오늘날 경쟁이 치열한 취업 시장에서는 어떤 기회든 놓치기 아까워 보이고, 사기꾼들은 바로 이 심리를 정확히 노리고 있습니다. 보안 업체 Malwarebytes는 최근 사기꾼들이 사용자의 계정 정보를 탈취하기 위해 가짜 Google Forms 링크가 포함된 채용 초대 메시지를 발송하는 피싱 캠페인을 확인했습니다. 이번 글에서는 주의해야 할 징후와 스스로를 보호하는 방법을 자세히 알아보겠습니다.
Google Forms 채용 사기의 작동 방식
취업 사기는 결코 새로운 이야기가 아닙니다. 의심스러운 채용 제안을 홍보하는 WhatsApp 메시지는 이미 많은 분들이 접해봤을 것이고, 발신자를 차단하고 넘어가는 것도 이제 익숙할 겁니다. 심지어 메시지를 열어볼 필요조차 없죠.
그러나 리크루터로 보이는 사람이 보낸 이메일이나 LinkedIn 메시지에 Google Forms 문서 링크가 포함되어 있다면 상황은 달라집니다. 훨씬 신뢰할 만하게 느껴질 수 있기 때문입니다. 안타깝게도 일부 경우, 이것은 계정 정보를 탈취하기 위한 치밀하게 계획된 시도의 일부일 수 있습니다.
Malwarebytes가 최근 밝혀낸 사기는 피해자를 언뜻 보면 진짜처럼 보이는 다음 URL로 유도합니다: https://forms.google.ss-o[.]com/forms/d/e/{unique_id}/viewform?form=opportunitysec&promo=. 여기서 "ss-o" 부분은 '싱글 사인온(Single Sign-On)'을 연상시키는데, 이는 하나의 자격 증명으로 여러 앱과 웹사이트에 안전하게 로그인할 수 있게 해주는 인증 방식입니다. 신뢰도를 높이기 위해 의도적으로 넣은 디테일입니다.
링크에 접속하면 로고, 익숙한 색상 구성, 제출 버튼 등 실제와 흡사한 요소들로 Google Forms를 그럴듯하게 복제한 페이지가 나타납니다.
가짜 채용 관련 질문을 보기 전에, 이 폼은 먼저 Google 계정으로 로그인할 것을 요구합니다. 피해자가 이에 응하면 id-v4.com 도메인(현재는 차단됨)으로 리디렉션되는데, 이 도메인은 지난 1년간 여러 피싱 캠페인과 연관된 것으로 알려져 있습니다.
Google Forms 사기에 넘어지지 않는 방법
Google Forms를 악용한 사기가 급증하면서 각별한 주의가 필요한 시점입니다. 보안 업체 Kaspersky에 따르면, 이러한 유형의 사기는 2024년에 무려 63%나 증가했습니다. 다음 핵심 예방 수칙들을 꼭 기억하세요.
- 원치 않는 채용 제안은 항상 신중하게 검토하세요. 합법적인 기회가 없다는 뜻은 아닙니다. 실제로 많은 리크루터가 LinkedIn에서 인재를 발굴하고 좋은 포지션에 대해 직접 연락하기도 합니다. 하지만 상대방이 알려주는 정보를 반드시 검증해야 합니다. 예를 들어, 연락해 온 회사의 진위 여부를 확인해 보세요(LinkedIn에서 쉽게 확인 가능). 평판 좋은 기업이라면 공식 웹사이트가 있고, 보통 채용 공고를 올리는 전용 커리어 페이지를 운영합니다. 제안받은 직무가 실제 공고 내용과 일치하는지도 살펴보세요.
- 링크 클릭을 강요하거나 후속 질문에 답변하지 않는 발신자는 경계하세요. 금전 요구나 지급·상품 약속(무료 암호화폐 등)은 명백한 경고 신호입니다. 이런 경우에는 즉시 메시지를 삭제하고 발신자를 차단하세요.
- 비밀번호 관리자를 활용하세요. 비밀번호 관리자는 훌륭한 안전장치 역할을 합니다. 사이트가 정품이 아니면 로그인 정보가 자동 입력되지 않기 때문입니다. 브라우저 내장형과 서드파티 비밀번호 관리자 중 어떤 것을 선택할지 고민된다면 관련 가이드를 참고해 보세요.
- ChatGPT와 Malwarebytes 연동 기능을 활용하세요. 현재 ChatGPT는 Malwarebytes와 통합되어 있어, 특정 이메일이나 메시지가 악성인지 확인할 수 있습니다.
- 링크를 클릭하기 전에 URL을 꼼꼼히 확인하세요. 링크가 합법적이라고 판단되더라도 클릭 전에 마우스를 올려 실제 URL에 오타나 이상한 부분이 없는지 살펴보세요. 다만 요즘 사기 수법은 날로 정교해지고 있어 이것만으로는 충분하지 않을 수 있다는 점을 유념하세요.
- 안티 멀웨어 프로그램을 설치하세요. Malwarebytes 같은 보안 도구를 설치하면 실시간 보호 기능을 활용할 수 있습니다.
- 2단계 인증(2FA)으로 계정을 보호하세요. 만약 모든 노력에도 불구하고 사기를 당하게 되더라도, 2단계 인증을 설정해 두면 사기꾼이 실제로 계정에 침입할 위험을 크게 줄일 수 있습니다.
또한 LinkedIn을 자주 사용하신다면, 앱을 이용하다 마주칠 수 있는 다른 LinkedIn 사기 수법들을 다룬 관련 글도 함께 확인해 보시길 권합니다.