2013.10.27 안랩, "다양한 스미싱 사례 급증 주의" 당부

-단순사칭을 넘어 이전보다 교묘한 스미싱 문구로 스마트폰 사용자들 속기 쉬워
-기관/기업/단체 사칭은 물론이고 실명/주민번호 포함 문자까지 보내 의심하기 어려워
-메시지 내 URL 실행 자제, ‘알 수 없는 출처(소스)’의 허용 금지 설정, 스미싱 탐지 전용 앱 설치 등 필요


‘돌잔치’, ‘청첩장’ 사칭을 넘어 더욱 교묘해진 형태로 스미싱이 진화하고 있다.

주민번호가 포함된 해외 IP 확인요청, 공공기관, 유명 외식업체, 통신사 등을 사칭한 다양한 스미싱(Smishing, 문자메시지를 이용한 사기수법) 사례가 등장하고 있어 주의해야 한다.  

 

최근 발견된 스미싱 문자는 명의 도용방지 서비스를 사칭한 해외 IP 확인요청이 주요 문자 내용이다. 해당 스미싱 문자에는 사용자의 이름/주민번호와 함께 ‘ooo.com(특정명의도용방지서비스 명)’의 링크가 포함되어 있다. (실제로 해당 서비스 업체의 주소는 약간 다름) 본인의 주민번호와 일치하는 문자를 받은 사용자는 의심 없이 URL을 클릭하기 쉽다. URL 클릭 시 악성 앱이 설치되고 개인정보 유출 및 소액결제 피해가 발생한다.  

 

국민건강보험을 사칭한 ‘무료암검진 대상’ 문자도 발견됐다. 이 문자는 미리 유출된 사용자의 개인정보(이름, 전화번호, 연령대)와 허위 무료 암검진 내용을 조합한 ‘복합형’ 스미싱 형태로 추정된다. 

 

스미싱 문자의 원조 격이라고 할 수 있는 ‘모바일 청첩장’ 스미싱의 내용도 진화해서 다시 발견되었다. 최근 나온 해당 스미싱 문자는 기존에는 없던 ‘자녀 결혼식’ 컨셉을 추가해 웨딩 사진첩 URL 클릭을 유도한다. 

 

또한 유명 외식업체를 사칭한 스미싱도 발견됐다. ‘[ooo(유명외식업체 명)]10/17 결제금액 125000원 완료/결제확인차단 u*s*e*a13.com’ 와 같이 주로 구체적인 기업명을 포함하고 있어 사용자가 착각하기 쉽다.  

 

이 외에도 통신사를 사칭한 ‘요금 청구서 확인’, 공공기관 사칭 ‘무인단속 적발’ 스미싱 등이 발견됐다. 이 스미싱 문자의 공통점은 '돌잔치', 기존 '모바일 청첩장', '피자업체 등 패스트푸드 쿠폰문자'등에 익숙해진 사용자를 속이기 위해 더욱 다양한 기관/기업/단체 등을 활용한다는 점이다.  

 

스미싱 피해를 최소화 하기 위해서는 1) SNS(Social Networking Service)나 문자 메시지에 포함된 URL 실행 자제 2)모바일 백신으로 스마트폰을 주기적으로 검사  3)"알 수 없는 출처(소스)의 허용 금지 설정  4)스미싱 탐지 전용 앱 다운로드 등이 필요하다. 만약 피해를 당했을 경우, 경찰서에서 ‘사건 사실 확인원’을 받아 통신사에 제출하면 보상 받을 수 있다.  

 

안랩 이호웅 시큐리티대응센터장은 “안드로이드 스마트폰은 손 안의 작은 PC라고 할 수 있다. PC의 악성코드처럼 사용자를 속이고 개인정보 및 금전탈취를 하기위해 모바일 환경의 특징을 이용한 스미싱이 증가하고 있는 추세다. 따라서 사용자는 모바일 백신이나 스미싱탐지 전용 앱을 사용하고 문자나 메신저에 포함된 URL클릭 자제, 소액결제 차단 등 스마트폰 사용에도 보안의 관점을 도입하는 것이 중요해졌다” 라고 말했다.  

 

한편 안랩은 지난 8일 스미싱 차단 전용 앱 ‘안전한 문자’를 출시했다. 구글플레이에서(https://play.google.com/store/apps/details?id=com.ahnlab.safemessage) 무료로 제공되고 있는 ‘안전한 문자’는 ‘실시간 URL 실행 감지’ 기능이 있어 효과적인 스미싱 차단이 가능하다. 출시 열흘 만에 약 5만건이 다운로드 되며 사용자의 호평을 이끌어 내고 있다. <Ahn> 

[그림1]  (좌) 주민번호가 포함된 해외 IP 확인요청 스미싱 문자,
(우) 안랩 '안전한 문자'의 해당 스미싱 문자 탐지 화면

 

[그림2] 자녀결혼식청첩장 스미싱 문자 탐지화면