'소비쿠폰 2차 대상자 신청하라고?"…'국민지원금' 사칭 스미싱 기승

2차 지원금 지급 시기 노린 스미싱…악성 앱 설치로 개인정보 노려

문자 가로채 금융 인증 번호 탈취…0.2초마다 자동으로 스미싱 대량 전송

정부24 사칭 피싱 페이지 및 악성 앱 다운로드 화면(사진=이스트시큐리티 제공) *재판매 및 DB 금지

[서울=뉴시스]송혜리 기자 = "국민지원금 신청대상자에 해당되므로 온라인센터에서 신청하시기 바랍니다."

정부의 민생회복 소비쿠폰(민생회복지원금) 2차 지급을 앞두고 '국민지원금'을 사칭했던 스미싱(문자 피싱)이 다시 등장했다. 사회적 관심이 집중되는 지원금 지급 시점을 노린 공격으로 보안업계는 각별한 주의를 당부했다.

보안업체 이스트시큐리티는 26일 '국민지원금 대상자로, 온라인센터에서 신청하라'는 문구와 함께 악성 링크가 포함된 스미싱 문자가 유포되고 있다고 공개했다.

사용자가 해당 링크를 클릭하면 '정부24'를 위장한 피싱 사이트로 연결된다. 이곳에서 '맞춤 혜택 조회하기' 버튼을 누르면 특정 파일 다운로드와 앱 설치를 안내하는 문구가 뜬다.

설치할 때는 특별한 요구사항이 없는 것처럼 보이지만, 실행하면 기기 정보를 빼내고 외부 서버와 통신하기 위한 여러 권한을 요구한다.

설치가 완료되면 사용자의 전화번호, 단말 고유식별자, 통신사, 모델명, 운영체제(OS) 버전, 연락처·SMS·이미지·네트워크 권한 등 민감한 정보를 수집해 공격자 서버로 전송한다.

더 큰 문제는 이 악성 앱이 문자메시지를 가로채는 기능을 갖고 있다는 점이다. 사용자가 받은 문자 내용, 발신번호·수신 시간과 함께 휴대폰 고유번호까지 공격자 서버로 넘어간다.

특히 이러한 SMS 수신 가로채기 기능은 금융 앱 이용 시 인증번호 탈취 등으로 악용될 수 있어 매우 위험하다. 이를 통해 공격자는 사용자의 금융 계정에 접근하거나, 2차 인증 절차를 우회해 계좌 이체·결제와 같은 금전적 피해를 발생시킬 수 있다.

뿐만 아니라, 이 악성 앱은 공격자의 지시에 따라  0.2초 간격으로 스미싱 문자를 자동 대량 발송한다. 이를 통해 가족이나 지인들까지 스미싱 피해를 입을 수 있다.

이스트시큐리티는 이번 공격을 코로나19 당시 국민지원금을 사칭했던 스미싱 수법의 '재활용'으로 분석했다.

이스트시큐리티는 "정부나 카드사 등은 지원금 신청 안내 문자에 링크를 포함해 발송하지 않는다"며 "출처가 불분명한 문자에 포함된 링크는 절대 클릭하지 말고, 문자·웹사이트를 통한 앱 설치 요구는 무조건 악성일 가능성이 크므로 공식 스토어를 통한 설치만 해야 한다"고 강조했다.


◎공감언론 뉴시스 [email protected]