구글 사칭한 이메일 발송...계정 잠겼다며 사용자 정보 요구
계정정보 요구할 경우 링크 아닌 직접 주소 입력해 방문하는 것이 안전

[보안뉴스 원병철 기자] 아이폰X와 아이폰8, 8+의 공개로 애플(Apple)에 대한 관심이 쏠린 이때, 애플 ID를 노린 피싱(Phishing) 메일이 해외는 물론 국내에서도 발견돼 사용자 주의가 요구된다. 피싱 메일은 영문과 한글로 각각 발견됐으며 피싱 사이트도 다른 것으로 보여 복수의 공격자가 존재하는 것으로 판단된다.


▲ 애플 계정정보와 지불정보를 수집하는 피싱 메일[자료=벌새 블로그]

보안전문 블로거 ‘울지 않는 벌새(이하 벌새)’는 최근 애플 사이트와 유사하게 제작되어 계정정보와 지불정보를 수집하는 피싱 메일이 국내에서 확인됐다고 밝혔다. 확인된 피싱 메일은 ‘Your Apple ID has been locked [#2773894]’ 제목으로 수신됐으며, 최근 지불 정보를 확인하는데 실패했으므로 ‘Click here to validate your account information’ 링크를 통해 계정 확인 절차를 수행하라는 내용이 담겨 있다.

메일 링크를 통해 연결되는 사이트는 Apple ID를 확인하는 목적으로 등록된 도메인처럼 구성됐으며, 심지어 HTTPS 보안 연결도 지원하고 있다. 메일 링크를 통해 연결된 웹사이트에서는 ‘302 Moved Temporarily’를 통해 동일 IP에 등록된 다른 웹사이트로 리다이렉트된다.

피싱 사이트에 적용된 인증서는 ‘DST Root CA X3’에서 발급된 웹 인증서로, HTTPS 서버로 연결된다고 안전한 사이트임을 보장하는 것이 아니며, 피싱 사이트도 충분히 HTTPS 서버를 운영할 수 있음을 알아야 한다고 벌새는 강조했다.

사용자가 피싱 로그인 창에 ID와 비밀번호 정보를 입력하고 로그인을 시도할 경우, 해당 정보를 signin.php 페이지로 전송한다. 이후 ‘This Apple ID has been locked for security reasons.’ 메시지를 통해 보안상의 이유로 Apple ID가 차단되었으므로 해제를 위해서 ‘Unlock Account’ 링크를 클릭하도록 유도한다.

이를 통해 최종적으로 Apple 서비스에 등록된 지불(Payment) 정보와 세부적인 보안 설정 정보를 추가적으로 입력하도록 안내한다.

만약 사용자가 해당 피싱 사이트 정보에 속아 관련 정보를 입력할 경우 공격자는 개인정보 판매 및 상품 구매를 통해 금전적 피해를 유발할 수 있다. Apple 정식 사이트에서 제공하는 주소창을 확인해보면 녹색(Green)으로 표시된 인증서 정보를 확인할 수 있으며, 피싱(Phishing) 사이트에서 제공하는 인증서와는 차이가 있음을 알 수 있다.

어설픈 번역본 스타일의 애플 피싱 메일
한글로 된 애플 사칭 피싱 메일도 발견됐다. 지난 8월 29일 한 블로거는 앱스토어에서 앱을 구매해 고맙다는 구매 영수증이 첨부된 메일을 받았다. 앱을 구매한 적이 없던 블로거는 첨부파일을 확인했고, 한 인기 게임을 구매했다는 영수증(Invoice)을 확인할 수 있었다.


▲ 애플 앱스토어 환불계정 사칭한 피싱 메일[자료=블로그 캡처]

25.08달러(한화 약 2만 8천원)가 결재됐다는 것을 확인한 블로거는 파일에 적힌 ‘Payment Cancellation(지불 취소)’ 링크를 눌러 애플의 로그인 페이지로 들어갔고, 아이디와 비밀번호를 입력하자 ‘보안을 이유로 계정이 잠겼다’는 메시지를 확인할 수 있었다.

자신도 모르게 계정이 털렸구나라고 생각한 블로거는 바로 계정 활성화에 들어가 아이디와 비밀번호, 집주소와 카드정보를 모두 입력했다. 나중에서야 피싱 메일인줄 알고 카드를 정지했다는 블로거는 다행히 카드 결제 등의 피해를 입지는 않았지만, 처음 이메일을 받았을 때는 경황이 없어 피싱 메일이 요구한대로 진행할 수밖에 없었다고 말했다.

이처럼 메일을 통해 가입 사이트의 계정에 문제가 발생했다고 접속을 유도하는 경우, 메일에 포함된 링크가 아닌 사용자가 직접 웹사이트 주소를 입력해 접속하는 것이 가장 안전하다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>