진화하는 스미싱, 탐지 피하는 '캡챠코드'도 장착

스미싱 공격에 실제 사용자가 맞는지를 확인하기 위해 캡챠코드까지 동원되기 시작했다.

순천향대 SCH사이버보안연구센터는 최근 스미싱을 통한 악성코드 방식을 분석한 결과 공격자들이 이동통신사, 보안회사들이 사용하고 있는 탐지를 우회하기 위해 이 같은 방식을 악용하기 시작했다고 23일 밝혔다.

스미싱은 스마트폰 문자메시지에 첨부된 URL주소 클릭을 유도해 악성코드를 유포하는 수법을 써왔다. 이통사, 보안회사들은 이를 탐지하기 위해 URL주소에 접속해 직접 악성코드를 다운로드 받아 분석하는 방법으로 대응해 왔다.

공격자들은 이런 방식을 우회하기 위해 실제 사용자가 맞는 여부를 판단하기 위한 방법으로 캡챠코드를 사용하기 시작한 것이다.

캡챠코드(CAPTCHA CODE)는 본래 자동회원가입을 통해 스팸을 유포하는 행위를 막기 위해 고안된 보안 시스템이다. 네이버, 다음 등 포털사이트에 회원 가입을 위해 기본적인 정보와 함께 사람만 알아볼 수 있는 임의로 생성되는 문자, 숫자를 직접 입력하도록 해 자동화된 툴(봇)을 통한 자동회원가입 및 스팸 유포를 방지한다.

스미싱 사기범들은 이 방법을 역이용해 자신들이 보낸 URL주소를 클릭하는 것이 실제 사용자인지 확인하는 것이다.

염흥열 순천향대 SCH 사이버보안연구센터장은 이러한 유포 방식 변화는 공격자가 스미싱 악성코드 유포 성공률을 극대화하기 위한 시도로 보인다며 앞으로도 더 고도화된 공격방식에 대한 지속적인 연구와 추적이 필요하다고 강조했다.