파리바게뜨 위장 '소액결제 피싱' 주의

유명 제빵업체를 위장한 피싱 문자가 소액결제까지 유도하고 있어 주의가 요구된다. 기존 주민등록번호, 휴대폰 번호 등 개인정보를 유출시키는 것으로 그쳤던 피싱 사기가 스마트폰으로 확대되고 있는 것에 더해 생활에 밀접한 영역까지 침범하고 있는 것이다.

18일 국내 보안업계에 따르면 이동통신사 요금 청구서, 요금과다청구 환급금 조회 등의 단문자메시지(SMS)로 위장한 피싱 사기가 등장한데 이어, 제빵업체를 위장한 사기 수법까지 나와 실제 피해사례가 발생했다.

현재 파리바게뜨는 자사 홈페이지에 피싱 SMS를 주의하라는 팝업창을 띄우고 있다. 이 회사를 사칭한 피싱 사기가 나오고 있기 때문이다.

피싱용 SMS는 파리바게뜨 애플리케이션(앱)이 새로 출시됐다며 다운 받으면 3만원 쿠폰, 무료 케익을 주겠다는 내용을 담고 있다. SMS에 함께 첨부된 단축 URL 주소를 누르면 다른 주소로 접속된 뒤 악성프로그램이 설치된다. 그 뒤에 해커들은 사용자들 몰래 소액결제를 유도하고 있는 것으로 나타났다.

■휴대폰 소액결제 서비스 사용 주의해야

스마트폰으로 소액결제를 하기 위해서는 승인번호가 필요하다. 주민등록번호 등의 개인정보를 소액 결제창에 입력한 뒤 승인번호를 신청하면 스마트폰에 승인번호 정보가 담긴 SMS가 온다. 이 승인번호를 결제창에 입력해야한 실제로 결제가 완료된다.

해커는 이러한 결제시스템을 악용해 기존에 도용한 다른 사람의 휴대폰 번호로 승인번호를 받은 뒤 이를 스마트폰에 몰래 설치한 악성프로그램을 통해 외부의 서버로 전송해 결제를 완료하는 수법이 사용됐다. 이 과정에서 해커는 정작 당사자의 휴대폰에는 어떤 문자메시지도 전송되지 않은 것처럼 위장했다.

잉카인터넷 ISARC 대응팀 문종현 팀장은 스마트청구서, e청구서나 환급금을 돌려받으라는 내용의 문자메시지를 이용한 사기수법이 꾸준히 발견되고 있다며 사용자들이 소액결제 내역을 면밀히 확인하거나, 아예 소액결제서비스 자체를 사용하지 않도록 이동통신사에 요청하는 것이 사기를 방지할 수 있는 대책이라고 밝혔다.

이밖에 단축 URL 형태로 온 링크를 함부로 클릭하지 않으며, 클릭했을 때 무슨 앱을 설치해야한다는 정황이 포착되면 피싱사기를 의심해봐야한다.

더 큰 문제는 이같은 공격을 일으킨 범인들이 실제로 주민등록번호, 휴대폰 번호 등의 개인정보를 이미 확보한 상태에서 범행을 저질렀다는 점이다. 기존에 확보한 명단을 바탕으로 파리바게뜨 사칭 문자 등을 보내 사기의 성공률을 높이고 있는 것이다.