보이스피싱 예방앱 ‘피싱아이즈’ 위장 악성앱 설치 유도... 사용자 권한 획득

[보안뉴스 원병철 기자] 최근 서울지방경찰청을 위장한 스미싱이 유포되고 있어 사용자들의 주의가 요구된다. 이스트시큐리티 ESRC(시큐리티 대응센터)는 이번 스미싱은 보이스피싱 예방앱인 ‘피싱아이즈’를 위장한 악성 앱을 활용해 스마트폰의 권한을 요구한다고 밝혔다.


▲피싱아이즈 사칭 악성 앱[자료=ESRC]

‘서울지방경찰청’을 사칭한 스미싱은 ‘보이스피싱 및 해킹 예방프로그램’을 다운받으라면서 IP 주소를 알려주고, 이 주소를 클릭하면 악성 앱이 다운된다. 악성 앱은 피싱아이즈 앱을 위장하고 있는데, 실제 피싱아이즈 앱은 경찰청 및 금융사 제휴를 통한 금융사기 피해예방 앱이다.

악성 앱이 설치되면, 실시간으로 앱을 검사해 보이스피싱을 방지한다는 페이지가 보이며, 이 화면에서 ‘의심검사’ 항목을 클릭하면 실제 위험 앱을 스캔해 탐지하는 것처럼 보이는 화면을 띄워 사용자의 의심을 피한다.


▲앱 스캔 및 삭제 코드[자료=ESRC]

해당 악성 앱은 다양한 권한을 요구하며 악성행위를 한다. 우선 사용자 모바일 내에 알약M, 후후, 후스콜 등의 앱이 설치되어 있는 지 확인한 후, 해당 앱들을 삭제한다. 또한, 문자내역 열람, 녹음, 위치확인, 카메라 촬영, 가짜전화걸기 등 다양한 악성행위가 가능하며, 앱 내부에 금융안내 멘트 녹음파일이 포함되어 있어 보이스피싱에 활용이 가능하다.

ESRC는 모바일 사용자의 경우 낯선 사람들에게서 온 문자메시지에 포함된 링크의 클릭을 지양하고, 반드시 구글 플레이를 통해 앱을 내려받을 것을 조언했다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>