[지디넷코리아]새로운 피싱 공격의 출현 빈도가 줄고 있다는 좋은 소식이 들려온다. 그러나 연구자들은 "현재 공격자들이 온라인 사기를 위해 고난도 기술을 사용해서 좀더 복잡한 덫을 만들고 있기 때문"이라고 분석했다.

온라인 사기를 감시하는 피싱 방지 실무 그룹(APWG)은 2005년 1월과 2월 사이에 발견된 피싱(phishing) 사기 이메일 증가 추세가 2%에 그쳤다고 지난 주 발표했다.

이 수치는 2004년 7월 이후 매달 평균 26%씩 증가해온 것에 비하면 상당히 감소한 듯하다. 하지만 전문가들은 1~2월 사이에 피싱 사기 공격이 훨씬 더 복잡해졌다고 말한다.

피싱 사기 공격이 어떤 형태를 취하든 피싱 사기 수법, 예를 들면 파밍, XSS, DNS 포이즈닝 등은 날이 갈수록 지능화하고 있다.

MS의 변호사 아론 콘블럼은 "피싱 사기꾼들은 도둑이다. 이 신종 도둑들은 실제 세계에서와 마찬가지로 온라인에서도 피해자의 개인 금융 정보와 여타 데이터를 빼내려고 갖은 방법을 다 쓰고 있다"라고 말했다.

MS는 최근 피싱 웹 사이트를 운영한 혐의자들을 대상으로 117개의 소장을 제출했다. 콘블럼은 "MS가 온라인 범죄와의 전쟁을 선포했다는 의미"라고 말했다.

하지만 콘블럼은 과거 경험에 비춰볼 때 앞으로 일어날 피싱 사기가 엄청난 공포를 몰고 올지 모른다며 우려를 나타냈다.

콘블럼은 "피싱 기술을 이용해서 소비자를 속일 수 있는 새로운 방법이 계속 나타날 것"이라며 "이런 기술들이 점점 더 정교해지는 것은 어찌 보면 지극히 당연한 결과"라고 말했다.

신종 속임수에, 더 효과적인 잔꾀로 무장
피싱 사기가 맨 먼저 노린 것은 별 의심 없이 받아들이는 고객이었다. 사기꾼들은 먼저 은행, 투자 회사, 이베이 같은 전자상거래 회사가 운영하는 웹 사이트에서 보낸 것처럼 보이는 스팸 메일을 발송했다.

사실 이메일에 들어있는 것은 가짜 웹 페이지로, 메일을 받아본 사람들이 계정 로그인 데이터나 도용 가능성이 있는 기타 민감한 개인 정보를 입력하도록 만들어져 있다.

최근에는 공격 수법이 점점 더 정교해져서 진짜 페이지와 거의 똑같이 보이도록 만들어진 사기성 웹 페이지와 이메일을 사용하고 있다.

게다가 인스턴트 메신저 기반 공격이라는 새로운 위협이 등장했다. 합법적 웹 페이지로 가장하기 위해 자바 스크립트 기술을 사용하고, 정보를 빼내기 위해 사용자의 친구로 위장하는 전략을 구사하고 있다.

사회 공학 기술을 이용한 수법도 발전해 피해자의 이름이나 주소 혹은 사회보장번호를 요구하지 않는 공격도 있다.

이 공격의 경우 그 대신 세일즈포스닷컴의 데이터베이스에 저장된 고객 회사 정보를 훔치는 것을 목표로 했다.

이 수법은 세일즈포스 고객들에게 이메일을 보내면서 시작된다. 이메일에는 웹 페이지에 로그인해 계정 이름과 암호를 입력하면 무료로 사용해 볼 수 있는 신규 애플리케이션 기능을 제공하겠다는 내용이 들어있다.

고객이 무료라는 말에 속아 로그인 정보를 입력하면 범죄자들은 세일즈포스의 아주 귀중한 정보를 빼갈 수 있다. 이렇게 유출된 정보는 다양한 범죄에 이용될 가능성이 높다. 예를 들면 고객 정보를 팔거나 온라인 산업 스파이 행위를 할 수 있다.

APWG의 회장 데이브 제번스는 "단순히 회사 자료를 훔쳐가는 세일즈포스닷컴 공격뿐 아니라 기업 인트라넷 로그온 정보를 빼내려는 시도도 포착됐다"라고 말했다.

제번스는 "이런 정보가 악용돼 회사 네트워크를 통해 침입의 빌미를 제공하는 보안 구멍이 생기는 것"이라며 "특히 범죄자들에게는 이런 정보가 귀중할 수밖에 없다. 노출되면 곤란한 사업성 있는 아이템을 갖고 있을 때 피싱 사기를 당하면 상당히 당혹스러울 수밖에 없다"라고 말했다.

세일즈포스는 피싱 공격에 대해 언급을 피했으나 보안 전문가들은 이 수법이 온라인 범죄자들이 목표 대상 선정에 얼마나 정통해 있는지 보여주는 좋은 예라고 지적하고 있다.

사이버 범죄 전문가 제인 히치콕은 귀중한 정보를 가진 특정 부류의 사람들을 대상으로 하는 공격이 증가할 것이라고 전망했다. 제인은 온라인 사기에 대해 법 집행 기관과 회사 경영진을 대상으로 자문을 하고 있고 '인터넷 범죄와 비행: 온라인에서 당신을 노리는 스패머, 사기꾼, 스토커 제압하기'라는 책을 쓰기도 했다.

히치콕은 "웹 상의 누군가에게 무작위로 피싱 이메일을 보내는 것도 다소 효과가 있었다. 하지만 좀더 대상에 맞춰 공격을 할 때 발생할 수 있는 피해는 흔히 상상하는 정도를 넘어선다"며 "예를 들어 당신이 어떤 특정 집단의 사람들이 어떻게 행동하는지 알고 있거나, 혹은 이 집단의 사람들이 아는 경로를 통해 이메일로 정보를 얻는 것에 익숙하다는 사실을 알고 있다면, 그 집단 사람들의 이러한 습성을 이용해서 그들에게 뭔가를 얻어낼 수 있을 확률이 크다"라고 말했다.

히치콕은 가짜 링크를 전파할 때 이메일보다 인스턴트 메시징 서비스를 이용하는 신종 피싱 사기 수법이 쓰이기 시작했다며, 지난 3월 야후 메신저를 통해 시작된 공격을 예로 들었다. 피싱 메시지는 보통 주소록에 있는 메신저 사용자에게 전달되는 것으로 보이는데, 특히 10대들이 이런 미끼에 유혹될 가능성이 크다고 밝혔다.

히치콕은 "피싱 메시지는 친구 목록에 있는 사람 명의로 전달된다. 이렇다 보니 그간 한 번도 메일을 주고받은 적이 없는 사람이 보낸 이메일과는 차원이 다르고 위험도도 크다"라고 말했다.

히치콕은 "연구에 따르면 10대들은 인터넷에서 빠르게 반응하지만 조심성이 떨어져서 성인에 비해 별 의심 없이 자신의 정보를 다른 사람에게 공개하고 있다. 그 결과 메신저를 이용해 벌어지는 피싱 사기로 자신의 정보가 유출돼 사회로 첫 발을 내딛기도 전에 개인 신용에 손상을 입게 될 수 있다"라고 말했다.

오래 전에 공식화된 다른 형태의 사기 수법이 있다. 바로 '진짜 확실하다'며 해보라고 권하는 이메일 메시지다. 진짜라고 말하는 것과는 달리 합법적인 웹 사이트 주소인 척 다른 URL을 숨겨두고 있다.

안티스팸 기술 전문 업체 메일-필터스는 온라인 경매 사이트 이베이의 실제 URL과 함께 가짜 이베이 웹 페이지 URL을 숨겨두고 피싱 사기에 이용하려는 시도를 감지했다.

이 메시지는 이베이 등 여타 회사에서 보낸 피싱 사기 수법 주의에 관한 공지 메일인 척 속임수를 쓴다. 이메일에는 이베이는 절대로 개인 정보를 요청하지 않는다고 써놓고 안심시킨 후 좀더 자세한 사항을 보려면 회사 사이트에 로그온하도록 유도한다.

메일-필터스의 수석 부사장 댄 애시비는 합법적 사이트를 가장해 사기 시도를 숨겨놓고는 사기가 아니라고 화려한 문체로 안심시킨 후 피싱 사기를 하는 사례가 늘고 있다고 말했다.

애시비는 "이메일에 들어있는 링크 중 피싱 사기에 사용되는 링크를 제외하고, 다른 모든 링크는 실제 이베이 페이지로 연결된다. 심지어 피싱 사기에 대처하는 법에 대해 자문하는 페이지로도 연결돼 있다. 하지만 이런 사기꾼들이 원하는 것은 이렇게 판단력을 흐려놓고 사기성 링크를 클릭해 로그온하게 만드는 것이다. 그리고 결과는 똑같다. 피싱 사기자들은 더 영리해지고 있으며 진짜 이메일인지, 고도의 피싱 수법을 이용한 것인지 구분하는 것이 점점 더 어려워지고 있다"라고 말했다.

첨단 기술로 포장된 피싱 사기
온라인 범죄에 좀더 진보된 과학 기술적 수법도 적용되기 시작했다. 더 고도화된 피싱 방법에는 상대적으로 단순한 것(사용자를 피싱 사기 사이트로 유도하기 위해 실제 회사가 관리하고 있지 않는 URL을 사용하는 방식)부터 복잡한 것(합법적 사이트 위에 내용을 덧붙이기 위해 자바 스크립트 코드를 사용하는 것, XSS라고 알려져 있다)까지 다양한 방법이 있다.

파밍이라고 알려진 공격 형태를 보면 온라인 도둑들은 DNS 포이즈닝(poisoning)이라는 기법을 이용해 합법적 사이트에서 사기 사이트로 사용자를 유도한다. 스캐머들은 DNS 서버를 목표 대상으로 삼아 자신들의 합법적인 웹 사이트의 IP 주소를 사기성 사이트의 IP 주소로 바꿔치기한다.

‘뛰는 법 위에 나는 사기술이 있다’는 걸 보여주듯 새로운 형태의 피싱 사기가 접수되면 연이어 다른 변종 사기 수법이 나타난다.

예를 들어 각종 매체들이 XSS에 대해 심도있게 다루기 시작하고 인터넷 보안 회사 넷크래프트 연구원들이 웹 페이지의 내부 프레임 렌더링 위에다가 가짜 페이지를 덧쓰는 사기 기법을 밝혀내자, 공격자들은 XSS 피해를 입지 않으려고 자바스크립트를 브라우저에서 꺼놓은 사용자들을 희생양으로 삼고 있다.

넷크래프트의 인터넷 서비스 개발자인 폴 뮤톤에 따르면 상황 대처가 이렇게 빠른 것은 더 많은 전문 범죄자들과 기술자들이 피싱 사기에 관여하고 있다는 것을 보여주는 증거라고 말했다.

뮤톤은 "지난 6개월 동안 더 전문적인 수법이 사용되고 있다"며 "공격에서 XSS 같은 것들, 그리고 브라우저의 취약성을 이용하는 등 상당히 영리한 속임수가 많아지고 있다"라고 말했다.

뮤톤은 "사용자를 끌어들이는 사기성 사이트는 기술적으로 XSS만큼이나 전문화되진 않았지만 이런 사이트들은 만들기도 쉽고 운영하기도 쉬워서 이런 수법을 이용해서 도둑질을 하려는 사례가 많다"라고 말했다.

현재까지 해결책은 기업과 고객에게 문제에 관해 인식시켜는 것뿐이라고 APWG는 믿고 있다. APWG는 공격 대상이 되고 있는 회사들, 법 집행 기관, 정부 규제 기관들이 서로 긴밀한 협조를 통해 온라인 범죄에 맞설 수 있는 기반을 곧 마련하기를 희망했다.

제번스는 "빠르게 늘어가는 공격에 대한 정보(공격이 어디서 시작됐는지, 어떤 데이터와 상호 관련성이 있는지)를 상호 공유해서 해당 사이트를 제압할 수 있도록 업계의 긴밀한 협조를 필요로 하고 있다"며 "법 집행 기관과 더 많은 대화가 필요하다. 법 집행 기관들은 이런 문제를 어떻게 다뤄야 할지를 아직 모르고 있다. 현 상태에서는 실세계에서 벌어지는 사기에만 초점을 맞추고 있다. 온라인 범죄를 추적하는 것은 실세계에서 범죄를 추적하는 것과는 상당히 다르다. 갑론을박하고 있어봤자 온라인에서 일어나는 범죄에는 실세계처럼 장물로 가득찬 보관 창고가 없다"라고 말했다.

제번은 "이러한 협력 체제가 없는 상황에서 심지어 온라인 범죄에 이용될 소지가 있는 것들이 업계 전반에 그대로 방치된다면, 피싱 사기가 고개를 쳐들기 시작하는 것은 시간 문제"라고 덧붙였다.

그는 이어 "당장은 끝이 보이지 않는다고 말하는 것이 맞을 것이다. 피싱은 더 심각해질 것은 거의 확실하다"고 강조했다. @

천태만상 피싱 사기꾼들

범죄자들은 온라인 고객들의 개인 정보를 빼내려고 다양한 전략을 구사한다. 이메일 피싱 합법적인 곳에서 온 것처럼 위장한 사기 이메일을 보내 합법적인 웹 사이트로 가장한 사기 웹 사이트 주소를 클릭하도록 꼬드긴다. 파밍(Pharming) 온라인 도둑들은 주로 ‘DNS 포이즈닝’이라는 기술을 사용해서 합법적 사이트에서 범죄에 이용할 사이트로 사용자를 유도한다. 도둑들은 전화번호부의 인명록 같은 역할을 하는 인터넷의 도메인 네임 서버를 목표 대상으로 삼고 웹 사이트의 IP 주소를 바꿔치기한다. 메신저 피싱 사기꾼들은 가짜 웹 사이트 링크를 담은 메신저 메시지를 뿌린다. 메신저 친구 목록에 있는 사람이 보낸 것처럼 메시지가 위장돼 있다. XSS(Cross-site scripting) 기술에 능한 범죄자들은 자바 스크립트를 사용해서 합법적 페이지(대개가 은행 웹 사이트들)의 내용에 자신들이 원하는 내용을 덮어쓴다. 고객의 암호를 훔쳐내기 위해 고객에게 가짜 로그인 화면을 보여주는 것이 일반적이다. URL 하이재킹 범죄자들은 실제 회사의 URL 중 보호되지 않는 URL을 찾아내서 사용자를 피싱 사기 사이트로 유도하는 데 이용하고 있다.