"가짜 네이버 로그인 사이트 급증 주의"

네이버 계정 탈취를 위한 가짜 로그인 사이트 발견 빈도가 지난 몇달간 급증했다는 분석이 제기됐다. 계정탈취는 정상 사이트 로그인 페이지를 베껴 만든 가짜 웹페이지에 사용자가 입력한 개인정보를 훔치는 공격 유형을 가리킨다.

보안업체 빛스캔(대표 김경근)은 5일 '비트인' 서비스 업데이트 소식을 전하며 지난 몇년간 간헐적으로 발견되던 가짜 네이버 로그인 사이트가 최근 몇달새 상당히 많이 확인됐다며 주의를 당부했다. 공격자는 계정탈취를 통해 얻은 정보를 APT공격, 스팸메일, 광고성홍보 등에 활용할 수 있고 네이버페이같은 간편결제 서비스와 연계해 금전 피해도 유발할 수 있다는 설명이다.

2016년 하반기 들어 발생한 네이버 계정 탈취 시도 이력 [자료=빛스캔]

비트인은 빛스캔이 온라인 파밍 및 피싱 현황 정보를 수집해 방문자에게 감염 확인 정보를 제공하는 서비스다. 방문자가 자신의 공인IP를 입력해 정보를 조회하면 악성코드 감염에 노출된 이력이 있는지 여부를 알려 주는 웹사이트다. 이 회사는 PCDS 체계를 통해 국내외 410만여개 웹서비스를 상시 모니터링 중이며 2011년 이후 대규모 악성코드 유포 이력을 보유하고 있다. 수집된 이력을 악성코드 감염 차단용 보안장비에도 공급하고 있다.

네이버 계정 정보를 탈취하기 위해 만들어진 가짜 로그인 사이트[자료=빛스캔]

빛스캔은 비트인 서비스 업데이트를 통해 추적하는 공격 유형에 네이버 계정 탈취를 추가했다. 추가된 공격 유형 이력 분석 결과 지난 7월에는 5천여건, 8월에는 2천여건의 공격이 발생했다. 계정 탈취가 우려되는 이용자들은 자신의 PC나 스마트폰 IP 기준으로 유출 여부를 확인할 수 있다. 계정 탈취 공격 사례가 추적됐을 경우 해당 이용자의 아이디 앞 3자리를 확인할 수 있다.

빛스캔은 이전부터 기록을 추적해온 'PC정보유출 및 파밍 감염 IP 통계'를 근거로 파밍 악성코드 활동 역시 활발하다고 주장했다. 지난 1월부터 8월간 월별로 적게는 3만, 많게는 30만건에 달하는 피해가 확인되고 있다는 설명이다. 최근 연중 휴가기간에 접어들며 활동이 줄었으나 추석 이후 재개될 것이란 관측을 내놨다.

지난 2년간 추적된 월별 악성코드 감염 IP 활동 이력 건수 [자료=빛스캔]

회사측은 "기업이나 기관은 인터넷 접속시 쓰는 공인IP에 감염 기록이 있을 경우 알려지지 않은 악성코드가 내부망에 감염된 상태일 수 있다"며 "악성코드 감염 이후 정보 전달이나 기록을 모두 공인IP 기준으로 (추적)하고 있어 기업이나 기관의 내부 사설IP를 특정해 확인할 수 없지만, 감염이 있었음은 분명한 상황이므로 정보유출과 내부사고 발생 가능성에 높은 담당자 주의가 필요하다"고 당부했다.