택배문자 첨부링크 무심코 열면 신용카드 도용 위험

이스트시큐리티 "국내 개인 신용카드 노린 스미싱 다수 발견"

택배 운송장 반송알림 문자를 사칭해 국내 개인의 신용카드 번호를 훔치려 한 사례가 확인됐다. 악성 링크를 담은 스마트폰 문자 형태로 소액결제나 모바일뱅킹 앱 이용자를 노렸던 '스미싱' 공격의 대상이 확대된 모습이다.

6일 이스트시큐리티(대표 정상원)는 국내 개인 신용카드 정보를 노린 스미싱 공격이 다수 발견됐으며, 이 공격은 스마트폰에 저장된 공인인증서와 신용카드 정보 탈취를 노리고 있어 스마트금융서비스 사용자의 주의가 필요하다고 밝혔다.

실제 유포된 악성링크 첨부(스미싱) 문자.

공격은 불특정 다수에 악성 링크(URL)를 포함한 SMS 문자메시지를 보내는 전형적인 스미싱 형태로 시작한다. 확인된 사례는 ‘[Web발신][XXXX통운]운송장번호[301*21]주소지 미확인..반송처리주소확인’이라는 문자를 보내 사용자가 첨부된 링크를 열게 유도했다.

링크를 열면 물품 반송 조회 서비스로 위장한 웹사이트가 나온다. 웹사이트는 휴대전화번호 입력을 요구한다. 이를 입력하면 사용자 스마트폰에 금융정보 탈취 앱(APK) 설치를 유도한다. 앱은 특정 택배 업체의 정상 앱을 가장했다.

안드로이드 스마트폰 사용자의 신용카드 정보를 노린 스미싱 공격 흐름도

사용자가 이를 설치하면 신용카드 명세서 조회 페이지로 위장한 피싱사이트에 접속된다. 사이트는 ‘XX소프트에서 결제하신 내역 확인바랍니다’라는 안내 메시지와 함께 가짜 명세서를 보이며 신용카드번호, 카드 유효기간, CVC 번호, 비밀번호, 공인인증서 비밀번호 입력을 요구한다.

김준섭 이스트시큐리티 부사장은 "설 명절이 가까워짐에 따라 택배 배송 조회 등 물류 서비스를 가장한 스미싱 공격이 증가할 것으로 예상돼 사용자의 더욱 세심한 주의가 요구된다"며 "평상시에도 금융 서비스 사용 전 정상 서비스인지 살피는 습관을 들여야 한다"고 말했다.

이스트시큐리티 시큐리티대응센터는 스마트폰 보안 앱 ‘알약 안드로이드’를 통해 유포된 악성 앱을 ▲Android.Trojan.Fanebank.BF, ▲Android.Trojan.SMSSend.XS 등의 탐지명으로 진단 및 치료하고 있다.