줌을 통해 만나게 된 수많은 가족들...공격자들이 놓치지 않아
터키 고기 나누던 전통 활용한 피싱 메일...피해자 수천~수만

[보안뉴스 문가용 기자] 사회적 거리두기 강화 조치가 시행되고 있는 많은 국가들에서 영상 통화 및 영상 컨퍼런스 플랫폼들의 인기가 치솟고 있다. 심지어 가족 모임도 줌 화상 만남으로 대체되고 있는 실정이다. 특히 미국에서는 추수감사절 기간 동안에도 가족들과 만나지 말아달라고 정부가 호소하고 있는 상황이라 여러 가족들이 줌으로 만나고 있는데, 사이버 범죄자들이 이를 가만히 지켜보지 않고 있다.


[이미지 = utoimage]

추수감사절 주말이 시작되는 때, 한 보안 전문가가 대형 피싱 캠페인이 시작됐다고 경고했다. 마이크로소프트 계정 로그인 정보를 훔치는 것이 목적인 공격이라고 했다. 이 전문가는 더애널리스트(TheAnalyst)라는 온라인 닉네임으로 활동하는 중이었고, “이미 수천 명의 사용자들이 크리덴셜을 빼앗긴 상황”이라고 밝혔다. 그리고 그 공격이 주말 내내 이어질 것으로 보인다는 게 그의 주장이었다. 이 캠페인에는 터키바밍(TurkeyBombing)이라는 이름이 붙었다. 추수감사절에 가족들이 모여 칠면조 고기를 나누는 전통에서 비롯된 이름이다.

피싱 공격에 활용되는 이메일은 바로 이 ‘칠면조 고기’와 관련된 것이다. 가족들이 모일 수 없는 때, 옛 기억과 추억을 자극하려는 것이 공격자의 의도이기 때문이다. 한국으로 치면 추석 때 송편과 관련된 피싱 메시지를 보내는 것과 같다. 메일 내용은 “(칠면조와 관련된) 영상 컨퍼런스에 초대되었다”는 것이고, 해당 컨퍼런스로 입장하게 해 주는 링크가 하나 포함되어 있다. 당연히 악성 링크다.

가족 중 누군가 특별한 주말을 맞이해 이런 모임 세션을 만들었구나, 라고 생각하는 피해자들은 이 링크를 누르게 되는데, 이 때 열리는 건 구글 도메인에 호스팅 된 가짜 마이크로소프트 로그인 페이지다. 이 구글 도메인은 개발자들이 웹 애플리케이션을 호스팅 하는 데에 주로 사용하는 것이다. 피해자가 아무 의심 없이 정보를 입력하면 이메일 정보와 비밀번호만이 아니라 IP주소와 위치정보도 함께 공격자에게 넘어간다.

만약 입력된 크리덴셜이 높은 권한의 계정에 적용되는 것이라면, 공격자들은 인터넷 메시지 접속 프로토콜(IMAP) 크리덴셜 확인 과정을 통해 계정을 침해하기도 한다. IMAP은 기업들과 이메일 서비스 제공업체들이 이메일 서버의 이메일에 직접 접근할 때 활용하는 프로토콜이다.

더애널리스트에 의하면 공격자들은 이미 3600개가 넘는 고유 이메일 크리덴셜들을 훔치는 데 성공한 상태라고 한다. 가족들과 만나고 싶은 사람들의 소망이 강렬해지는 때라 이런 공격에 당할 확률도 높고, 따라서 “집계된 것보다 훨씬 더 많은 사람들이 피해를 입었을 것”이라고 더애널리스트는 보고 있다. 실제로 트위터 등 각종 소셜미디어에서는 줌을 통한 특별한 가족 만남과 휴일 행사 이야기가 쏟아지고 있다.

참고로 줌 측은 추수감사절 기간 동안 가족들을 만나지 못해 줌에 접속할 사용자들이 급증할 것이라는 걸 예측하고 무료 사용자들에게 걸렸던 40분 제한을 일시적으로 없애기도 했다. 이것 자체가 보안의 측면에서 비판받을 사안은 아니지만, 이러한 움직임이 공격의 가능성을 크게 연 것은 사실이라는 게 보안 전문가들의 입장이다. 공격자들이 기회를 잘 노린 것이라는 뜻이다.

지난 3월 줌의 인기가 치솟기 시작한 때부터 각종 트롤과 공격자들은 ‘줌바밍(ZoomBombing)’ 공격을 실시했었다. 줌 회의 접속이 상대적으로 쉽다는 것을 활용해, 특정 회의 세션에 몰래 접속한 후 각종 외설 이미지와 혐오 발언을 도배함으로써 회의가 진행되지 못하도록 하는 것이었다.

터키바밍은 줌바밍과 이름은 비슷하지만 공격의 방법과 목적은 완전히 다르다. 하지만 줌에 몰려들 수밖에 없는 사회적 현상을 공격자들이 놓치지 않고 있다는 점에서는 비슷하다고도 볼 수 있다.

3줄 요약
1. 미국의 대명절인 추수감사절, 하지만 코로나로 가족들 모이지 못함.
2. 이 때문에 줌을 통한 가족 모임이 활성화 되고, 줌 역시 무료 사용자 제한 풀어둠.
3. 이에 공격자들은 터키바밍 공격 통해 마이크로소프트 크리덴셜 훔침.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>