최근 사이버 범죄자들 사이에서 '브라우저 속 브라우저(Browser-in-the-Browser, BitB)'라고 불리는 신종 공격 기법이 빠르게 확산되고 있습니다. 오늘날 웹 개발 기술은 페이지 위에 어떤 것이든 표현할 수 있을 정도로 발전했습니다. 색상과 모양이 자유로운 입력창은 물론, 실제 인터페이스처럼 움직이는 애니메이션까지 구현 가능하죠. 결국 공격자는 이런 기술을 악용해 자신의 가짜 사이트 안에 마치 다른 정상 서비스처럼 보이는 완전한 로그인 페이지를 만들어낼 수 있습니다.
브라우저 속 브라우저 공격은 어떻게 작동할까?
공격 방식은 의외로 단순합니다. 공격자는 먼저 정상적인 웹사이트를 그대로 복제한 가짜 사이트를 등록합니다. 이는 전통적인 피싱 수법이기도 합니다. 또는 쇼핑 할인, 이직 정보, 화제의 뉴스처럼 사용자가 클릭하고 싶게 만드는 매력적인 URL과 콘텐츠로 희생자를 유인하기도 합니다.
방문자가 물건을 구매하거나 댓글을 달려면 로그인이 필요하다고 안내한 뒤, 공격자는 '구글로 로그인', '마이크로소프트 계정으로 로그인'처럼 익숙한 서비스를 통한 로그인 버튼을 배치합니다. 물론 이 버튼의 진짜 목적은 사용자의 아이디와 비밀번호를 훔치는 것입니다.
희생자가 버튼을 클릭하면 마이크로소프트, 구글, 애플의 로그인 창과 똑같이 생긴 팝업이 나타납니다. 정확한 주소, 로고, 입력 필드까지 갖춰져 있어 평소 보던 화면과 거의 구분되지 않습니다. 심지어 '로그인' 버튼이나 '비밀번호 찾기' 링크에 마우스를 올리면 올바른 URL이 표시되도록 설계되어 있어 더욱 교묘합니다.
진짜 로그인 창과 가짜 로그인 창 구별하는 방법
가짜 로그인 창은 겉모습만 봐서는 '가짜'라고 눈에 띄는 단서가 없지만, 몇 가지 방법으로 감별할 수 있습니다. 핵심은 실제 로그인 창은 하나의 독립된 '브라우저 창'처럼 동작한다는 점입니다. 진짜 창은 화면 어디로든 옮길 수 있고 최소화·최대화도 가능하지만, 가짜 팝업은 자신이 나타난 페이지에 종속되어 있습니다. 다음 방법으로 지금 화면의 로그인 폼이 진짜인지 확인해 보세요.
- 브라우저 창 최소화 테스트: 로그인 폼이 나타난 브라우저 창을 최소화해 보세요. 별도의 창이어야 할 로그인 폼이 함께 사라진다면 가짜입니다. 진짜 창이라면 화면에 그대로 남아 있어야 합니다.
- 창 드래그 테스트: 로그인 창을 부모 창(브라우저)의 경계 밖으로 끌어내 보세요. 진짜 창은 경계를 자유롭게 넘어가지만, 가짜 창은 경계에 걸려 더 이상 움직이지 않습니다.
- 움직임 살펴보기: 로그인 창이 다른 창과 함께 최소화되거나, 주소창 아래에 걸리거나, 주소창 뒤로 사라지는 등 낯선 동작을 보인다면 가짜입니다. 절대 계정 정보를 입력하지 마세요.
- 비밀번호 관리자 사용: 모든 계정에 비밀번호 관리자를 활용하세요. 비밀번호 관리자는 페이지의 실제 주소를 확인하고, 아무리 믿음직스러워 보여도 미등록 사이트에는 절대 자동 입력하지 않습니다.
- 실시간 백신 설치: 피싱 차단 모듈이 포함된 실시간 백신을 설치하세요. 백신은 URL을 검사해 위험한 페이지에 접속하려 할 때 즉시 경고해 줍니다.
- 2단계 인증(2FA) 활성화: 비밀번호가 유출되더라도 계정 탈취를 막아주는 최후의 방어선입니다. 소셜 미디어를 포함해 가능한 모든 서비스에서 반드시 켜두세요.
- VPN 사용: 연결을 암호화하고 온라인 활동 일부를 공격자에게서 숨기는 가장 간단한 방법입니다. VPN을 사용하면 통신이 암호화된 터널을 통해 전송되고, IP 주소는 여러 VPN 사용자가 공유하는 주소로 대체됩니다. 덕분에 위치, 검색 기록, 중요한 정보를 더욱 안전하게 보호할 수 있습니다.
VPN으로 내 정보를 지키는 방법
VPN은 IP 주소를 가려주기 때문에 외부에서 사용자가 무엇을 하는지 알기 어렵게 만듭니다. 모든 VPN 데이터는 암호화되어 보호되며, 제품에 따라 256비트 군사용급 암호화까지 적용되기도 합니다. 신뢰할 만한 VPN이라면 일반적으로 다음과 같은 기능을 제공합니다.
- ISP 속도 제한 우회: IP 주소를 숨겨 인터넷 제공업체(ISP)가 의도적으로 서비스 속도를 늦추는 것을 방지합니다.
- 킬 스위치(Kill Switch): 연결이 갑자기 끊기면 자동으로 인터넷 연결을 차단해 정보 노출을 막아줍니다.
- AES-256비트 암호화: 강력한 암호화를 적용해 ISP나 해커가 IP 주소, 위치, 비밀번호 등 개인 데이터를 엿보지 못하게 합니다.
- 네트워크 확장성: 인터넷 기반 VPN을 도입하면 기업은 네트워크 구축 비용과 시간을 절약하면서 확장성까지 확보할 수 있습니다.
- 익명성 보장: 신원을 숨겨 온라인 활동을 감시당하지 않도록 보호하며, 접속을 종료하면 흔적을 남기지 않습니다.
'브라우저 속 브라우저' 공격, 어떻게 대비할까?
전 세계적으로 사이버 공격이 늘어나면서 위험 없이 인터넷을 사용하는 것이 점점 어려워지고 있지만, 이런 악성 활동이 사라질 기미는 보이지 않습니다. Systweak Antivirus 같은 실시간 백신과 Systweak VPN을 PC에 함께 사용하면 멀웨어로부터 컴퓨터를 보호하는 동시에 온라인 활동을 사이버 범죄자들로부터 가릴 수 있습니다.
페이스북, 인스타그램, 유튜브 같은 소셜 미디어에서 저희를 팔로우하세요. 궁금한 점이나 제안이 있다면 댓글로 알려주세요. 기술 관련 팁과 요령, 자주 발생하는 문제의 해결 방법을 꾸준히 소개하고 있습니다.