추석 연휴 첫날 확진자가 닷새만에 다시 세자리수를 기록하는 등 여전히 신종 코로나바이러스 감염증(코로나19) 재확산에 대한 우려가 큰 상황이다. 명절마저 '언택트'(비대면)로 보내야 하는 초유의 상황인 만큼 보안 틈새를 노리는 해커들의 움직임도 더 분주해질 전망이다.

한창규 안랩 시큐리티대응센터(ASEC) 센터장은 "올 추석에는 이동을 최소화하고 집에서 PC나 스마트폰 등으로 소통하거나 여가시간을 보내는 경우가 증가할 것으로 보인다"며 "공격자는 이런 시기를 노려 악성코드 유포나 개인정보 탈취를 시도 할 수 있어 안전한 비대면 추석을 보내기 위해서는 기본적인 보안 수칙을 지켜야 한다"고 강조했다.

갑자기 돈 보내 달라고? 친인척 문자도 조심

올 추석에는 직접 만나지 못한 아쉬운 마음을 문자 메시지나 메신저 등으로 전하는 안부인사가 더 늘어날 전망이다. 하지만 이런 애틋한 마음조차 해커들에겐 공격 대상이 될 수 있다.

공격자는 가족 구성원을 사칭하거나 안부 인사로 위장한 메시지로 악성 앱 설치나 금융정보 탈취를 시도할 수 있다. 특히 최근 자녀를 사칭한 문자 메시지로 개인정보와 금융정보를 빼내 문화상품권 등을 구매한 후 핀번호 등을 요구하거나 스마트폰을 원격조종하는 악성앱 설치까지 유도하는 사례가 발견되기도 했다.

가족이나 친지의 문자라도 문자메시지로 앱 설치를 유도하거나 금전거래를 요구할 경우 직접 전화를 걸어 사실 여부를 확인하는 게 좋다.

"택배 왔어요~" URL 클릭 하지 마세요

이런 '스미싱'은 올 추석에 가장 큰 보안 위협 중 하나다. 스미싱은 모바일 기기 사용자들을 속이기 위한 SMS 문제 메시지로, 사용자들이 의심 없이 악성코드와 악성앱이 담긴 인터넷주소(URL)로 접속하도록 유도한다.

고향에 가지 못해 대신 선물로 마음을 전하는 상황도 스미싱이 노리는 대상이 될 수 있다. 선물 배송이 많아지면서 택배 알림으로 위장한 스미싱 문자나 메일로 악성코드를 유포할 가능성도 크다.

택배 사칭 스미싱은 추석뿐만 아니라 평소에도 굉장히 빈번한 스미싱 수법이다. 택배 사칭 스미싱 문자에 담긴 URL에 무심코 접속하게 되면 택배사 앱을 가장한 악성앱을 다운받게 만들고, 사용자의 개인정보를 전달하게 만든다.

이렇게 탈취된 사용자의 전화번호나 메시지 정보는 지인들에게 또 다른 스미싱 문자를 보내거나 금품을 요구하는 사기 행위에 악용될 수 있다.

최근에는 유명 국제배송업체의 송장 확인 메일을 위장해 악성코드를 유포하는 사례와 택배 도착 안내를 위장한 스미싱은 꾸준히 발견되고 있다.

모바일 상품권, 2차 재난 지원금도 '표적'

추석에는 여러 기관이나 기업에서 명절 기념으로 모바일 상품권을 경품으로 내걸곤한다. 가족이나 지인들 사이에서도 모바일 상품권을 주고 받는 경우가 많은데, 관련 문자 메시지에 담긴 URL을 무심코 클릭하게 되면 마찬가지로 악성앱이 설치돼 개인정보를 탈취 당할 수 있다.

최근에는 정부가 소상공인 등 코로나 2차 재난지원금 대상자에게 문자메시지 안내를 보낸다고 예고하자 '2차 재난지원금 지급'으로 위장한 스미싱 문자메시지가 발견되기도 했다.

보안 업체 이스트시큐리티는 "올해 8월까지 스미싱 탐지 건수는 이미 70만건을 넘어섰다"며 "특히 추석 기간에는 택배 사칭, 코로나 긴급재난지원금, 추석 선물이나 기프티콘 도착 등의 키워드를 이용한 스미싱이 더 늘어날 전망이라 해당 키워드의 문자를 보고 무턱대고 바로 열람을 해선 절대 안된다"고 경고했다.

영화, 동영상, 게임 '어둠의 경로'는 보안 사각지대 

코로나19로 '집콕' 연휴가 이어지면서 올해는 다른 어느 해보다 각자의 집에서 PC나 스마트 기기로 영화, 게임, 인기 동영상 등의 콘텐츠를 즐기는 사용자가 많을 것으로 보인다. 혹여나 불법 다운로드를 이용하려 한다면 보안 위협에 노출될 가능성이 크다.

실제로 최근 파일공유 사이트나 토렌트에서 최신 개봉 영화나 성인 게임 파일로 위장한 악성코드를 유포한 사례가 꾸준히 발견됐다. 또 유명 콘텐츠 스트리밍 회사의 공식 계정을 사칭해 '구매한 내역을 확인하라'며 피싱 메일이나 스미싱 문자를 발송한 사례가 발견되기도 했다. 추석 연휴에는 이와 유사한 공격이 증가할 수 있다.

사용자는 게임이나 영화를 다운로드 할 경우 공식 홈페이지를 이용하고 출처를 알 수 없는 파일은 내려받지 않는 것이 가장 중요하다. 콘텐츠 서비스와 관련한 이메일이나 문자를 받았을 경우 발신자를 다시 한 번 확인하고 발신자가 불명확한 첨부파일이나 URL을 실행하지 말아야 한다.

남도영 기자 hyun@techm.kr