교통위반통지/교통범칙금 조회 스미싱 사이트 소스 열어보기

이전에 쓴 보안 관련글 보기 : 검색 결과 링크

 

그동안 개인정보 보안과 관련해 글을 몇 개 썼는데요, 보안 만큼은 정말 아무리 강조해도 끝이 없는 것 같습니다.

오늘은 안드로이드 스마트폰을 대상으로 행해지는 문자 피싱, 즉 스미싱 사이트를 하나 간단히 뜯어 볼겁니다.

일단 사이버경찰청 홈페이지에서 '스미싱'의 정의에 대해 잠깐 알아볼게요.

스미싱(Smishing)
문자메시지(SMS)와 피싱(Phishing)의 합성어로,
① ‘무료쿠폰 제공’, ‘돌잔치 초대장’, ‘모바일 청첩장’ 등을 내용으로 하는 문자메시지내 인터넷주소를 클릭하면 →
② 악성코드가 스마트폰에 설치되어 →
③ 피해자가 모르는 사이에 소액결제 피해 발생 또는 개인·금융정보 탈취
- 사이버경찰청, '스미싱' 

예전엔 무료쿠폰이나 돌잔치, 청첩장으로 위장해 많이 뿌려졌으나 요새는 '교통위반내용 통지' 또는 '교통범칙금 통지' 등으로 위장해 많이 뿌려지는 것 같습니다. 바로 이렇게 말이죠.

 

그럴싸하게 보이지만 저 주소는 경찰청에서 운영중인 '교통범칙금 과태료 조회 납부 시스템'과 전혀 관계 없는 주소입니다. 안드로이드 폰에서 링크를 누르면 위조된 가짜 사이트로 연결되고, 거기서 전화번호를 적게 한 뒤, 악성코드가 심어진 어플 설치파일(apk)을 다운로드하게 만듭니다.

 

크롬 브라우저의 개발자 도구를 이용해 접속해 봤습니다. 딱 봐도 굉장히 조잡해 보이네요. 실제로 '교통범칙금 과태료 조회 납부 시스템' 홈페이지는 모바일 접속을 지원하지 않습니다. 스마트폰으로 접속하면 일단 '윈도가 아니다' 라며 한 번 까고, 그 다음엔 '액티브 엑스를 설치할 수 없다' 며 두 번 깝니다. 마지막으로 '공인인증서를 사용할 수 없다' 며 세 번 까지요.

 

▲ 한국에선 역시 삼세번이지!

 

전화번호를 입력한 뒤 조회를 누르면 link.php?link='사용자가 입력한 전화번호' 로 접속하도록 만들어졌네요. 제대로 입력하지 않으면 '올바른 번호가 아니거나 과태료, 범칙금 대상이 아닙니다' 란 메시지를 띄우게 됩니다.

 

위에서 연결된 link.php 를 열면 이렇게 나옵니다. 여기서 '과태료 청구서 보기' 버튼을 누르면 악성코드가 심어진 apk 파일을 다운로드 하겠지요. 만약 안드로이드폰의 보안설정에서 '알 수 없는 소스 – Play스토어 외 출처의 앱 설치 허용'이 켜져 있다면, 사용자는 아무 생각없이 설치할테고요. 그렇게 악성코드에 감염되는 겁니다.

가짜 사이트를 만든 놈들이 무서운게, 접속한 장치를 체크한 뒤 가짜 사이트에 연결되도록 스크립트를 짜놨어요. 위 스크린샷에서 파랗게 선택된 소스 부분을 보시면 접속한 장치가 안드로이드(Android)인지 체크하고, 아닐 경우 진짜 경찰청 사이트로 넘어가도록 해놓았죠. 때문에 아이폰이나 PC에서 접속했을 땐 순식간에 진짜 경찰청 사이트로 넘어가게 됩니다. 꼼꼼히 살펴보지 않으면 스미싱용 주소임을 눈치채지 못하겠죠.

 

▲ 중국어로 쏼라쏼라. 다행스럽게도 가짜사이트가 정상작동하지 않음.

예전에도 비슷한 교통범칙금 통지 스미싱 사이트를 열어본 적이 있는데(똑같은 코드를 서버와 주소만 바꿔 돌리는 듯?), 그때는 사이트가 정상작동(?)하여 apk 다운로드까지 이루어졌었습니다. 그런데 오늘 열어본 사이트는 뭔가 만들다 말았는지 제대로 작동하지 않네요. 그나마 다행이랄까…

 

게다가 오늘 본 사이트는 실제 휴대폰에서 접속하려고 하면 이렇게 통신사에서 막아버립니다. 만날 욕먹는 통신사지만 그래도 이런건 괜찮네요.

 

이러한 스미싱 피해를 막으려면 우선 문자로 오는 인터넷주소(URL) 여실 때 꼭 주의하시고, 환경설정의 보안 항목에서 '알 수 없는 소스' 옵션의 체크를 꼭 해제해주세요.

이렇게만 해놓아도 엉뚱한 apk 파일이 설치되는 걸 막을 수 있습니다. 꼭 확인해보세요.