진짜 은행 앱 위에 가짜 로그인창 띄우는 사기 나옴

나라면 갑자기 온 메일을 보고 앱을 설치하는 게 엄청 위험하다는 걸 알겠지만, 모르는 사람도 많겠지.

만드는 방식이 허술하니까 이런 일이 생기는 거임. 그냥 웹과 브라우저를 쓰면 될 걸 굳이 전용 앱을 만들고 있으니. 쓸데없는 걸 너무 많이 해. 어설픈 업체에 속아서 엉성한 보안을 도입하니 이렇지. CUA부터 다시 배워야 할 때다.

정말인가 싶었는데 메일 URL을 눌러 설치하는 단계가 있었구나. 메일 속 링크를 열면 가짜 앱스토어로 유도되고 거기서 악성 앱을 설치하게 되는 방식이라고 함.

PHP 이슈와 엮어서 ‘긴급 보안 패치를 적용해 주세요’라고 하면 오히려 신문을 챙겨 읽는 사람들이 속을 것 같음. 세상이 사이버 공격에 진지하게 대응할수록 사이버 공격을 하기도 쉬워지는 딜레마네.

‘진짜 앱을 열었다’는 표현이 묘하네. 실제로는 다른 앱이 작동하는 가운데 진짜 앱을 연 거잖아. 거짓말은 아니지만 이런 표현은 신뢰를 깎아먹는다고 봄.

요즘 피싱 메일은 집요하게 앱을 설치시키려 하더라.

기술자라면 안드로이드에서 오버레이를 설정하게 하는 단계에서 이상하다고 알아차리겠지만, 많은 사람에게는 그냥 ‘앱이 시키는 대로 설정한 것’일 뿐이라 아무런 위화감도 없겠지.

요즘 국세청을 사칭하는 스팸 메일은 정말 허술함. ‘국세청’이라고 쓰면 자동 삭제된다는 걸 배웠는지 ‘국·세·청’이나 ‘국 세 청’이라고 쓰더라. 그러면 더 가짜 같잖아 ㅋㅋ

해당 금융기관과 무관한 메일로 유도해서 앱을 설치하게 하고, 그 앱이 정식 금융기관 앱을 켰을 때 가짜 로그인 화면을 덮어씌운다는 모양임. 웹사이트 로그인 화면에 덮어씌우는 건 예전에 본 기억이 있음.

국세청이나 기업 등을 사칭한 메일로 ‘세금 환급을 받으려면 절차가 필요하다’, ‘포인트 유효기간이 만료된다’는 식으로 앱 설치를 유도한다고 함.

언젠가는 그냥 인터넷만 보고 있어도 사기 광고 팝업이 뜨고, 누르면 가짜 마켓으로 이동해서 가짜 앱 설치까지 자동으로 이어질 것 같아 불안함.

이용자가 쉽게 속는다면 보안 대책을 세워도 달라지는 게 없을지도. 금융 쪽은 기업을 공격하는 것보다 이용자를 속이는 쪽이 성공하기 쉬운 것 같음.

진짜가 아니라 처음부터 가짜였잖아.

어떻게 하는 건가 했더니 메일 링크 → 다른 앱 다운로드 → 진짜 앱을 열었을 때 위에 화면을 띄워 입력하게 하는 흐름이구나. 못 알아차리는 사람이 많을 듯.

iOS에는 이런 기능이 없지 않나? 라인 같은 앱도 오버레이를 쓰는 모양이라 경고를 끄는 방법을 친절히 알려 주는 글이 있나 봄. 안드로이드는 관리가 느슨하네.

그 국세청 사칭 메일의 링크를 따라가면 저렇게 되는 거구나.

메일 링크를 열면 가짜 앱스토어로 유도되고 거기서 악성 앱을 설치하게 되는 방식이라고? 문제는 이쪽이네. 해산.

이번 기회에 시대에 뒤처진 기능이나 새 기능이라도 안전성을 해치는 것들은 전부 정리해야 한다고 봄. 오버레이는 안전하게 운영하기 어려워 보여.

‘화면 오버레이 감지’로 검색하면 안드로이드 OS가 어렵게 띄운 경고를 끄는 방법을 친절하게 알려 주는 글이 엄청나게 나옴.

가짜 앱스토어로 유도해서 악성 앱을 설치하게 하는 거구나. 이런 가능성 때문에 앱스토어 개방에 찬성할 수 없었음. 이번에는 안드로이드 얘기인 것 같지만.

이런 사람들은 PHP2Shell 같은 고급 기술에는 관심도 없고 단순한 수법만으로 한탕을 노리는 거 아닐까?

아, 그렇구나. ‘이 링크에서 앱을 설치하면 포인트를 전원에게 드립니다! 이미 설치한 분도 설치 가능!’ 같은 가짜 캠페인으로도 유인할 수 있겠네.

아래 댓글에 대해 말하자면, 애플 앱스토어에서는 애플이 승인한 것만 설치할 수 있는 거 아닌가? 구조가 다른 안드로이드 사례를 이유로 비판하는 건 잘못됐다고 봄.

안드로이드 설정 → 앱 → 특별한 앱 접근 → ‘다른 앱 위에 표시’. 이 권한을 악용하는 거구나. 주목 댓글에 올라가려고 괜히 글자 수도 늘려 봄.

일본 정부가 스마트폰 신법으로 아이폰에 보안상 빈틈을 만들었네. 거기로 안드로이드 앱 같은 가짜 앱이 침입하면 누가 책임질 건데? 후쿠시마 원전 사고 때처럼 예상할 수 없었다면서 아무도 책임 안 지고 피해자만 억울하게 끝나겠지.

확실히 수법은 정교하지만 결국 흔한 환급금 사기의 변형이네. 관공서가 세금이 돌아온다고 굳이 이메일로 알려 줄 리 없잖아.

앱이든 브라우저든 비밀번호는 절대로 직접 입력하지 마라. IT 매체들은 습관처럼 재사용하지 말라는 얘기만 하니까 이런 피싱 사기가 없어지지 않는 거임. 직접 입력하지 말라고 제대로 알려줘야 한다고 봄.

‘앱 설치를 유도합니다’라니, 앱 설치를 권하는 이메일은 전부 사기라고 생각해야겠네.

악성 앱을 설치한 뒤 정식 금융기관 앱을 실행하면 진짜 화면 위에 가짜 로그인 화면을 겹쳐 띄워서 실제로 조작하는 화면이 가짜가 된다는 거네. 오버레이 권한이구나.

뭐야 이거… 사기꾼들의 머리 쓰는 방식에는 놀라게 되네.

오버레이가 편리할 때도 있겠지만 전체 화면으로 표시할 필요까지 있을까? 화면의 일정 부분까지만 허용하고 오버레이라는 걸 알아볼 수 있게 OS에서 표시해 주면 좋겠음. 개인의 주의력에만 의존하는 건 한계가 있지.

예전부터 흔히 있던 수법임. 가짜 e-Tax나 PDF 리더 같은 도구의 업데이트인 척 가짜 앱을 설치하게 하고, 비밀번호가 필요한 앱을 켰을 때 위에 가짜 화면을 띄워서 정보를 훔치는 거.

이제 메일에서 다운로드하라거나 메일 링크로 로그인하라는 건 무서워서 못 하겠음. 개인적으로는 대체로 안 해도 되는데, 업무에서는 그런 일이 종종 있어서 정말 불안함.

가짜 앱스토어로 유도해 악성 앱을 설치하게 하고, 사용자가 평소 쓰는 정식 금융기관 앱을 실행하면 악성 앱이 진짜 화면 위에 가짜 로그인 화면을 겹쳐 띄운다는 거네.

얼마 전의 e-Tax만 해도 공식 절차에서 뭘 하는지 잘 모르겠는 수상한 앱을 PC나 맥에 수동으로 설치하게 했지. 절차가 많고 사용하기 불편한 점을 역이용당하는 느낌임.

애플의 앱 심사가 엄격한 건 이런 상황까지 내다봤기 때문이겠구나 싶음.

제목이 이상하지 않나? 피싱에 속아서 그럴듯한 가짜 앱을 설치한 것뿐이니 진짜 은행 앱을 연 게 아니잖아.

정식 금융기관 앱을 실행하면 악성 앱이 진짜 화면 위에 가짜 로그인 화면을 띄운다고? 그런 것도 가능하구나. 구글 심사는 통과하지 못하더라도 기술적으로는 가능하다는 뜻인가?

이제 이메일 말고 다른 통신 방식을 표준으로 삼아야 하는 거 아닐까.

이메일이나 광고를 통해 설치한 앱이 문제를 일으키는 경우가 많음. 은행 앱 전용 스마트폰과 실물 일회용 비밀번호 생성기를 추천하고 싶다.

오버레이가 문제네. 화면 블루라이트 차단 필터 앱이 그 권한을 요구하기도 해서 설정 방법이 인터넷에 널려 있음. 스마트폰에 따라 기본 기능으로도 가능하니 전환할 수 있으면 그쪽으로 바꾸는 게 좋을 듯.

진짜 앱이 단독으로 당한 건 아니잖아. DNS 문제인가 하고 이것저것 예상했네.

사실상 안드로이드 한정이지? 다른 앱 위에 띄우는 오버레이 때문에 얼마 전 나이 드신 아버지가 안드로이드에서 고생하셨음. 아무것도 조작할 수 없다며 화를 내시더니 통신사 회선까지 해지하셨다. 연락이 안 돼서 불편하지만 어떤 의미로는 안심이기도 함.

금융기관에서 마이넘버 카드 디지털 인증을 필수로 해 줬으면 좋겠음. 현실은 보수적인 은행이 많아서 패스키조차 도입하지 않고, 오히려 정체를 알 수 없는 독자적인 인증 방식을 쓰기도 하니까.

확실히 요즘 국세청이나 e-Tax를 발신자 이름으로 내세운 스팸이 성가심. ‘소득세 신의 고에 관하여’처럼 제목이 꽤 엉뚱한 것도 있더라.

뭐야, 가짜 앱인 줄 모르고 설치하게 된 거였구나…

메일이나 문자 피싱으로 악성 앱을 설치하게 하는 사기인데 제목을 저렇게 붙였네. 제목이 정말 별로다. 조회 수는 잘 나오겠어.

스마트폰을 노리는 수법 중에는 전체 화면 표시 권한을 얻은 다른 앱을 어떤 계기로 작동시키는 게 많은 이미지임. 광고에서도 많이 쓰는 방식이고.