지난 1월 유행하던 스미싱 내용 일부만 변경해 다시 활용하는 유형 많아
URL 클릭 말고, 알 수 없는 앱 설치하지 않기 등 기본적인 보안 수칙으로 피해예방 필요

[보안뉴스 이상우 기자] 2021년 2월에도 스미싱의 단골 소재는 ‘택배 사칭’인 것으로 나타났다. 코로나19가 장기화되면서 인터넷 쇼핑몰 등을 이용해 필요한 물건을 구매하는 사람이 늘어났고, 이에 따라 택배 사칭 스미싱 역시 극성을 부리고 있다. 이전과 다른 점은 설 연휴 기간을 노린 스미싱 공격이 감소했다는 점이다.


이스트시큐리티 시큐리티대응센터(이하 ESRC)가 수집한 2월 스미싱 공격 데이터 통계를 보면 택배 사칭 스미싱은 99.8%로 나타났으며, 이밖에 건강검진(0.11%), 금융기관 사칭(0.05%), 수사기관 사칭(0.01%) 등이 뒤를 이었다.

△택배 사칭 스미싱
택배 사칭 스미싱에 쓰인 주요 키워드를 보면 ‘구매’, ‘선물’ 혹은 ‘상품’, ‘CJ’, ‘배송’ 등의 키워드가 주로 쓰였다. 2월에 악용된 문장의 경우 지난 1월에 유행하던 스미싱 문자 메시지 내용의 일부만 변경해 다시 사용하고 있는 모습이다. 스미싱 문자에서 변경되는 부분을 살펴보면 택배회사의 회사명, 조사, 띄어쓰기 등이다.


△건강검진 사칭 스미싱
건강검진과 관련한 스미싱 문자는 ‘[Web발신] <건강검진>통^지^서 내용확인:xx.xxxx[.]guru’이라는 문구가 가장 많이 쓰였으며, 대부분의 내용이 ‘통지’를 사칭하고 있다. 건강검진 관련 스미싱은 매년 국가에서 무료로 시행하는 건강검진과 관련한 것으로 위장해 피해자를 속이는 유형도 있으며, 이를 통해 악성 앱 설치를 유도하기도 한다.


△금융기관 사칭 스미싱
금융기관을 사칭 스미싱 중에는 저축은행을 사칭하는 형태가 가장 많았다. 특히, 메시지 내용 없이 피해자의 이름과 IP 주소로만 구성된 언뜻 봐서는 스미싱임을 파악하기 어려운 경우도 있다. 해당 유형의 경우 지난 1월에는 5% 정도였으며 2월에는 8%로 소폭 상승했다. 해당 IP 주소를 클릭할 경우 금융기관 앱으로 위장한 가짜 앱을 설치하도록 유도한다. 금융기관 사칭 스미싱은 피해자가 대출 등 금융거래를 고려하고 있다면 피해를 입을 가능성이 높다.


△수사기관 사칭 스미싱
메시지 내용을 살펴보면 사건 처리 내용을 통보하는 식으로 수사기관을 가장하고 있지만, 각 수사기관 공식 사이트가 아닌 단축 URL을 사용하고 있어 스미싱임을 판단할 수 있다. 하지만 의외로 이러한 내용이 호기심을 끌 수 있기 때문에 사용자들의 주의가 필요하다.


ESRC는 “스미싱 공격에 대해 사전 예방이 가장 중요하다. 문자 내의 URL을 클릭하지 않고, 스마트폰에 내려받은 알 수 없는 앱을 설치하지 않으면 된다. 또한, 알약M 등 스미싱 탐지 기능을 갖춘 모바일 백신을 설치하는 것 역시 피해 예방법 중 하나”라고 말했다.
[이상우 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>