만우절은 해킹데이, 재난지원금·백신 문자 조심하세요

경찰청 교통민원24로 위장한 피싱 사이트와 교통범칙금 알림으로 위장한 해킹 문자메시지. 링크를 클릭하면 금융정보를 빼간다. [사진 안랩]

전 세계 보안 업계가 긴장하는 날이 올해도 찾아왔다. 4월 1일 만우절, 악성코드 같은 사이버 공격이 기승을 부리는 날이다. 올해는 코로나19 백신 접종과 긴급지원자금 등 공공 알림이 많아 더욱 주의가 필요하다.

‘법규위반’ 등 문자 URL 누르면 #핸드폰·PC 속 금융정보 빼가 #앱 새로 깔 때 가짜앱도 주의 필요 #“출처 모르는 메일 클릭 말아야”

2000년대 후반부터 만우절은 ‘해킹 디데이’였다. 농담이 오가는 만우절 분위기를 노려 악성코드를 뿌리는 수법이 등장했다.

만우절 해킹 범죄의 기원은 2008년 즈음이다. ‘Surprise!’(놀랐죠?)라는 제목의 e메일이 대량 유포됐고, 메일 속 URL을 누르면 악성코드가 설치됐다. 2012년 만우절에는 게임회사 로블록스가 해킹당해 가상화폐가 공짜로 뿌려졌고, 2017년 만우절엔 미국 언론사 뉴욕포스트가 해킹당해 앱으로 ‘하일 트럼프(트럼프 만세)’가 속보로 발송됐다.

박태환 안랩 ASEC 대응팀장은 “공격자는 만우절 같이 사람의 경계가 풀릴 때를 노린다”며 “출처가 확인되지 않은 메일이나 문자 속 첨부파일·URL을 클릭하지 말고, 운영체제와 브라우저에 최신 보안패치를 적용해야 한다”고 말했다.

최근 정부의 여러 공공 서비스가 모바일로 이뤄지면서 범죄 방식은 더 교묘해졌다. 여기에 코로나19로 각종 알림 문자가 늘어난 것도 한몫했다.

미국 FBI는 국가 주도 해킹을 실행한 북한 해커 3명을 지난 2월 지명수배했다. [사진 FBI]

‘4차 재난지원금 지급 대상인지 확인하세요’라는 문자가 최근 대량 발송됐다. 문자 속 URL을 누르면 악성코드로 금융정보를 빼 간다. 피해가 늘자 지난달 9일 금융감독원이 소비자 경보를 발령했다.

올해 초에는 경찰청 사칭 ‘교통 범칙금 문자’가 안랩 보안팀에 포착됐다. ‘법규 위반 사실을 확인하라’는 문자 속 URL을 누르면 ‘경찰청 교통민원24’와 비슷하게 생긴 가짜 사이트(피싱 사이트)로 연결된다. 여기에 휴대전화 번호를 입력하면 악성 앱이 깔려 피해를 본다.

모바일 메신저가 전자지갑과 백신 접종 알리미 등 다방면에 사용되면서 주의가 더욱 필요해졌다. 메신저를 새로 내려받는 사람을 노린 가짜 사이트가 등장했다. 올해 초에는 카카오톡 PC용 홈페이지로 위장해 악성코드를 유포한 피싱 사이트가 발견되기도 했다.

각국의 코로나19 백신 기술과 유통, 접종 안내 시스템을 노린 사이버 범죄도 기승을 부린다. 백신 기술의 경제 가치가 커 국가 간 사이버 전쟁 양상도 나타난다. 지난달 헝가리 정부의 백신 접종 등록 사이트가 사이버 공격으로 마비됐다. 앞서 지난해 12월에는 유럽의약품청(EMA)이 대규모 사이버 공격을 받았다. 이때 화이자의 백신 정보가 일부 유출된 것으로 알려졌다. 유럽 언론은 중국과 러시아 정보기관을 배후로 지목했다.

북한도 사이버 범죄 배후국으로 자주 꼽힌다. 북한이 지난해 하반기부터 다국적 제약회사는 물론 셀트리온·제넥신·신풍제약 같은 한국 회사의 백신·치료제 기술을 빼내려 해킹 공격을 한 것이 마이크로소프트(MS) 등에 포착됐고, 지난달 국회 국정원 업무보고에서도 공개됐다. 미국 법무부는 지난 2월 북한 정찰총국 소속 해커 3명을 기소하고 수배했다. 전 세계 은행과 기업을 해킹해 암호화폐·현금 등을 빼돌린 혐의다. 미국 전략국제문제연구소(CSIS)는 북한 해킹 조직이 ‘정보 탈취용’과 ‘외화벌이용’으로 각각 전문화돼 있다고 분석했다.

지난달 초 인도 현지 언론과 국제 외신을 중심으로 중국이 인도의 백신 시스템을 해킹하고 전력망에 악성코드를 유포해 정전을 유발했다는 주장이 제기됐다.

심서현 기자 shshim@joongang.co.kr