스미싱이란? 수법과 피해 사례, 그리고 대책

Markus Spiske

스마트폰의 SMS(단문메시지 서비스)를 악용한 '스미싱'이라는 공격이 증가하고 있습니다.

금융기관이나 EC사이트 등을 위장한 메시지를 SMS로 보내, 메시지에 포함된 URL을 클릭하면 신용카드의 번호나 개인정보 등을 입력하는 페이지가 표시됩니다. 속은 수신자는 카드번호나 개인정보 등을 입력하여, 도용되어 버리는 것입니다.

스미싱은 스마트폰 등 모바일 기기의 메시지 기능인 SMS를 이용하여 메시지의 수신자를 피싱 사이트로 유도하는 수법의 사이버 공격입니다.

최근에는 SNS 등 온라인 서비스 인증으로 SMS 인증을 사용하여 2단계인증을 도입하는 사례가 많아지고 있습니다. Twitter와 Facebook 등 SNS에 로그인할 때 스마트폰에 인증코드가 전송됩니다.

스미싱을 거는 공격자는 이러한 SNS 등을 행세하며 메시지를 전송해 올 수 있습니다.

Markus Winkler

스미싱 피해 사례

2015년 5월 하순부터 SMS를 사용하여 은행 피싱 사이트로 유도하는 수법이 확인되었습니다.
각 은행의 공식사이트에서는 주의환기를 위한 Web페이지가 공개되어 있습니다.

악성 앱이 설치되어 버리면, 전화번호나 스마트폰에 저장된 전화번호부 등의 정보를 도둑맞게 되어 버립니다.
그리고 기존의 정식 앱과 뒤바뀌어 로그인에 필요한 ID와 암호를 훔칩니다. 뒤바뀐 앱이 인터넷뱅킹 앱인 경우, 은행 계좌번호와 비밀번호가 유출될 가능성도 있습니다.

주요 검색사이트 Google을 가장한 스미싱도 확인되고 있습니다.
범행 그룹은 "고객 단말기에서 바이러스 검사 무료 제거를 실행하십시오"라는 메시지와 "계정의 지불방법 등록을 부탁합니다. 자세한 것은 URL을 클릭"이라는 메세지 약 19만 건을 SMS를 통해 전송하여 유도한 가짜 사이트에서 신용카드 번호를 도용했습니다.
압수한 컴퓨터에서 약 200개의 신용카드 번호 정보를 찾았고, 그중 100건의 신용카드 정보를 사용했다고 범행 그룹은 진술하였습니다.

스미싱의 대책 방법

1) 링크의 URL을 확인한다

2) 잘 모르는 앱은 내려받지 않는다
Android 단말기의 경우 악성 앱은 정식 앱으로 위장하여 스마트폰에 설치되어 버리는 경우가 많습니다. 또한 iPhone의 경우에도 잘못된 설정 정보를 설치하여, 단말기 내부의 정보를 훔친 사례가 확인되고 있습니다.
만약 잘못된 앱을 설치해버렸다면 즉시 삭제하고 스마트폰에 설정한 암호를 변경해야 합니다.

3) Virus Total 등으로 메시지의 URL을 확인한다
SMS 메시지에 포함된 URL을 'Virus Total' 등의 서비스에서 검증할 수 있습니다.

Virus Total
https://www.virustotal.com/ja/

VirusTotal