통신사 해킹 넘어 ‘로그인 피싱’까지…“한눈팔면 다 털린다”

URL 위조한 ‘가짜 창’으로 간편 로그인 정보 입력 유도
“주소 확인·안전 브라우저 사용 중요…피싱 적발 시 이용 제한”

외부 웹사이트에서 네이버 간편 로그인을 클릭할 때 네이버 주소를 사칭한 피싱 사이트로 연결되는 모습. 오른쪽 로그인 화면에서 네이버 계정 정보를 입력하면 정보가 탈취된다. (네이버 고객센터 공지사항 갈무리)

최근 통신사와 카드사의 해킹에 따른 내부 데이터 유출이 잇따르면서 플랫폼의 ‘간편 로그인’ 기능을 악용한 새로운 피싱에도 주의가 요구된다.

간편 로그인 기능을 지원하는 네이버(035420)와 카카오(035720)는 피싱 피해를 예방하기 위해 주소창 도메인이 정확한지 확인하고 안전한 브라우저를 이용하라고 안내하고 있다. 피싱을 운영정책 위반으로 규정하고 서비스 이용 제재도 적용한다.

‘간편 로그인’ 누르면 가짜 창 띄워 계정 탈취

3일 정보기술(IT) 업계에 따르면 최근 플랫폼의 간편 로그인 기능을 악용해 이용자가 입력한 계정 정보를 가로채는 피싱 공격이 확산하고 있다. 네이버는 지난달 28일 공지사항을 통해 “네이버 아이디와 비밀번호 탈취를 노리는 공격이 확인됐다”며 주의를 당부하기도 했다.

간편 로그인은 네이버·카카오·구글·애플 등 외부에서 이미 사용 중인 계정으로 다른 웹사이트에 로그인할 수 있는 기능이다. 주 계정 정보가 유출되면 연계된 모든 서비스가 무단 노출된다.

네이버가 파악한 간편 로그인 피싱 수법에 따르면 공격자는 특정 웹사이트의 보안 취약점을 이용해 서버에 미리 침투해 악성 코드를 심는다. 이용자가 간편 로그인 버튼을 눌렀을 때 가짜 로그인 창을 띄워 아이디와 비밀번호 입력을 유도하기 위해서다.

가짜 로그인 창에 입력된 계정 정보는 공격자에게 즉시 전송되고, 이용자에게는 ‘로그인 실패’ 알림이 뜨거나 페이지가 새로고침 되면서 진짜 로그인 창으로 연결된다. 계정 정보가 이미 유출됐다는 사실은 인지하기 어렵게 만드는 수법이다.

실제 피싱 사례에서 공격자는 네이버 간편 로그인 버튼을 클릭했을 때 정상적인 네이버 주소 ‘nid.naver.com’이 아닌 교묘하게 위조된 주소 ‘nid-naver.co’를 사용한 페이지로 이용자를 속인 것으로 나타났다.

네이버가 공지사항을 통해 알린 간편 로그인 피싱 예방법(왼쪽)과 웨일 브라우저가 피싱 사이트 정보를 인지한 뒤 접속을 차단하는 모습 (네이버 고객센터 공지사항 갈무리)

피해 인지 어려워 예방 중요…적발 시 제재·기관 조사 협조

간편 로그인 피싱은 외부 공격으로 일어나는 데다 피해 사실을 단번에 알아차리기 어려워 예방이 중요하다. 네이버와 카카오는 최신 보안 이슈를 모니터링하며 피싱을 탐지하는 한편 운영정책을 통해 간편 로그인 피싱을 금지하고 적발 시 제재하고 있다.

네이버는 공지사항을 통해 간편 로그인 페이지의 주소창 도메인을 확인하라고 당부했다. 주소가 실제 플랫폼 로그인 주소와 조금이라도 다르거나 자물쇠 아이콘이 없다면 피싱 위험이 있으니 즉시 창을 닫아야 한다.

또 정상적인 간편 로그인 창에는 어떤 서비스에 네이버의 아이디를 제공하는지 안내 문구가 표시된다. 간편 로그인으로 접속하려는 서비스 이름이 명확히 노출되지 않는다면 피싱일 확률이 높다고 설명했다.

네이버 관계자는 “네이버 웨일 브라우저와 네이버 앱은 최신 피싱 사이트 정보를 신속히 파악하고 접속을 차단하고 있다”고 말했다.

(카카오 디벨로퍼스 운영정책 갈무리)

카카오는 카카오 플랫폼 서비스를 이용하는 개발자 등 회원에게 적용되는 카카오디벨로퍼스 운영정책을 통해 간편 로그인 피싱을 엄격히 금지하고 있다.

운영정책의 ‘금지된 행동’ 조항에서는 카카오 플랫폼 서비스를 활용하면서 응용프로그램이나 다른 웹사이트를 통해 표시·처리되는 내용에 ‘컴퓨터 해킹 또는 크래킹을 옹호·발전시키기 위한 의도를 가진 내용’과 ‘피싱’ 중 어떤 것도 포함해서는 안 된다고 명시했다.

조항에 명시된 위반 사항 외에도 카카오는 이용자가 ‘카카오에서 제공하는 서비스 사용 약관을 위반하는 방식으로 카카오 플랫폼 서비스를 사용하거나 서비스가 제공하는 인터페이스를 사용’하는 행위를 금지한다.

만약 사전 고지한 정책에 따른 의무를 위반하면 서비스 이용 단계적 제한 후 최종적으로 이용 계약을 해지한다.

카카오 관계자는 “카카오 서비스를 이용한 피싱이 일어나는지 꾸준히 모니터링하고 있다”고 설명했다.

(서울=뉴스1)