[크립토퀵서치] 가짜 거래소 앱, 피해를 줄이려면 어떻게 해야 하나요?

동아닷컴

디지털자산(가상자산) 거래소를 사칭한 피싱 사이트와 가짜 앱이 기승을 부리고 있습니다. 최근에는 기존 거래소 서비스와 똑같은 외형의 가짜 사이트·앱까지 등장했습니다. 자세히 살펴보지 않으면 그 차이를 알 수 없을 만큼 정교합니다. 무심코 접속했다가는 예기치 못한 피해를 입을 수 있죠. 이번 시간에는 거래소 사칭 사이트와 가짜 앱의 특징, 피해 방지 방법에 대해 알아보겠습니다.

피싱 사이트부터 가짜 앱까지, 사칭 수법 확산

디지털자산거래소 공동협의체(DAXA)는 최근 소셜네트워크서비스(SNS) 광고를 통해 국내 원화거래소를 사칭한 피싱 사이트가 유포되고 있다며 이용자 주의를 당부했습니다. 빗썸은 가짜 거래 앱 사기 예방 가이드를 공개했습니다. DAXA와 빗썸은 사기 수법이 단순한 모방 수준을 넘어 정교해지고 있다는 점을 강조했습니다.

거래소 사칭 피싱 사이트를 이용한 사기의 경우 이용자가 SNS에 노출된 광고를 클릭하면 실제 원화거래소와 유사한 사이트로 연결됩니다. 얼핏 보면 같은 서비스인 것처럼 보입니다. 하지만 해당 사이트는 ‘PC 전용 프로그램 설치 시 거래 수수료 면제’ ‘전용 프로그램 이용 시 특별 이벤트 제공’ 등의 문구로 이용자에게 추가 프로그램 설치를 유도합니다. 업비트, 빗썸, 코인원, 코빗, 고팍스 등 국내 원화거래소는 별도의 PC용 프로그램을 제공하지 않죠. 즉 PC 프로그램 설치를 요구하는 사이트는 피싱 사이트이거나 악성 프로그램 유포를 위한 사기일 가능성이 매우 높습니다. 그들이 요구하는 프로그램을 설치하면 로그인 정보나 인증 정보 등 중요한 개인정보는 물론 이용자 금융 자산까지 탈취될 수 있습니다.

가짜 앱을 통한 사기는 단순히 실제 서비스의 이름과 디자인을 복제하는 수준을 넘어섰습니다. 초기에는 실제 서비스처럼 작동하다가 이후 업데이트를 통해 악성 소프트웨어를 삽입하는 방식으로 이용자 개인정보와 자산을 탈취합니다. 빗썸에 따르면 해외 디지털자산 앱과 유사한 가짜 앱을 설치하도록 유도한 뒤 지갑 복구용 암호를 요구해 자산을 탈취한 사례가 있습니다. 또한 국내 공공기관 공식 앱을 그대로 복제한 가짜 앱의 설치를 유도한 뒤 이용 권한을 요구하면서 개인정보를 빼내거나 단말기를 원격 조작한 사례도 나왔습니다.

피해 방지 위해선 ‘공식 채널 확인·권한 점검’

거래소 사칭 사이트나 가짜 앱으로 인한 피해를 방지하려면 어떻게 해야 할까요? 우선 거래소 사칭 사이트를 피하려면 SNS 광고를 통한 접속은 지양하고 공식 홈페이지를 직접 방문하는 것이 좋습니다. 또한 PC 프로그램 설치를 요구하면 즉시 이용을 중단해야 하며, 출처가 불분명한 실행파일(APK, EXE 등)은 내려받지 말아야 합니다. 수수료 무료, 원금 보장 등 과도한 혜택을 전면에 내세우는 광고도 주의해야 합니다.

가짜 앱을 피하려면 필요한 앱을 검색창이나 광고가 아닌 공식 홈페이지에 안내된 URL이나 QR코드로 설치하는 것이 좋습니다. 또한 개발사명이 공식 회사명과 일치하는지 확인해야 합니다. 거래와 무관한 연락처나 문자, 통화 권한을 요구하거나 설치 후 배터리 및 데이터 사용량이 급증하면 감염을 의심해야 합니다.

이미 가짜 앱을 설치했거나 실행했다면 추가 데이터 유출이나 원격 제어 가능성을 막기 위해 와이파이, 무선 통신 등 모든 네트워크 연결을 즉시 해제해야 합니다. 이후 다른 안전한 기기를 이용해 비밀번호 변경, 2차 인증(2FA) 재설정, API 키 삭제, 출금 주소 점검 등의 조취를 취해야 합니다. 만약 이상 거래 내역이 발견되면 거래소에 연락해 계정을 동결하고, 피해 유형에 따라 해킹 및 악성코드는 한국인터넷진흥원(KISA) 118상담센터, 사이버 사기 및 보이스피싱은 경찰청(112, 182), 금융 관련 사기는 금융감독원(1332)에 신고합니다.

거래소 사칭 사이트나 가짜 앱을 이용한 사기가 점점 정교해지고 있습니다. 조금만 방심하면 누구든 피해자가 될 수 있죠. 이로 인한 피해를 방지하기 위해서는 공식 홈페이지나 공식 앱 마켓 외의 경로로 안내되는 링크는 일단 의심하고, 앱 설치 전 출처와 개발사명을 꼼꼼히 확인해야 합니다. PC 프로그램 설치를 유도하거나 지갑 복구용 시드 문구, 개인정보를 요구하는 경우 즉시 이용을 중단해야 합니다. 이런 기본적인 원칙만 지켜도 개인정보와 자산 탈취로 이어지는 피해를 상당 부분 예방할 수 있을 것입니다.

IT동아 한만혁 기자 (mh@itdonga.com)