"보안 앱 위장 정보 탈취"...카스퍼스키, 트로이목마 ‘루나스파이' 발견

6,7월 두달간 안드로이드 기기서 3000건 이상 공격 탐지

글로벌 사이버 보안 전문기업 카스퍼스키(한국지사장 이효은)는 18일 러시아내 안드로이드 기기 사용자를 대상으로 하는 새로운 스파이웨어 트로이목마를 발견했다고 밝혔다. 카스퍼스키 연구진이 ‘루나스파이(LunaSpy)’라고 명명한 이 악성코드는, 위협 행위자가 사회공학적 기법과 결합해 사용자의 금전을 탈취하기 위한 목적으로 유포된다.

금융서비스 관련 보안 앱으로 위장해 침투한 뒤 카메라·마이크 녹화, 위치 추적, 화면 캡처, 메시지·브라우저 활동 모니터링, 비밀번호·2단계 인증 코드·사진·통화 기록·연락처·SMS 등 다양한 정보를 탈취해 공격자에게 전송하는 다기능 스파이웨어 트로이목마다. 이러한 추정은 트로이목마의 기능과 설치 시 사용되는 명목 등 여러 기술적 지표에 의해 뒷받침된다고 회사는 설명했다.

카스퍼스키는 2025년 여름 동안 3000건 이상의 '루나스파이' 관련 공격을 탐지했다. 이러한 분석은 카스퍼스키가 지난 2025년 6월과 7월 두 달간 안드로이드 기기를 탐지한 결과를 기반으로 했다.

공격자들은 메시징 앱을 통해 '루나스파이'를 유포하며, 금융 서비스 관련 보안 솔루션으로 위장했다. 이 악성코드는 광범위한 기능을 갖추고 있다. 피해자의 주변 환경을 카메라와 마이크를 통해 기록할 수 있으며, 위치정보 추적, 화면 활동 캡처, 메시징 앱과 브라우저 내 행동 모니터링, 비밀번호 탈취 등이 가능하다. 또 '루나스파이'는 감염된 스마트폰 내 통화 기록 및 연락처 목록에 접근할 수 있으며, SMS 메시지 읽기 기능도 갖추고 있다. 수집된 모든 데이터는 공격자에게 직접 전송된다.

 카스퍼스키 드미트리 칼리닌 사이버보안 전문가는 “루나스파이 공격자들은 이를 안티바이러스 앱으로 가장하도록 설계했다. 설치 후, 피해자는 실제 위협이 존재하지 않음에도 불구하고 스마트폰에서 사이버 위협 알림을 받게 된다. 이러한 속임수는 사용자가 장치를 보호한다는 명목으로 악성코드를 실행하기 위한 필수 권한을 부여하도록 유도한다"면서 "악성코드 제작자들은 지속적으로 기능을 강화하고 있으며, 최신 버전은 브라우저와 메시징 앱에서 비밀번호, 이중 인증 코드를 가로챌 수 있다. 또한 전화 갤러리에서 사진을 탈취할 수 있는 코드 조각도 발견했지만, 기술 분석 결과 아직 이 기능은 실제로 활용되지 않은 것으로 나타났다”고 설명했다.

카스퍼스키 이효은 한국지사장은 “대한민국은 글로벌 디지털 경제가 고도로 발달한 지역으로서, 모바일 기기가 일상생활과 기업 운영에 깊게 통합되어 활용되고 있다. 이는 모바일 단말기를 겨냥한 다양한 악성 공격의 기회를 제공하기도 한다"면서 "루나스파이와 같은 스파이웨어가 ‘보안 도구로 가장하여 사기를 저지르는’ 전술은 진화하는 사이버 위협 환경 속에서 한국 사용자의 디지털 보안에 잠재적 위협을 받고 있다. 카스퍼스키는 현지화된 기술 전문성을 활용해 사용자가 모바일 기술의 편리함을 누리면서도 안전하게 정보를 보호할 수 있는 견고한 디지털 방어선을 구축하는데 주력할 것"이라고 말했다.

한편 카스퍼스키는 루나스파이 및 유사한 트로이목마로부터의 보호를 위해, 다음과 같이 권장 사항을 제시했다. 첫째, 공인된 앱 스토어 및 개발자 공식 웹사이트 등 공식 출처에서만 플리케이션(application)을 다운로드 받을 것. 둘째, 스마트폰 운영체제(OS) 및 설치된 앱을 정기적으로 업데이트해 최신 보안 패치를 적용할 것. 셋째, 스마트폰을 포함한 기기에 안드로이드용 카스퍼스키(Kaspersky for Android)와 같은 신뢰할 수 있는 보안 솔루션을 설치하고 사용할 것 등이다.