피싱 사기의 일환으로 가짜 로그인 페이지를 접해본 적 있으신가요? 이런 가짜 페이지는 대개 인기 있는 서비스의 로그인 화면을 아주 그럴듯하게 흉내 낸 링크 뒤에 숨어 있습니다. 예를 들어 페이스북에서 누군가 영상을 소개하며 링크를 걸어두었다고 가정해 봅시다. 영상을 보려고 클릭했는데, 페이스북으로 연결되지 않고 페이스북을 똑같이 복제한 가짜 페이지가 열리며 영상을 보려면 로그인 정보를 입력하라고 요구하는 것이죠. 사용자는 자신이 페이스북에서 로그아웃된 것으로 착각하고 다시 로그인하다가, 그대로 사기꾼에게 계정 정보를 넘겨버리고 맙니다.
물론 사람들이 이런 수법에 점점 익숙해지면서, 단순한 가짜 링크만으로 로그인 정보를 빼내기는 점점 더 어려워졌습니다. 하지만 인터넷 세계에는 더 교활한 새로운 피싱 기법이 등장했습니다. 바로 탭내핑(tabnapping)입니다.
탭내핑의 작동 원리
요즘 사기꾼들은 사용자를 정면으로 속이는 방식에서 벗어나, 사용자가 100% 집중하지 못하는 '무방비 상태'를 노리는 전략으로 옮아가고 있습니다. 지금까지도 여러 악질적인 공격이 있었지만, 탭내핑은 그중에서도 특히 교활한 수법에 속합니다.
탭내핑은 이렇게 작동합니다. 먼저 사기꾼은 완전히 정상적으로 보이는 웹사이트를 만듭니다. 그리고 사이트 코드 안에 해당 탭이 '비활성(inactive)' 상태가 되었는지 확인하는 코드를 몰래 심어둡니다. 비활성 탭이란 현재 화면에 띄워두고 보고 있지 않은 탭을 말합니다. 지금 브라우저에 여러 개의 탭이 열려 있다면, 이 글을 읽고 있지 않은 나머지 탭들이 모두 비활성 탭인 셈이죠.
사용자는 얼핏 보기에 아무 문제 없어 보이는 이 웹사이트를 방문합니다. 그러다 페이스북 메시지가 도착했다든가 하는 이유로 다른 탭으로 전환하겠죠. 그 순간 '정상적인' 웹페이지는 비활성 상태가 되고, 사기꾼이 심어둔 코드가 작동하기 시작합니다.
이 코드는 우선 일정 시간 동안 기다립니다. 사용자가 그 탭의 존재를 잊어버릴 만큼 충분한 시간을 두는 거죠. 대기 시간이 지나면 웹페이지의 내용을 가짜 로그인 페이지(예: 지메일)로 바꿉니다. 동시에 탭에 표시되는 작은 아이콘인 '파비콘(favicon)'도 변경하고, 페이지 제목도 "Gmail: Email from Google" 같은 식으로 바꿔버립니다.
결과적으로 만들어지는 페이지는 지메일 로그인 페이지와 거의 완벽하게 똑같습니다. 탭을 자세히 들여다보면 뭔가 이상하다는 걸 금방 알아차릴 수 있지만, 바쁜 일상 속에서는 그럴 여유가 없죠. 그러다 친구에게 보낼 이메일이 생각나서 '지메일' 탭으로 돌아갑니다. 어라, 지메일에서 로그아웃되었네요? 귀찮지만 다시 로그인 정보를 입력합니다. 이것으로 탭내핑 공격은 완성됩니다.
실제로 탭내핑 데모 페이지를 새 탭으로 열어두고, 다른 탭으로 전환한 뒤 5초만 기다려 보세요. 5초 후 해당 탭이 마치 마법처럼 가짜 지메일 탭으로 변신하는 모습을 확인할 수 있습니다.
이것은 어디까지나 데모이므로 실제로 로그인 정보를 빼가는 가짜 지메일 페이지는 없습니다. 하지만 만약 디테일까지 완벽하게 재현된 지메일 로그인 페이지가 그 자리에 있다면 얼마나 설득력이 있을지 쉽게 상상할 수 있을 겁니다. 사기꾼들이 여러분의 정보를 빼내기 위해 어디까지 갈 수 있는지 보여주는 대표적인 사례입니다.
탭내핑으로부터 스스로를 지키는 방법
무섭게 들리지만, 실제로도 충분히 위협적입니다. 열어둔 어떤 탭이든 그럴듯한 피싱 공격으로 변신할 수 있다는 생각은 정말 불안하죠! 다행히 사기꾼들이 페이지 콘텐츠와 탭 정보를 공식 서비스와 똑같이 꾸밀 수는 있어도, 단 한 가지는 끝내 완벽하게 복제하지 못합니다. 바로 페이지의 URL입니다.
물론 사기꾼들도 진짜처럼 '보이는' URL을 만드느라 최선을 다합니다. 하지만 URL을 글자 하나까지 완벽하게 똑같이 복제하는 것은 불가능하며, 이것이 정상 로그인 페이지와 가짜 페이지를 구별하는 핵심 열쇠입니다. 어떤 이유로든 로그인 페이지가 나타난다면 반드시 URL을 확인하세요. 주소가 복잡하게 얽혀 있거나 'https' 보안 인증서가 없다면 의심해야 합니다. 그런 페이지는 즉시 닫고, 새 탭을 연 뒤 직접 주소를 입력해 진짜 사이트로 이동하는 것이 안전합니다. 아래는 진짜 페이스북 탭의 예시와 그 특징입니다.
교활하지만, 감지 불가능한 것은 아니다
탭내핑은 사용하지 않는 탭과, 이미 방문한 페이지는 다시 확인하지 않는 우리의 습관을 역이용하는 매우 악질적인 사기 수법 중 하나입니다. 다행히 로그인할 때 조금만 주의를 기울이면 탭내핑을 피하고 소중한 개인 정보를 안전하게 지킬 수 있습니다.
혹시 탭내핑의 피해자였거나, 아슬아슬하게 피한 경험이 있으신가요? 이 교활한 속임수에 대해 어떻게 생각하시나요? 실제로 마주친다면 속을 뻔했을 것 같나요? 댓글로 의견을 나눠주세요.