SNS 이벤트를 사칭하여 개인정보 유출을 시도하는 공격 주의!

 

 

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다.

최근 SNS를 통해 사용자들의 이벤트 참여를 유도하는 기업 및 단체들이 증가하고 있습니다. 

 

실제로 많은 기업들 및 단체들이 SNS 팔로우를 하고 댓글을 다는 방식을 통하여 사용자들의 이벤트 참여를 유도하고, 당첨자들에게는 개인 메세지를 통해 당첨사실을 알려주고 있습니다.  

 

이러한 기조에 발맞춰, 최근 SNS를 통한 개인정보 유출을 시도하는 공격들이 급증하고 있어 사용자들의 각별한 주의가 필요합니다. 

 

공격자는 SNS 계정을 실제 공식 SNS 계정들의 아이디와 매우 유사하게 생성하고, 프로필 사진 역시 사칭하고 있는 공식 계정의 사진과 동일하게 설정해 놓아 사용자로 하여금 공식 계정인 것처럼 착각하도록 유도합니다. 

 

특히 아이디의 경우 _를 . 으로 바꾸거나, official을 offiicial로 교묘하게 바꿔 사용자들이 구분하기 어렵게 만듭니다.

 

 

[그림 1] 공식 SNS 계정 사칭 계정

 

 

또한 프로필에는 우승자 선정, 당첨이 되신것을 축하드립니다라는 문구를 작성해 놓아 사용자로 하여금 실제로 이벤트에 당첨 안내 계정인것처럼 위장합니다.

 

 

[그림 2] 메세지를 통해 유포되는 문구

 

 

이후 공격자는 해당 계정을 이용하여 불특정다수 사용자들에게 인스타 이벤트에 당첨되었다는 DM을 전송하며 특정 페이지 접속을 유도합니다. 

 

이때, 악성 링크는 사칭하고 있는 인스타그램 프로필에 포함되어 있거나 혹은 당첨되었다는 DM메세지에 포함이 되어 있습니다. 

 

인스타그램 이벤트 참여를 많이 하는 사용자라면 쉽게 속을 수 있기 때문에 특히나 주의가 요구되고 있습니다. 

 

만일, 사용자가 해당 메세지를 실제 당첨 메세지라고 오인하여 링크를 클릭하여 접속한다면 특정 사이트로 접속이 되며 사용자에게 계정정보 및 신용카드 정보 입력을 유도합니다. 

[그림 3] 개인정보 입력을 유도하는 페이지

이러한 메세지를 받으신 사용자들은 링크에 접속을 지양해 주시기 바라며, 개인정보 및 신용카드 정보와 같은 민감정보를 요구하는 경우는 없다는 점을 반드시 기억하고 계셔야 하겠습니다.