최근 이용자가 많은 소셜미디어 서비스 및 빅테크 기업을 사칭한 메일로 개인정보를 빼내는 피싱 공격 사례가 발견돼 이용자들의 주의를 요한다.
안랩은 최근 페이스북 및 애플을 사칭해 이용자 정보를 탈취하려는 사례를 발견하고, 개인정보 보호를 위한 이용수칙을 제시했다.
공격수법은 페이스북 운영사인 ‘메타’의 관리자로 사칭한 페이스북 계정이 ‘페이스북 커뮤니티 정책 및 지침을 위반한 계정 정지 안내’라는 내용의 게시글을 올린 뒤, 계정 정지를 막으려면 24시간 이내에 특정 URL에 접속하라는 것이다.
애플지원팀을 사칭한 사례도 발견되고 있다. 공격자는 메일 발신자명을 ‘AppleSupport Team’으로 쓰고, “누군가가 사용자의 애플 계정으로 결제했으니, 본인이 구매한 것이 아니라면 지원부서에 문의하라”며 ‘애플 지원 액세스’ 링크를 삽입했다. 링크를 누르면 공식 웹사이트처럼 위장한 계정탈취 목적의 피싱 사이트로 접속된다.
이러한 사례들은 악성 URL에 접속해 계정정보를 입력하면 공격자에게 유출되는 방식의 피싱 수법이다. 공격자는 탈취한 계정정보로 2차 공격도 진행할 수 있어 사용자의 각별한 주의가 필요하다.
◇ 피싱 공격 막으려면 개인 보안 철저히
이에 안랩은 메타나 애플처럼 유명 기업을 사칭한 피싱 공격으로 인한 피해를 예방할 수 있는 보안수칙을 제시했다. ▲공식 사이트·이메일 주소와 비교 확인 ▲2단계 인증 기능 활용 ▲계정별 다른 비밀번호 설정 및 관리 등이다.
먼저 사용자는 수신한 메일 주소가 서비스를 제공하는 기업의 공식 이메일 주소와 일치하는지 확인해야 한다. 애플의 경우 ‘apple.com’, 페이스북의 경우 ‘facebookmail.com’ 등이다. 또한, 아이디와 비밀번호 등을 이용한 로그인 후 문자메시지 인증번호나 OTP 번호 등으로 다시 한 번 신원을 확인하는 기능인 ‘2단계 인증’을 사용한다. 이는 공격자가 아이디와 비밀번호를 통해 로그인을 시도하더라도 2차 확인 기능이 있어 피해를 예방할 수 있다. 마지막으로 하나의 계정이 탈취 당했을 경우를 대비해 계정별로 다른 비밀번호를 사용해야 한다. 패스워드를 일정한 주기마다 바꿔주는 것도 공격자가 계정정보를 악용할 가능성을 더욱 줄일 수 있다.