해킹 성수기 '추석'…피해 예방하려면?

정부·보안업계, 추석 보안 수칙 안내

추석 연휴를 앞두고 정부와 정보보안 업계는 명절 연휴 동안 나타나는 스미싱과 보이스피싱, 해킹 피해 사례를 소개하고 유의해야 할 보안 수칙을 안내했다.  

■"선물 배송 문자 눌렀더니 멋대로 결제"…수상하면 클릭 말아야

정부에 따르면 문자결제 사기는 최근 3년간 명절 기간인 1, 2, 9월 발생하는 비중이 전체 건수의 42.2%에 달했다. 특히 작년은 50%를 넘어서는 등 범죄 시도가 빈번해지고 있다.

문자결제사기는 택배 사칭 유형이 94.7%를 차지한다. 명절 기간 동안 선물 배송이 증가하는 특징을 악용해 이런 유형의 사기가 급증한 것으로 분석된다. 그 외 코로나19 백신접종 예약, 정기 건강검진 예약, 교통위반 범칙금 조회 등 공공 서비스인 것처럼 위장한 문자결제사기 유형도 유행하고 있다. 

문자결제 사기 문자 사례

결제뿐 아니라 개인 금융정보 탈취를 위한 악성 앱, 원격제어 앱 설치 등을 유도하는 새로운 유형도 등장 중이며, 메신저 앱을 통한 피싱 사례도 증가하고 있다.

정부는 이런 범죄 피해를 예방하기 위해 출처가 불명확한 인터넷주소(URL)나 전화번호를 클릭하지 말고, 출처를 알 수 없는 앱이 설치되지 않도록 스마트폰 보안 설정을 강화할 것을 당부했다. 모바일 백신을 설치하고, 개인·금융정보는 절대 공유하지 말라고 강조했다.

국내 정보보안 기업 안랩 관계자는 "사용자가 무심코 악성 앱을 설치하면 사용자의 휴대폰 속 정보가 유출될 뿐만 아니라, 경찰 또는 금융기관의 정상번호로 통화를 시도해도 이를 가로채 공격자에게 연결해 신고나 확인을 가로막고 보이스피싱 사기를 진행한다"며 "부모님에게 ‘정상 금융 서비스에선 문자와 전화로 앱 설치를 절대로 요구하지 않는다’는 점을 알려드려야 한다"고 조언했다.

이글루코퍼레이션은 문자 기반 사이버공격에 대해 "최근에는 정상 사이트와 유사한 URL을 사용하는 공격도 늘어나고 있어 더욱 각별한 주의가 요구된다"며 "출처가 불분명한 문자 속 링크를 클릭해 앱을 설치했을 경우 앱을 수동 삭제하고, 기존 공인인증서 및 보안카드는 폐기하고 재발급받기를 권장한다"고 했다.

스마트폰 보안 수칙(출처=과학기술정보통신부)

■"휴대폰 분실했다"…보이스피싱 먼저 의심하세요

안랩은 명절이 다가오면 자녀의 연락을 기다리는 장노년층이 많은 점을 노려 공격자가 자녀를 사칭해 ‘휴대폰을 분실했다’, ‘액정이 파손됐다’는 다급한 내용의 문자나 메신저를 보낸다고 지적했다. 자연스러운 말투를 써서 피해자자가 문화상품권 구매 후 일련번호 전송, 신분증 사진 요구, 정상 앱으로 위장한 악성 앱 설치 등을 하도록 유도하는 수법이다. 

문자결제사기와 마찬가지로 악성 앱을 설치하면 휴대폰 안에 저장된 각종 정보가 탈취되며, 이를 악용해 금전적 손실을 입히거나 추가 보이스피싱 공격을 하는 등 2차 피해도 나타날 수 있다.

부모님들이 자녀나 가족 구성원의 긴박한 입금 요청 등의 문자를 받으면 정상적인 판단이 어려울 수 있어, 이런 경우 반드시 메시지를 보낸 본인에게 직접 전화해 사실 관계를 확인하라고 안랩은 조언했다. 악성 앱 설치에 대비해 부모님의 스마트폰에 모바일 백신을 미리 설치하는 것도 피해 예방책으로 언급했다.

안랩 '부모님께 알려드려야 할 추석 3대 보안수칙'

■콘텐츠 불법 다운로드, 악성코드 감염 지름길

최근 장노년층이 온라인 검색, 유튜브 영상 시청 등 PC를 이용하는 인터넷 활용이 늘고 있다. 안랩은 공격자가 중장년층이 관심 있어 하는 검색 키워드를 악용해 악성코드 파일을 유포할 수 있다며 주의를 촉구했다.

실제로 작년 안랩이 ‘블루크랩' 랜섬웨어 동향을 분석한 결과, 공격자는 장노년층이 즐겨 듣는 ‘트로트 메들리.mp3’를 비롯해 유명 트로트 가수, 노래 이름을 이용한 가짜 사이트를 만들어 랜섬웨어를 유포하기도 했다

최근에는 유튜브에 각종 파일 다운로드 방법을 안내하는 영상을 올린 후 상세설명 란에 악성코드 다운로드 페이지로 연결되는 악성 URL을 포함하는 방식의 공격도 발견되고 있어, 유튜브 사용이 잦은 장노년층이 더욱 조심해야 한다고 강조했다. 

부모님에게 음악, 영화 등 콘텐츠는 반드시 공식 경로에서 내려받아야 함을 안내하고, 백신을 최신 버전으로 업데이트하고 실시간 감시 기능을 실행해 피해를 예방할 것을 권장했다. 

이글루코퍼레이션은 최근 웹하드를 통해 게임 설치 파일로 위장한 원격 접근 트로이목마(RAT) 유형 악성코드가 유포됐다며, 콘텐츠를 파일 공유 프로그램, 웹하드 등 비공식 채널을 통해 내려받을 경우 악성 행위에 노출될 가능성이 높아진다고 지적했다.

경찰청은 추석 연휴 기간 전후로 피해를 입었을 경우 '사이버범죄 신고시스템(ECRM)'을 이용해 신고를 접수해달라고 했다. 피해가 의심되는 경우 국번없이 118 상담센터에 신고하면 24시간 무료로 상담 받을 수 있다고 안내했다.