택배 반송문자, 함부로 확인하면 신용카드 정보 털린다

택배 반송문자 가장… URL 접속하면 바로 악성 앱 설치돼
악성앱으로 피싱 사이트 접속… 개인 금융정보 탈취
실제 카드 결제 화면과 흡사해 주의 필요

[아시아경제 이민우 기자] 개인 신용카드 정보를 노리는 스미싱 문자가 발견돼 주의가 요구된다.

이스트시큐리티의 시큐리티대응센터는 국내에서 이 같은 지능적 스미싱 공격이 다수 발견됐다고 6일 밝혔다.

이스트시큐리티 시큐리티대응센터 관계자는 "이번 스미싱 공격은 휴대폰 번호로 택배 등의 물류 배송 조회가 보편적이며, 스마트폰으로 신용카드 결제가 활발히 한다는 점을 교묘히 노린 지능적 공격"이라며 "이전의 스미싱 공격은 주로 소액 결제나 모바일 뱅킹 애플리케이션(앱) 이용자를 겨냥한 반면, 이번 공격은 스마트폰에 저장된 공인인증서, 신용카드 정보 등을 노리고 있어 각별한 주의가 필요하다"고 당부했다.

실제 유포된 스미싱 문자(제공=이스트시큐리티)

이번 공격은 '[Web발신][XXXX통운]운송장번호[301*21]주소지 미확인..반송처리주소확인'이라는 내용의 문자 메시지를 발송한 뒤 사용자가 첨부된 주소에 접속할 경우, 신용카드번호 등 금융 정보를 탈취하기 위한 목적의 악성 앱(APK)이 설치되는 방식이다.

사용자가 해당 주소로 접속하면 물품 반송 조회 서비스로 위장한 화면이 나타난다. 이 사이트에 자신의 휴대 전화번호를 입력하면 그 즉시 금융 정보 탈취 목적의 악성 앱이 스마트폰에 다운로드된다.

다운로드된 악성 앱은 특정 택배 배송업체의 정상적인 앱처럼 위장되어 사용자에게 설치 진행을 유도하며, 설치가 완료되면 신용카드 명세서 조회 페이지로 위장된 피싱 사이트에 접속한다.

또한 접속한 피싱 사이트에서는 사용자의 의심을 최소화하기 위해 'XX소프트에서 결제하신 내역 확인바랍니다'라는 안내 메시지와 함께 가짜 신용카드 명세서 정보를 일부 보여준다. 이후 ▲신용카드번호 ▲카드 유효기간 ▲CVC 번호 ▲비밀번호 ▲공인인증서 비밀번호 등 정상적인 결제 정보 입력 화면처럼 가장, 개인 금융 정보를 탈취한다.

신용카드 정보 입력 유도 화면 (제공=이스트시큐리티)

현재 이스트시큐리티 시큐리티대응센터는 악성 앱의 유포 확산과 감염 피해 방지를 위해 한국인터넷진흥원(KISA)과 긴밀한 공조를 통해 대응을 진행하고 있다. 스마트폰 보안 앱 '알약 안드로이드'에서는 유포된 악성 앱을 ▲Android.Trojan.Fanebank.BF ▲Android.Trojan.SMSSend.XS 등의 탐지명으로 진단 및 치료하고 있다.

김준섭 이스트시큐리티 부사장은 "설 명절이 가까워짐에 따라 택배 배송 조회 등 물류 서비스를 가장한 스미싱 공격이 증가할 것으로 예상된다"며 "평상시 모바일 금융 서비스 사용 전 정상 금융 결제 서비스인지 꼼꼼히 살펴보는 습관을 가져야 한다"고 강조했다.

이민우 기자 letzwin@asiae.co.kr