혁신적인 위장 메커니즘
사이버 보안 기업 Kela는 금융 기관을 표적으로 하는 정교한 피싱 캠페인을 탐지했습니다. 공격자들은 보안 팀과 폐쇄 서비스 제공업체가 악성 콘텐츠를 탐지하지 못하도록 방해하는 기만적인 기술을 사용합니다. 이 캠페인은 방문자의 IP 주소를 기록하는 방식에 기반합니다. 첫 번째 방문자에게는 가짜 은행 로그인 페이지가 표시되지만, 이후 방문자(보안 검사 도구 포함)에게는 호스팅 제공업체의 "계정 정지" 페이지처럼 보이는 화면이 나타나 사이트가 이미 폐쇄된 것처럼 오인하게 만듭니다.
이 소식이 중요한 이유
이 인프라의 위험성은 전통적인 보호 조치를 우회하는 능력에 있습니다. 보안 팀이나 서비스 제공업체가 의심스러운 사이트를 신고하면, 일반적으로 폐쇄 여부를 확인하기 위해 다시 접속합니다. 이 경우 조사관에게 가짜 페이지가 표시되어 도메인이 "비활성" 상태로 분류되는 반면, 사이트는 계속해서 새로운 피해자를 표적으로 삼습니다. 이러한 전술은 사고 대응 팀이 캠페인을 효과적으로 중단하는 것을 어렵게 만들며, 실제 콘텐츠를 노출시키려면 매 검사마다 새로운 IP 주소를 사용해야 합니다.
캠페인 세부 정보 및 범위
이 캠페인은 2026년 5월부터 시작되어 300개 이상의 가짜 도메인으로 확장되었으며, 그중 248개는 중소 규모의 지역 은행을 중심으로 약 189개의 미국 금융 기관을 표적으로 삼았습니다. 또한 조사 결과 이 캠페인은 영국, 호주, 뉴질랜드의 피해자들까지 포함하는 것으로 나타났습니다. 사이트들은 은행 이름 뒤에 "secure" 또는 "authorize"와 같은 단어를 붙이는 명명 패턴을 사용하며, 기술 지원 포털을 모방하기 위해 "help-desk" 및 "live-support"와 같은 명칭을 사용하는 새로운 범주도 등장했습니다.
대응 과제
Kela는 이 인프라를 중단시키기 어렵게 만드는 네 가지 요인을 다음과 같이 정의합니다.
- 단순한 명명 방식: 모든 금융 기관에 대해 쉽게 반복될 수 있습니다.
- Cloudflare 사용: 실제 호스팅 위치를 숨기기 위해 사용됩니다.
- 위장 기술: 검사자를 속이기 위해 두 번째 방문 시 "정지" 페이지를 표시합니다.
- 공유 서버: 하나의 도메인이 폐쇄되더라도 캠페인의 연속성을 보장합니다.
조사 결과에 따르면 이 캠페인은 주로 기업 뱅킹 및 자금 관리 서비스의 인증 정보를 표적으로 삼으며, 브라우저의 개발자 도구 사용을 차단하는 스크립트를 사용하여 사이트에 대한 기술적 분석 과정을 더욱 복잡하게 만듭니다.