클릭 세 번이면 당한다…해커들, 폰에 악성앱 심고 뜸 들이는 이유[팩플]

"클릭 세 번이면, 내 스마트폰 통제 권한이 모두 해커에게 넘어갑니다."

지난 7일 서울 강남구 토스 본사에서 열린 해킹 시연회. 이 회사 지한별 보안연구원이 미끼 문자(스미싱)로 악성 앱이 설치되는 과정을 시연했다. 택배 회사 알림으로 위장한 메시지를 열고 웹페이지 주소를 클릭하자, 앱 설치 화면으로 전환됐다. 설치를 누르고 앱 사용 권한을 승인한 순간, 해커 PC 화면에서 피해자의 스마트폰 화면이 뜨고 실시간으로 연동됐다. 문자 수신부터 설치까지 걸린 시간은 약 45초. 이제 해커는 악성 앱의 원격 조종 기능을 활용해 피해자 스마트폰을 마음대로 제어할 수 있게 됐다. 피해자가 해킹 피해를 인지하기도 어렵다. 휴대폰 화면이 꺼져 있어도 악성 앱은 계속 실행되고 있어서다.

무슨 일이야

미끼 문자로 악성 앱 설치를 유도하는 해킹인, 스미싱 범죄 건수가 급증하고 있다. 과학기술정보통신부에 따르면 지난해 스미싱 신고 건수는 219만 6469건으로 2023년(50만 3300건)보다 약 4배 늘었다. 토스는 급속도로 퍼지고 있는 악성 앱의 위험성을 알리기 위해 이날 해킹 시연회를 열었다. 토스는 악성 앱을 토스 앱 내부에 설치된 보안 앱인 ‘피싱제로’를 통해 포착하고 있다.

뜸 들이기로, 더 큰 피해

악성 앱이 피해자 스마트폰에 설치되면 해커는 며칠간 피해자 소비 패턴과 금융 앱 사용 패턴을 감시한다. 이런 ‘뜸 들이기’ 과정을 거쳐 어떤 은행을 사칭해야 피해자로부터 더 많은 자금을 빼돌릴 수 있는 지 분석한다. 인증 메시지를 탈취해 휴대폰 소액 결제를 시도했던 과거보다 수법이 더 정교해진 것. 지한별 연구원은 "카드 사용 내역을 분석하면 피해자의 주거래 은행, 자산 규모 등을 파악할 수 있다"고 설명했다.

해커는 주거래 은행을 사칭해 피해자에게 저금리 대출, 고금리 적금 관련 문자를 보낸다. 은행 앱으로 위장한 악성 앱을 설치하도록 유도하는 것. 이렇게 피해자의 계좌 비밀번호, 일회용 인증번호(OTP) 등이 새나간다. 최정수 토스 보안연구원은 "스마트폰에 국민연금가입증명서 등 민감 정보가 저장돼 있다면, 해커는 이를 활용해 곧장 피해자 명의로 대출받을 수도 있다"고 경고했다.

더 알아보면

스미싱의 가장 위험한 점은 ‘리다이렉팅’(재연결)에 있다. 피해자가 전화 걸 때 해커가 자신이 지정한 연락처로 발신 경로를 바꾸는 기법이다. 주로 피해자가 은행 고객센터에 전화 걸 때를 노린다. 해커가 중간에서 자신들 연락처로 발신 경로를 조작하는 것. 피해자는 자연스럽게 가짜 상담원에게 개인 정보를 모두 털어놓게 된다.

이게 왜 중요해

최근 해커들은 인공지능(AI)을 사용해 악성 앱을 더 빠른 속도로 개발하고 있다. 토스 보안팀도 시연을 위해 코딩 AI를 활용했다. 앱 개발에 걸린 시간은 12시간. AI가 없었다면 6~8일이 걸렸을 작업이다. 최근엔 기존 악성 앱을 차단한 지 몇 시간 만에 새로운 변종 악성 앱이 등장하기도 한다. 특히 다크웹(해커들이 활동하는 익명 인터넷 공간)에서 매달 악성 앱을 새로 개발하는 구독 서비스까지 나올 정도로 악성 앱이 확산하고 있다.

세계 3대 해킹 대회에서 우승한 화이트 해커(해커의 공격 패턴을 파악해 방어 앱을 개발하는 해커) 출신인 이종호 토스 보안팀 리더는 "보안 앱은 악성 앱의 진화 속도를 따라잡긴 어렵다"며 "가장 좋은 해킹 방지법은 어떤 경우든 앱 설치를 하지 않는 것"이라고 말했다.

더중앙플러스 : 팩플

더 자세한 기사 내용이 궁금하시다면, 기사 링크를 복사해 주소창에 붙여넣으세요.

IT강국은 왜 해킹 호구됐나…한국 뒤흔든 ‘APT 부대’ 정체
https://www.joongang.co.kr/article/25339524

“지금부터 48시간 공격한다” 토스를 해킹한 토스의 해커
https://www.joongang.co.kr/article/25204000

오현우([email protected])