'문화상품권 룰렛 이벤트'로 페이스북 토큰 정보 탈취 주의

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다.

최근 페이스북 이용자 사이에서 퍼지고 있는 '문화상품권(문상) 룰렛 이벤트 사이트' 등에서 페이스북 토큰 정보를 수집하는 사이트가 확인되어 주의를 당부드립니다. 

[그림 1] SNS 이용자들 사이에 퍼지고 있는 문상 룰렛 이벤트 게시글

사이트에 접속하면 최초 룰렛 1회를 돌릴 기회를 제공하고, 이용자가 룰렛을 1회 돌릴 경우 '페이스북으로 로그인하여 5회 무료기회 받으세요'라는 메세지가 나타납니다.

[그림2] 문상 룰렛 이벤트 사이트 화면

[그림 3] 페이스북 로그인 유도 화면

이용자가 'Log in with Facebook' 버튼을 누를 경우, 다음과 같이 UOAUOA 앱에서 수신하는 정보가 나오고, 계속 진행할 경우 아이디 및 비밀번호를 입력 폼에 입력하도록 합니다.

[그림 4] UOAUOA 수신 정보 화면

[그림 5] 페이스북 아이디 및 비밀번호 입력 화면

실제 다음과 같이 페이스북 토큰 정보를 요구합니다.

[그림 6] 페이스북 토큰 정보 복사 유도 화면

토큰 정보를 입력하여 진행할 경우, 토큰 정보를 해당 서버로 보냄과 동시에 룰렛을 5번 돌릴 수 있는 페이지로 이동합니다. 그리고 룰렛을 돌려 문화 상품권에 당첨이 되었을 경우 이름, 주소, 이메일와 같이 상품 신청을 위한 추가 정보를 요구합니다.

[그림 7] 페이스북 토큰 정보 전송 화면

[그림 8] 상품 신청을 위한 추가 정보 입력 유도 화면

[그림 9] 추가 정보 입력 전송 화면

페이스북에서 제공하는 토큰은 이용자만의 고유한 키이며 이 키를 통해 외부인이 페이스북 좋아요, 게시글 작성 등이 가능하기에 유출되지 않도록 주의해야 합니다. 만일 해당 사이트 등을 통해 자신의 페이스북 토큰 정보를 넘겼을 경우, 비밀번호 변경을 해주시고, 유사한 사이트에 대해 접근을 삼가주시기 바랍니다.

감사합니다.