구글 문서(Google Docs) 링크를 받아 클릭하고, 구글 계정에 로그인하면 안전해 보입니다. 하지만 실제로는 전혀 그렇지 않습니다. 최근 등장한 매우 정교한 피싱 수법은 온라인 보안의 중요성을 다시 한번 일깨워주고 있습니다.
피싱이란 무엇이며, 사기꾼들은 어떻게 악용할까?
피싱(phishing)은 사용자가 스스로 아이디와 비밀번호를 입력하도록 유도하는 사기 수법으로, 주로 가짜 로그인 페이지를 이용합니다. 이런 가짜 페이지는 인터넷에 익숙한 사용자라면 대체로 쉽게 식별할 수 있지만, 이번 사례는 그야말로 진짜 구글 로그인 화면과 구분이 거의 불가능할 만큼 정교했습니다. 게다가 URL조차 실제 'Google.com' 도메인을 사용해 누구든 속을 수 있었습니다.
피싱 수법의 작동 방식
수법은 다음과 같습니다. 피해자들은 제목이 'Documents(문서)'인 이메일을 받게 됩니다. 이메일 본문에는 실제 'Google.com' 도메인을 포함한 구글 문서 링크처럼 보이는 링크가 담겨 있었고, 이를 클릭하면 마치 정상적인 구글 로그인 화면처럼 보이는 페이지로 연결됩니다.
구글 문서를 열기 전에 로그인해야 하는 경우는 흔히 있는 일이기 때문에, 많은 사용자가 별다른 의심 없이 비밀번호를 입력했습니다. 입력 후에는 실제 구글 문서로 이동했지만, 그들의 아이디와 비밀번호는 구글이 아니라 범죄자들에게 기록된 것입니다.
피해를 막는 방법
구글은 현재 해당 가짜 페이지들이 모두 차단되었다고 밝혔지만, 여전히 경계심을 늦추지 않는 것이 좋습니다. 발신자가 확실하지 않은 구글 문서 링크는 클릭하지 말고, 부득이하게 열어야 한다면 링크를 누르기 전에 먼저 구글 문서에 로그인되어 있는지 확인하세요.
하지만 이 방법은 이번 사건에서만 당신을 지켜줄 뿐입니다. 더 무서운 점은 바로 여기에 있습니다. 사람들에게 보안 수칙을 알려주는 일 자체가 점점 더 어려워지고 있다는 사실입니다. 과거에 소개한 피싱 사기를 피하는 네 가지 방법조차, 이번처럼 정교한 사례에서는 큰 도움이 되었을지 확신하기 어렵습니다.
비밀번호 변경과 2단계 인증은 필수
구글은 피해가 의심된다면 즉시 비밀번호를 변경할 것을 권고합니다. 비밀번호를 변경하는 김에 2단계 인증(two-factor authentication)으로 계정을 더욱 단단히 잠그는 것도 추천합니다. 2단계 인증을 켜두면 범죄자가 비밀번호를 알아내더라도 계정에 접근하려면 추가로 휴대폰이 필요하기 때문에 훨씬 안전합니다.
출처: Symantec.com