. 따라서 이 협박은 아무런 근거가 없는 것입니다.
이것은 사기입니다! 이미 받아보셨거나, 문구가 조금 다른 변형 버전을 받으셨을 수도 있습니다. 삭제하고 잊어버리세요. 누구에게나 도착할 수 있는 메일이므로 친구와 가족에게도 널리 알려주세요.
더 자세히 알고 싶다면, 관련 블로그에서 이 사기의 배경을 살펴보고 범인 추적 시도까지 다루고 있으니 참고하시기 바랍니다.
공갈 피싱을 막기 위해 할 수 있는 일
대응 방법은 여러 가지가 있습니다. 첫째, 웹캠이 달린 어떤 기기에서도 성인 콘텐츠를 시청하지 않는 것입니다. 생각보다 어렵지 않습니다. 그것이 어렵다면 웹캠 커버를 사용하는 것을 고려해 보세요. 가격도 저렴하고 아마존 등 온라인에서 쉽게 구입할 수 있습니다.
추가적인 보안을 위해 마이크도 비활성화해 두는 것이 좋습니다. 그리고 물론 믿을 수 있는 평판 좋은 온라인 보안 제품군을 설치하세요. 이메일 연동 기능으로 스팸 및 사기 메일을 걸러내고, 스캔 소프트웨어로 카메라 접근 악성코드를 탐지하도록 활용하면 됩니다.
또한 피싱에 대한 이해와 사기 식별 능력을 높이기 위해 관련 자료를 찾아 읽어보는 것도 큰 도움이 됩니다.
이 사기가 실제로 현실화될 가능성은?
다행히 현재로서는 이 사기가 실현 가능한 위협은 아닙니다. 하지만 우리가 컴퓨터를 사용하는 방식, 온라인 감시, 저장되는 데이터에 대한 두려움과 편집증을 성공적으로 자극하고 있습니다.
안타깝게도 불가능한 일도 아닙니다. 과거 성인 웹사이트가 악성코드 공격을 받은 적이 있으며, 스마트폰·태블릿·노트북 카메라가 정보기관에 의해 원격으로 작동될 수 있다는 사실도 알려져 있습니다. 또한 사이버 범죄자들이 NSA 등이 사용하는 기법을 갈취에 활용한 사례도 있습니다.
따라서 이 사기는 언젠가 '진짜'가 될 가능성도 있습니다. 해커가 실제로 성인 스트리밍 사이트에 악성코드를 올리고, 로그인 정보로 사용자를 식별해 표적으로 삼는 일이 가능하기 때문입니다. 굳이 영상을 촬영할 필요는 없지만, 원한다면 저장 공간만 있다면 충분히 가능할 수 있습니다. 거기까지 갔다면 소셜 네트워크에서 친구와 가족을 찾아내는 것도 큰 어려움이 아닐 것입니다.
다만 그 모든 과정에는 일반적인 사기보다 훨씬 많은 시간, 노력, 비용이 필요합니다. 적어도 지금은요.
사기꾼에게 당하지 마세요!
공갈 피싱은 질이 나쁩니다. 죄책감과 수치심에 시달리면서 논리적인 판단을 내려야 하는 상황은 누구에게나 고통스럽습니다. 이러한 혼란은 사기꾼의 의도대로 흘러가고, 결국 당신의 지갑만 가벼워집니다.
"당신은 부끄러워해야 합니다" 피싱 사기를 피하고 스스로를 보호하려면 다음 단계를 따르세요.
- 성인 콘텐츠 이용을 중단하거나 줄이고, 이용 방식을 점검하세요.
- 휴대폰, 태블릿, 노트북에 웹캠 커버를 사용하세요.
- PC 마이크는 사용하지 않을 때 비활성화하세요.
- 평판 좋은 신뢰할 수 있는 백신 프로그램을 설치하세요.
항상 한발 앞서 대비하면 사기를 당할 일이 없습니다. 사이버 보험조차 필요 없을지도 모릅니다.
주변 분들이 걱정되신다면 이 글을 공유해 주세요! 그리고 이런 사이버 사기를 당해본 적이 있다면 경험을 들려주세요.