알약 안드로이드 무료체험 사칭 스미싱 '주의'

[김국배기자] 알약 안드로이드 30일 무료체험을 사칭한 스미싱 공격이 일고 있어 이용자 주의가 요구된다.

이스트소프트(대표 김장중)는 지난 6일부터 알약 안드로이드 30일 무료체험 문자를 가장한 스미싱 공격 시도가 확인되고 있다고 밝혔다. 공격자는 'Smishing 완벽차단! 알약 안드로이드 출시! 30일 무료체험'이라는 문구와 함께 단축URL을 SMS 메시지로 전달한다.

기존 스미싱 공격이 단축 URL을 클릭한 후 바로 악성 실행파일(APK)을 다운로드했다면 이번에는 특정 URL을 접속해 유명 연예인의 광고이미지를 도용한 '쿠폰받기' 배너를 먼저 보여준 후 이용자가 해당 배너를 클릭하면 'baseDao'라는 악성앱을 설치하는 것이 다른 점이다.

발견된 사례에서는 SMS 메시지 내용과 단축 URL 클릭시 연결되는 배너이미지 내용이 서로 다르지만 향후 서로 일치하는 이미지를 통해 사용자들이 정상적인 이벤트로 착각하게 만들 가능성이 높다는 게 회사 측 설명이다.

설치된 'baseDao'앱이 사용자 스마트폰에서 실행되면 고유키를 생성해 공격자가 사전에 지정한 특정 서버와 특정 휴대폰으로 수집한 정보를 전송하며, 감염된 스마트폰으로 전달되는 SMS 메시지도 가로채 전달하게 된다.

이스트소프트 알약개발부문 김준섭 부문장은 "최근 단축URL 점검기능과 스미싱 공격에 대응하는 보안기능이 업그레이드되는 것에 대한 공격자들의 우회공격 방식 중의 하나로 추정된다"며 "이벤트 페이지를 경유해서 앱을 설치하는 경우는 스미싱 가능성을 의심해야 한다"고 당부했다.

김국배 기자의 다른 기사 보기

• 방통위, '스미싱' 확산 대비 제도개선키로

• 이통사 '스미싱' 구제, CP는 남모를 '속앓이