피해자가 직접 전화하게 만드는 피싱 공격 사례

가끔 자신이 사지 않은 물건들이 결제되었다면서 고객 센터 번호와 함께 스마트폰 문자로 오는 경우가 있죠. 이런 경우도 피싱 사례 중에 하나인데 피해자가 직접 전화를 걸게 만들어서 카드 번호와 비밀번호, CVC 등을 불러달라고 합니다. 이전까지 말씀드렸던 피싱 사례는 대부분 유명 사이트의 로그인 페이지를 똑같이 흉내내서 메일을 보내면, 피해자가 피싱 사이트에 접속해서 아이디, 비밀번호를 입력하여 해당 정보가 해커의 서버로 전송되는 케이스였는데요. 이제는 사람들이 해당 메일이 피싱인지 아닌지 구분하는 방법도 어느 정도 알고 있고, 너무 흔해졌기에 잘 속지 않자 피해자가 직접 전화하도록 방법을 바꾼 것으로 보입니다.

​

해외에서는 지난달부터 아마존의 주문 알림 페이지를 똑같이 흉내낸 피싱이 유행하고 있다고 합니다. 해커가 피해자들에게 비싼 금액을 결제했다는 주문 확인서를 메일로 보내면, 당연히 그런 주문을 한 적이 없는 피해자는 메일을 확인하고 링크를 누르게 될텐데요. 그러면 해당 링크에 있는 고객 센터 번호로 전화를 하게 되고, 센터 직원을 가장한 범죄자가 주문을 취소한다면서 피해자에게 카드 번호와 비밀번호 등을 요구해서 알려주면 해커가 그 정보를 바탕으로 추가 공격을 이어가게 되겠죠.

​

사실 돈과 관련된 것이라면 평소보다 좀 더 신중해야 함에도 불구하고, 단지 결제가 되었다는 사실에 놀라서 급하게 대응하는 경우가 많아지는데요. 해커가 이러한 약점을 파고든 것이죠. 이런 피싱 사례는 어떻게 보면 이메일 피싱과 보이스피싱을 결합한 공격이라고도 말씀드릴 수 있을 것 같습니다. 아무래도 피해자 입장에서는 이런 메일을 받고 전화 연결이 되었다는 사실만으로도 의심하는 마음을 거두었을 가능성이 크고, 일단 결제한 것을 취소해야한다는 마음 때문에 거리낌없이 개인 정보를 알려주게 될겁니다.

 

진화하는 피싱, 이제는 피해자가 전화하게 만들기까지

이전까지 설명드렸던 이메일 피싱에서는 메일에 적힌 URL이 로그인 페이지로 연결된다면, 구글이나 네이버에서 직접 검색해서 공식 사이트와 차이점을 보라고 말씀드렸었는데요. 이번에 말씀드린 사례에서도 마찬가지로 공식 사이트에 접속해보는 것이 먼저입니다. 만약 인터파크에서 주문을 했다는 문자나 이메일이 오면, 실제 인터파크에 접속하고 주문 목록을 확인해보는거죠. 물론 자신이 인터파크에 아이디가 없다면 문자나 메일에 있는 번호가 아닌 공식 사이트의 고객 센터로 전화를 거셔야 합니다. 이 정도만 지키더라도 피싱으로 피해보는 일은 현저히 줄어들거라고 생각됩니다. 그럼 오늘은 여기까지 말씀드리고 줄이도록 하죠. 감사합니다.