대학 입학시즌과 연말연시 호기 노린 사이버범죄 기승

[보안뉴스 김경애] 최근 연말연시와 대학입시철을 맞아 해외 직구 사이트와 대학 입학 사이트를 노린 공격이 기승을 부렸다. 개인정보와 금융정보를 노린 피싱 사이트 역시 한 주간 활발한 움직임을 보였고, 파일공유(P2P) 사이트를 대상으로 한 악성코드 삽입도 4주 연속 발견되는 등 국내 사이트 곳곳에서 이상징후가 포착됐다.


▲지난 9일 악성코드가 발견된 X학사 사이트

대학 입학시즌! 대학교와 입시관련 사이트, 집중 타깃
수능성적표가 배부되고, 대학교 입학시즌에 본격 돌입하면서 입시생들이 자주 방문하는 학교와 교육관련 사이트에 악성링크를 삽입하는 사례가 계속 증가하고 있다. 일례로 지난 9일에는 대학별 모집요강과 입시정보 등을 제공하는 X학사 사이트에 악성코드가, 지난 4일에는 XX대학교 일본언어문화학과 사이트에 데이트 광고 링크가 삽입된 정황이 포착됐다.

이를 본지에 제보한 메가톤(닉네임)은 “해당 사이트에서 악성코드를 유포하고 있다”며 “자바스크립트가 삽입되어 있어 웹사이트 이용자의 브라우저에 취약점이 있으면 악성코드에 감염된다”고 우려했다.

해당 사이트의 웹로그를 살펴본 결과, 중국발 공격으로 의심되며 몇 년째 웹사이트 보안이 허술한 것으로 드러났다. 매년 겨울 시즌이 되면 진학관련 사이트에 악성링크가 삽입되는 등 반복적인 피해를 입고 있다는 게 그의 설명이다.

이와 관련 빛스캔 역시 계절적 요인에 따른 악성코드 유포가 지속적으로 발생하고 있다며 대학 입학원서 접수 사이트 및 해외직구 사이트들이 공격자의 주요 대상이라고 밝혔다. 또한, 중소기업과 파일공유(P2P) 사이트를 대상으로 한 공격도 4주 연속으로 계속 됐다고 덧붙였다.


▲11월 28일 악성링크가 삽입된 XXXX대학교 의료원 사이트

지난 11월 28일에는 국내 유명 대학병원인 XXXX대학교 의료원 사이트에 악성링크가 삽입됐다. 이와 관련 빛스캔 측은 “해당 사이트에서는 로그인 페이지 등 사용자 정보를 획득할 수 있는 통로는 없는 상태이지만, 다른 분원으로 연결되는 통로가 있고, 해당 통로가 또 다른 악성코드 유포지 등으로 활용될 수 있기 때문에 보완조치가 필요하다”며 “지난해부터 올해까지 의료정보 유출이 빈번하게 발생되고 있고, 올해에도 의료관련 인증서가 다수 발견되어 폐기된 바 있기 때문”이라고 밝혔다.


▲지난 8일 악성코드가 삽입된 XX군 재난안전대책본부 사이트

공공기관 역시 악성코드가 삽입되는 등 여전히 취약한 곳이 드러나고 있다. 지난 8일에는 XX군 재난안전대책본부 사이트에서 악성코드가 삽입된 정황이 발견됐다. 이와 관련 메가톤은 “지난 12월 2일 이후 사이트가 악성코드에 감염된 것으로 보인다”며 “보안 패치가 이루어지지 않은 공유기로 접속할 때는 악성코드에 감염돼 관리자의 권한이 탈취되거나 DNS 변조 등의 문제가 발생한다”고 설명했다. 해당 악성코드의 경유지는 일본, 미국으로 분석됐다.

이외에도 XX포터, XX조 사이트 등에서도 악성코드가 유포돼 방문자들의 악성코드 감염을 유도한 것으로 밝혀졌다.

웹사이트 화면 변조 줄줄이 포착
한 주간 공격자가 웹사이트 화면을 바꾸는 디페이스 해킹도 잇따라 포착됐다. 지난 6일에는 각 지역별로 근로자들이 무료로 이용할 수 있는 휴식 공간 사이트인 XX근로자건강센터, XX근로자건강센터, XX근로자건강센터와 함께 경비경호업체인 XXX지엔에스 사이트에서 디페이스 해킹 정황이 발견됐다.


▲지난 6일 웹사이트 화면이 변조된 XX근로자건강센터 사이트

해당 사이트는 모두 동일한 화면으로 변조됐으며, 공격자가 자신을 과시하기 위해 특정 사이트를 입력해 놓았다. 이와 관련 보안전문가 Audiotor Lee는 “해당 공격자는 자주 디페이스 해킹을 자주 시도하는 사람”이라며 “피해를 입은 근로자건강센터 3곳은 모두 같은 곳에서 서비스(운영)하는 사이트이며, 한 곳에서 이름만 바꾼 것으로 보인다”고 분석했다.

이보다 하루 앞선 지난 5일 한국XX리더스포럼 사이트에서도 디페이스 해킹 정황이 발견됐는데, 해당 사이트는 어나니머스 화면으로 변조돼 있었으며, 이집트 어나니머스라고 표기됐던 것으로 드러났다.

개인정보와 금융정보 요구하는 피싱 ‘기승’
이와 함께 한 주간 맥주소가 지속적으로 유출됐으며, 개인 금융정보 탈취를 위한 피싱 사이트도 기승을 부렸다. 지난 5일에는 이베이와 페이팔을 사칭한 피싱 사이트가 발견됐으며, 4일에는 안드로이드폰을 타깃으로 한 피싱사이트가, 2일에는 구글 드라이브, 알리바바, 애플 계정을 사칭한 피싱 사이트가 발견됐다.


▲지난 5일 이베이를 사칭한 피싱 사이트

이와 관련 Auditor Lee는 “최근 블랙프라이데이와 연말연시를 맞아 해외 직구 사이트 이용 비중이 늘면서 이를 악용하는 사이버범죄자들도 증가하고 있다”며 “특히, 애플 계정 피싱 사이트의 경우 아이디, 비밀번호, 이름, 주소, 핸드폰번호, CVC번호, 유효기간, 카드 비밀번호 등 이용자의 개인정보와 금융정보를 모두 입력하도록 요구하고 있다”고 각별한 주의를 당부했다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>