악성코드 설치됐을 경우 '공장 초기화'
아이폰 해외 사용자 10만 명 이상 피해
스마트폰 항상 최신버전으로 업데이트
◆…정부 부처 직원에게 발송한 스미싱 문자. 사진=금융위원회 제공
최근 금융위원회 직원 연락처가 해킹돼 부고 스미싱 문자가 금융위 직원들에게도 발송될 정도로 스미싱 범죄가 기승을 부리고 있다.
스미싱은 악성 앱 주소가 포함된 휴대폰 문자(SMS)를 대량 전송 후, 이용자가 악성 앱을 설치하거나 전화를 하도록 유도해 금융정보·개인정보 등을 탈취하는 수법이다.
스팸 차단 앱 '후후'를 제공하는 브이피는 빈도가 높지 않아 단순히 '기타' 항목으로 관리했던 스팸이 지난해 1분기 22만건에서 4분기 36만건으로 늘었으며 온라인 부고장을 이용한 스미싱 등이 여기에 해당한다고 25일 밝혔다.
지인 사칭 스미싱은 주로 청첩장이나 부고장으로 보내진다. 스미싱 범죄 일당이 원격으로 스미싱 문자를 보낸 뒤에 곧바로 피해자들의 스마트폰에서 문자 전송 기록을 지워버리기 때문에 피해자들은 자신이 스미싱에 당했다는 사실조차 알아차리기 힘들다는 것이 한국인터넷진흥원(KISA)의 설명이다.
김승주 고려대 정보보호대학원 교수는 지난 24일 MBC 라디오 '김종배의 시선집중'에서 악성 코드가 담긴 URL을 누르면 악성앱이 주소록을 조회해 다른 사람에게 유사한 내용의 스미싱을 발송하는 등 2차 피해가 발생할 수 있다고 경고했다.
김 교수는 "악성코드에 감염이 되면 기본적으로 내 스마트폰 전화번호 목록에 있는 사람들한테 전부 다 스미싱 문자를 보낸다"며 "그러다 보니까 내가 피해자가 되는 동시에 가해자가 되는 것"이라고 강조했다.
아이폰이 안드로이드폰보다 보안대책이 잘 되어 있느냐는 진행자의 질문에 "아이폰이 안전하고 안드로이드폰만 스미싱 피해가 있는 것은 아니다"며 "실제로 외국의 한 보안업체가 2023년 9월 아이폰 사용자를 대상으로 한 스미싱 공격이 급증하고 있다고 밝힌 바 있다. 당시 스미싱 문자를 통해서 감염됐던 피해자들은 10만 8000여명 정도"라고 말했다.
앞서 이스트시큐리티 시큐리티대응센터(ESRC)도 스미싱 공격자가 악성 앱 설치가 어려운 아이폰의 보안을 우회하기 위해 악성 앱 설치를 유도하는 대신 애플 ID와 비밀번호 탈취를 통해 사용자 아이클라우드에 접근한 뒤 개인정보들을 탈취한 사례가 있다고 주의를 당부한 바 있다.
김 교수는 스미싱을 당한 사실을 인지하는 순간부터 일단 핸드폰 사용을 자제하고 즉각 비행기모드로 변경하라고 조언했다. 그는 "비행기모드로 바꾸면 통신 기능이 전부 다 차단이 된다. 그 다음에 해당 스마트폰을 가지고 한국인터넷진흥원이라든가 보안업체에 가서 실제로 해킹 당했는지의 절차를 밟는 게 좋다"며 "내가 의심이 든다고 바로 공장초기화를 하면 증거들이 다 날아갈 수 있다"고 지적했다.
마지막으로 그는 스마트폰 운영체제는 항상 최신버전으로 업데이트하라고 강조했다. 업데이트 중 상당수는 중요한 보안 패치나 기능에 대한 개선사항을 포함하기 때문이다.
