카카오톡 메신저 피싱 유형..."카카오톡 통한 악성 앱 전달 '메신저 피싱' 활발"

 

‘국민 메신저 앱’ 카카오톡을 통해 악성 앱을 유포한 뒤 연락처를 빼내는 사이버 공격이 늘어나고 있어 각별한 주의가 필요하겠습니다.

 

21일 이스트시큐리티 시큐리티대응센터(ESRC)는 카카오톡 메시지를 통해 개인 휴대전화에 악성 앱이 설치되는 사례가 최근 발견됐다고 밝혔습니다.

ESRC에 따르면 이번 공격은 불특정 다수를 대상으로 진행됐다고 합니다.

그리고 기존에는 이런 유형의 공격이 만남을 목적으로 하는 데이트 앱이 활용되는 경우가 있었지만 이번엔 카카오톡을 활용한 것이 특징입니다.

 

 

공격자는 주로 스스로를 필라테스나 폴댄스 같은 학원 강사를 사칭하면 접근했지만 경우에 따라서는 일반인을 사칭해 접근하기도 했습니다.

공격자는 공격 대상자가 카카오톡 친구로 등록돼 있다거나, 친구 추천에 나타났다며 먼저 메시지를 보내 호기심을 유발했습니다.

 

“안녕하세요 카톡 친구 정리하다 친구로 돼 있어 톡 드립니다. 실례지만 누구시죠? 저는 **에 사는 *** 이라고 합니다”

 

이들은 대상자가 별다른 반응을 보이지 않으면 공격을 마쳤지만 반응을 보이면 공격을 본격적으로 시작했습니다.

평범한 이야기를 주고 받으며 대상자와 친밀감과 신뢰를 쌓은 뒤 자연스럽게 데이트앱 등 ‘앱 설치 파일(확장자 apk)’을 보냈습니다.

만약 대상자가 이 앱을 설치하면 휴대전화에 저장된 전화번호가 통째로 공격자에게 전송돼 악용될 수 있습니다.

 

공격자 서버에서 받은 앱 목록

 

ESRC는 “현재까지 파악된 앱들에는 연락처 수집 기능만 있지만 향후 다양한 기능이 추가될 가능성이 있다”고 경고했습니다.

이어 “낯선 사람에게서 온 카카오톡에는 답변하지 말고, 특히 구글 플레이가 아닌 다른 경로를 통해 받은 .apk 파일은 절대 설치하지 않도록 해야 한다”고 덧붙였습니다.

 

이처럼 카카오톡을 통한 사이버 공격이 늘어나는 상황에서 금융 사기 피해가 급증한 것으로 알려졌습니다.

21일 금융감독원이 국회 정무위원회 소속 강민국 국민의힘 의원에게 제출한 ‘보이스 피싱 피해 현황’ 자료에 따르면 2018~2022년 보이스 피싱 피해 건수는 22만 7,126건, 피해액은 1조 6,645억원을 기록했습니다.

올해도 지난 1월 한 달간 발생한 보이스 피싱 피해 건수가 총 843건, 피해액은 35억원으로 집계됐는데요.

 

 

보이스 피싱 피해 건수를 유형별로 보면 대출 빙자가 13만 1,427건(9,998억원)으로 가장 많았고, 이어 메신저 피싱(지인 사칭)이 7만 7,655건(2,849억원), 기관 사칭 1만 8,044건(3,799억원)이었습니다.

그리고 대출 빙자가 2020년부터 급감하는 반면 메신저 피싱은 최근 계속해서 늘고 있었습니다.

메신저 피싱이 전체 보이스 피싱에서 차지하는 비중은 피해 건수 기준으로 2018년 14%(9,607건), 2019년 11%(8,306건), 2020년 34%(8,921건), 2021년 85%(2만 5,287건), 2022년 89%(2만 5,534건)로 급증세를 보였습니다.

피해액 역시 2018년 5%(216억원), 2019년 5%(342억원), 2020년 16%(373억원), 2021년 59%(991억원), 2022년 64%(927억원)로 가파르게 상승했는데요.

 

 

메신저 피싱 대부분은 카카오톡에서 발생했습니다.

신고 건수 2만 4,808건(831억5천만원) 중 95%인 2만 3,602건(771억원)이 카카오톡을 통해 이뤄진 메신저 피싱이었습니다.

메신저 종류를 신고하지 않은 기타 피해 건(기타 : 5만 2,847건)의 경우에도 점유율을 감안하면 대다수가 카카오톡을 통한 피해일 것으로 보입니다.

 

 

이처럼 카카오톡을 포함한 메신저 피싱 사례가 급증하고 있습니다.

그리고 악성 앱을 활용한 사이버 공격도 늘어나고 있기에 사용자들의 각별한 주의가 필요하겠습니다.

혹시라도 모르는 사람이 메신저를 통해 앱 설치 파일이나 URL을 건넨다면 절대 설치하지 않아야 하겠습니다. 또한 자식이나 지인을 사칭해 금전을 요구하는 경우도 있으니 이럴 때는 직접 전화를 해보는 등 확실한 확인이 필요하겠습니다.