스미싱 공격 중 66% 이상은 건강검진 사칭

최근 스미싱 공격 중 66% 이상이 건강검진 관련 내용을 사칭한 공격인 것으로 나타났다.

30일 보안전문기업 이스트시큐리티 시큐리티대응센터(ESRC)는 2022년 12월 발생한 스미싱 공격 중 상당 수가 ‘건강검진’이라는 키워드를 사용했고, 전월 대비 26.07% 증가한 66.67%를 차지하고 있다고 밝혔다.

해당 스미싱은 주로 건강 검진 결과 등을 확인하라는 문구로 구성된다. 주로 건강검진 안내서나 통보서를 발송했다는 내용으로 이루어져 있다. 피해자가 건강검진 스미싱 문자를 받게 되면 건강검진과 관련된 문서를 받은 것으로 오인해 공격자가 보낸 링크를 클릭하게 되고 건강검진 관련 문서가 아닌 악성 앱을 다운로드 받게 되는 식이다.

다운로드한 악성 앱은 피해자의 개인정보 탈취를 목적으로 제작돼 있으며 신분증, 금융 정보등의 민감한 개인정보 탈취를 시도한다. 연말에는 건강검진 등을 받는 사람이 많기 때문에 이를 이용한 수법이다.

또 지속적으로 감소하고 있던 택배 스미싱도 다시 증가하는 것으로 나타났다. 택배를 키워드로하는 스미싱 공격은 16.36%로 역시 전월 대비 6.55% 증가한 것으로 나타났다. 택배가 증가하는 연말연시의 시기적인 특수성을 적절히 활용해 이같은 스미싱 수법이 증가한 것으로 풀이된다.

택배사를 위장한 스미싱은 주로 택배 도착을 알리거나 주소지 오류, 택배 위탁 장소 지정 등을 문구로 내세워 사용자들의 주의를 끄는 식이다.

반면, 보이스피싱을 유도하는 내용의 스미싱 공격과 수사기관을 사칭하는 스미싱 공격은 각각 9.82%, 0.41%로 나타났으며 모두 전월 대비 감소하는 추세를 보였다.

보이스피싱을 유도하는 문자들을 살펴보면, 보이스피싱 스미싱은 기존의 스미싱 공격과 달리 악성 앱을 유포하는 URL 대신 공격자의 전화번호를 보내 전화를 유도한다.

피해자가 공격자에게 전화를 걸면 공격자는 피해자에게 악성 앱 설치를 안내해 악성 앱을 유포하는 방식으로 진행된다. 전화통화를 통해 실시간으로 안내를 받기 때문에 피해자는 URL을 포함한 문자보다 더 쉽게 신뢰해 혼동할 수 있다. 안내에 따라 악성 앱 설치를 진행하게 되면 정보 탈취가 이뤄진다.

수사기관사칭 스미싱은 경찰, 검찰등의 수사기관을 사칭하는 방식으로 12월은 이같은 스미싱이 전월대비 19.75% 감소했다.

보안업계 관계자는 "스미싱 공격은 무엇보다 사전 예방이 가장 중요하다"며 "스마트 폰을 사용할 때 항상 공격 가능성을 염두에 둬야 한다"고 말했다.

이어 "문자 내의 낯선 URL 링크를 클릭하지 않거나 다운로드한 악성 앱을 설치하지 않는 것 만으로도 상당수의 스미싱 공격이 예방을 예방할 수 있다"며 "신뢰할 수 있는 백신 앱을 설치하는 것도 피해를 예방하는 좋은 방법이다"고 조언했다.

이유정 기자 uzzoni@chosunbiz.com