아이폰 메시지 iMessage도 안전하지 않다? 루시드 'Lucid' 피싱 공격 주의보!
새로운 피싱 서비스 'Lucid'가 암호화된 아이폰 iMessage를 악용해 스팸 필터를 우회하며 공격하고 있습니다. 임시 애플 ID 사용 방식과 함께, 문자 링크 클릭 주의, URL 확인, OS 업데이트 등 피해 예방 방법을 확인하세요.
아이폰 메시지 iMessage도 안전하지 않다? 루시드 'Lucid' 피싱 공격 주의보!
목차
인터넷에 연결되는 기기라면 사이버 공격의 대상이 될 수 있습니다. 강력한 보안 기능으로 유명한 아이폰 역시 마찬가지입니다. '아이폰은 해킹되지 않는다'는 생각은 흔한 오해입니다. 여러 이유로 대부분의 안드로이드 기기보다 안전한 선택일 수 있지만, 사이버 공격으로부터 완전히 자유로운 것은 아닙니다.
최근에는 해커들이 서비스형 피싱(Phishing-as-a-Service, PhaaS) 플랫폼을 구매하여 피싱 공격을 실행하기도 합니다. 보안 연구원 Catalyst의 보고서에 따르면, 'Lucid'라는 새로운 PhaaS 플랫폼이 아이폰을 대상으로 등장했습니다.
Lucid의 가장 우려스러운 점은 애플의 종단간 암호화된 iMessage를 통해 피싱 메시지를 보낸다는 점입니다. 암호화 때문에 일반적인 스팸 필터를 우회할 수 있기 때문입니다. (또한 암호화된 RCS를 통해 안드로이드 기기도 공격 대상으로 삼습니다.)
이 새로운 위협 'Lucid'가 어떻게 작동하는지, 그리고 우리가 어떻게 스스로를 보호할 수 있는지 알아보겠습니다.
'Lucid' 피싱 서비스란 무엇인가?
서비스형 피싱(PhaaS)은 말 그대로, 해커들이 일정 비용을 지불하고 피싱 공격을 쉽게 실행할 수 있도록 만들어진 소프트웨어 패키지나 플랫폼을 의미합니다. 'Lucid'는 'XinXin'이라는 업체가 배후에 있는 것으로 알려진 새로운 PhaaS 플랫폼으로, 특히 아이폰 사용자를 주된 공격 목표로 삼습니다.
iMessage 암호화 악용: 어떻게 작동하나?
Lucid는 아이폰의 iMessage가 종단간 암호화되어 있다는 점을 역으로 악용합니다.
- 스팸 필터 우회: 메시지 내용이 암호화되어 있기 때문에, 통신사나 앱의 스팸 필터가 내용을 분석하기 어려워 필터링을 통과할 가능성이 높아집니다.
- 대량 발송: 공격자들은 소위 '아이폰 팜(iPhone farms)'이라고 불리는 다수의 아이폰 기기와 '임시 애플 ID(temporary Apple IDs)', 그리고 '위장된 발신자 이름(impersonated display names)'을 사용하여 하루에 10만 건 이상의 피싱 메시지를 발송할 수 있다고 주장합니다.
- 정교한 위장: Lucid 플랫폼은 공격자가 합법적인 웹사이트나 메시지처럼 보이도록 만드는 템플릿을 제공합니다. 이것을 통해 미납된 통행료, 배송비, 세금 납부 등을 요구하는 그럴듯한 피싱 메시지를 만듭니다.
- 가짜 웹사이트 유도: 메시지 내 링크를 클릭하면, 실제 미국 우체국(U.S. Postal Service) 웹사이트 등 합법적인 사이트처럼 정교하게 위장한 가짜 웹사이트로 사용자를 유도하여 개인 정보나 금융 정보 입력을 시도합니다.
- 심리적 악용: 많은 아이폰 사용자들이 iMessage를 비교적 안전하다고 느끼는 경향이 있습니다. 해커들은 바로 이런 심리를 악용하며, 보고서에 따르면 Lucid는 "비용 효율적일 만큼" 높은 성공률을 보이고 있습니다.
해커 공격으로부터 자신을 보호하는 방법
문자 메시지는 편리하지만, 동시에 공격에 취약한 통로가 될 수도 있습니다. 다음은 Lucid와 같은 피싱 공격으로부터 스스로를 보호하기 위한 몇 가지 중요한 수칙입니다.
1. 문자 메시지 링크는 항상 의심하기
- 가능하면 문자 메시지(iMessage 포함) 내의 링크는 클릭하지 않는 것이 가장 안전합니다. 공공기관이나 금융기관 등은 중요한 정보를 문자 메시지 링크로 보내는 경우가 거의 없습니다.
2. URL 주소 꼼꼼히 확인
- 링크를 꼭 클릭해야 하는 상황이라면, 브라우저 주소창에 표시되는 URL 주소를 주의 깊게 확인하세요. 공격자들은 합법적인 도메인과 아주 유사하게 철자를 바꾸거나 특수문자를 추가하는 방식 등으로 가짜 도메인을 만듭니다. 조금이라도 의심스러우면 클릭하지 마세요.
3. 메시지 내용과 문법 확인
- 피싱 메시지는 어색한 번역 투의 문장, 오타, 잘못된 문법 등을 포함하는 경우가 많습니다. 공식적인 기관에서 보낸 메시지라고 하기에는 허술해 보인다면 일단 의심해야 합니다.
4. 운영체제(iOS) 최신 상태 유지
- 애플은 OS 업데이트를 통해 새로운 기능을 추가할 뿐만 아니라, 발견된 보안 취약점을 수정하는 패치를 배포합니다. 소프트웨어 업데이트 알림이 오면 가능한 한 빨리 설치하여 아이폰을 최신 보안 상태로 유지하는 것이 매우 중요합니다.
5. 추가적인 보안 조치 고려
- 필요하다면 신뢰할 수 있는 모바일 보안 앱 설치나 주기적인 보안 점검을 고려해 볼 수 있습니다.
자주 묻는 질문 (FAQ)
Q: iMessage는 암호화되는데 어떻게 피싱 메시지가 전달되나요? 암호화는 도움이 안 되나요?
A: iMessage의 종단간 암호화는 메시지 내용을 중간에서 가로채거나 들여다보는 것을 막아주는 강력한 보안 기능입니다. 하지만 메시지 자체를 보내는 행위나, 수신된 메시지 안에 포함된 악성 링크 클릭을 막지는 못합니다. 'Lucid'는 암호화로 인해 외부 스팸 필터 시스템이 메시지 내용을 분석하기 어렵다는 점을 악용하여 필터를 우회하고 사용자에게 메시지를 전달하는 것입니다.
Q: 애플은 이런 임시 애플 ID나 아이폰 팜을 차단할 수 없나요?
A: 애플은 스팸 및 피싱 목적으로 생성 및 사용되는 계정과 기기를 탐지하고 차단하기 위해 지속적으로 노력하고 있습니다. 하지만 공격자들 역시 탐지를 피하기 위해 끊임없이 새로운 방법(예: 수많은 임시 ID 자동 생성 및 교체)을 사용하므로, 모든 악성 활동을 100% 즉시 차단하는 것은 현실적으로 매우 어렵습니다. 따라서 시스템적인 차단 노력과 더불어 사용자 스스로의 주의가 반드시 필요합니다.
Q: 실수로 피싱 문자 메시지의 링크를 클릭했다면 어떻게 해야 하나요?
A: 즉시 인터넷 연결(Wi-Fi, 모바일 데이터)을 끊고, 열린 웹사이트에서 로그인 정보, 개인 정보, 금융 정보 등 어떤 정보도 입력하지 마십시오. 만약 정보를 이미 입력했다면, 즉시 해당 서비스(은행, 포털 사이트 등)의 비밀번호를 변경하고, 필요한 경우 즉시 금융 기관이나 관련 기관에 연락하여 카드 정지, 추가 피해 예방 등의 조치를 취해야 합니다. 또한, 아이폰에 악성 소프트웨어가 설치되었을 가능성도 있으므로 의심스러운 동작이 없는지 주시하고 필요하다면 보안 점검을 받는 것이 좋습니다.