최근 사용자가 사람인지 기계인지 구분해 주는 캡차(CAPTCHA) 인증 기술을 이용한 피싱 메일이 발견되어 사용자들의 주의가 필요합니다. 

이번에 발견된 피싱메일은 “New VM (28 seconds) processed on July 21, 2020, 2:40:09 PM”라는 제목으로 전파되었으며 새로운 음성 메시지로 보이는 “AudioMessage.htm” 파일이 첨부되어 수신자의 파일 실행을 유도하고 있습니다.

[그림 1] 새로운 음성 메시지를 가장한 피싱 메일 화면

피싱 메일에 첨부된 파일(htm)을 실행 시 계정과 비밀번호를 가로채기 위한 피싱 사이트로 리디렉션되는 것이 아닌 사용자를 안심시키기 위한 캡차 인증 화면으로 이동하게 됩니다.

[그림 2] 캡차 인증으로 이동된 사이트 화면

사용자는 이러한 인증 절차를 거치면 해당 사이트를 안전한 페이지로 생각할 수 있습니다. 인증 절차가 완료되면 계정과 비밀번호를 가로채기 위한 피싱 사이트로 이동합니다.

[그림 3] 피싱 사이트 화면

피싱 사이트에 계정과 비밀번호를 입력할 경우 개인정보 수집 사이트로 입력된 개인정보가 전송되며 상세한 IoC는 ‘쓰렛 인사이드(Threat Inside)’에서 확인하실 수 있습니다.

개인정보 수집이 끝나면 유효성 검사가 완료되어 음성 메시지로 이동한다는 메시지가 담긴 화면이 보이며 잠시 후 음성 메시지 파일이 업로드된 페이지로 이동합니다.

[그림 4] 개인정보 수집 후 이동된 사이트 화면

[그림 5] 음성 메시지가 업로드된 사이트 화면

피싱 사이트 제작자는 수신된 사용자들이 첨부된 파일이나 본문에 기재된 링크들을 클릭하도록 지능적으로 변화하고 있습니다. 

이번 피싱 메일에서는 캡차 인증 방식을 추가하여 사용자로 하여금 사이트에 대한 신뢰도를 높일 수 있기 때문에 항상 의심되는 메일은 임의로 열어보지 말고 개인정보를 입력할 때에는 사이트 주소가 정상적인지 확인하는 습관을 길러야 합니다. 

현재 이스트시큐리티 ‘쓰렛 인사이드(Threat Inside)’에서는 해당 피싱 사이트를 아래와 같이 탐지하고 있습니다.

[그림 6] ESTSecurity-Threat Inside 개인정보 수집 사이트 탐지 화면