최근 지독하게 교묘한 새로운 보안 위협이 Gmail 사용자들을 덮치면서 전문가들조차 당황하고 있습니다. 겉보기에는 전형적인 피싱 사기로, 이메일에서 악성 페이지로 유인해 Google 로그인 정보를 탈취하는 방식입니다. 하지만 이번 사기는 한 단계 더 나아간 수법을 사용하고 있습니다. 이 사기를 비롯한 유사한 위협으로부터 스스로를 보호하기 위해 알아야 할 모든 것을 정리했습니다.
이 사기는 어떻게 작동하나요?
대부분의 피싱 사기와 마찬가지로, 이 사기 역시 '그럴듯한 위장'을 통해 작동합니다. 받은 편지함에 PDF 파일이 첨부된 이메일이 도착하고, 그 PDF에는 Gmail 로그인 페이지로 위장한 사이트로 연결되는 링크가 숨어 있습니다. 거기에 정보를 입력하는 순간, 해커는 즉시 해당 Gmail 계정에 접근할 수 있게 됩니다.
이번 사기의 특별한 점은 무엇인가요?
피싱 사기는 어디에나 흔합니다. 스팸 메일함을 살펴보면 eBay, PayPal, 이메일 등 계정에 긴급한 문제가 생겼다며 주의를 요구하는 메일을 쉽게 찾을 수 있습니다. 실제 사이트의 로고까지 완벽하게 흉내 내지만, 결정적인 단서는 발신자 이메일 주소입니다. 대개 실제 사이트의 주소와 전혀 다른 형태를 띠고 있으며, 브라우저가 가짜 사이트로의 이동을 감지해 경고해 주기도 합니다.
하지만 이번 사기는 '데이터 URL(Data URL)'이라는 트릭으로 브라우저의 피싱 탐지를 우회합니다. URL 중간에 "https://accounts.google.com/ServiceLogin?service=mail"이라는 문자열이 그대로 표시되어 마치 진짜 구글 로그인 페이지처럼 보이게 만드는 것이죠. 브라우저뿐 아니라 사용자의 눈에도 매우 진짜처럼 느껴지는 이유입니다.
피싱 사기를 피하는 방법
피싱 사기에 대해 안심할 수 있는 점이 하나 있다면, 개인 정보를 직접 입력하지 않으면 아무런 피해도 입을 수 없다는 사실입니다. 모든 것이 여러분의 손에 달려 있는 셈이죠! 따라서 기본 원칙은 명확합니다. 신뢰할 만한 사이트를 사칭한 곳에서 보낸, 예상하지 못한 첨부 파일은 절대 열지 마세요.
사기에 당했다면 어떻게 해야 할까요?
이 사기(또는 다른 사기)에 정보를 넘겼다고 의심된다면, 피해는 당장 드러나지 않을 수 있습니다. 해커가 Gmail 계정을 탈취하는 목적은 신원 정보, 은행 정보, Google Drive 파일 등 민감한 데이터에 접근한 뒤 이를 판매하거나, 온라인 결제 등 불법 활동에 악용하기 위해서입니다.
가장 먼저 해야 할 일은 비밀번호를 변경하는 것입니다. 비밀번호를 바꾸면 해당 계정에 로그인된 모든 기기에서 재인증을 요구하게 되는데, 더 이상 새 비밀번호를 모르는 해커는 접근할 수 없게 됩니다.
다음으로, Google 계정에 2단계 인증(2단계 확인)을 설정하세요. 2단계 인증을 활성화하면 로그인 시 비밀번호 입력 후 휴대폰으로 전송된 인증 코드를 추가로 입력해야 합니다. 덕분에 해커가 비밀번호를 알아내더라도 계정 침입이 훨씬 어려워집니다.
또한 해커가 여러분의 이메일 주소를 이용해 Google 연락처의 지인들에게 같은 사기를 전달했을 가능성이 있습니다. 해킹 피해를 입었을 수 있다는 사실과 함께, 본인 명의로 온 낯선 이메일은 열지 말라고 알리는 대량 메일을 보내는 것이 좋습니다.
마지막으로, 모든 계정마다 서로 다른 비밀번호를 사용하는 것이 필수입니다. 이것이 부담스럽게 느껴진다면 비밀번호 관리자를 활용해 계정별 고유 비밀번호를 생성하고, 안전한 볼트에 보관하는 방법을 추천합니다.
마무리
이번 피싱 사기는 오래된 수법의 교묘한 변형일 뿐, 대응 원칙은 크게 다르지 않습니다. 이미 익숙한 보안 상식처럼 들릴 수 있지만, 여전히 많은 사람들이 이런 사기에 속아 넘어가는 한 안전 수칙을 반복해서 강조할 가치는 충분합니다.