CTM360의 보안 분석가들은 무료 기프트 카드를 주겠다는 거짓 약속을 통해 소비자를 표적으로 삼는 진화하는 글로벌 사기 캠페인의 물결을 밝혔습니다. 이러한 캠페인은 주요 브랜드와 유명인을 사칭하여 피해자를 기만적인 "확인 루프"로 유인하며, 이는 본질적으로 제휴 마케팅 기반 수익 모델을 통해 유료 구독을 유도하고 개인 정보를 수집하는 것을 목표로 합니다.
이 회사는 이러한 반복적인 캠페인과 관련된 1,000건 이상의 사고를 감지했으며, 공격자들은 Amazon, Walmart, PlayStation, Sephora, SHEIN과 같은 글로벌 플랫폼에 대한 소비자의 신뢰를 악용하고 있습니다. 이러한 공격은 소셜 미디어의 스폰서 광고와 인기 게시물을 통해 확산되며, MrBeast와 같은 유명인 및 인플루언서의 가짜 추천을 사용하여 신뢰성을 높이고 가짜 제안에 합법적인 분위기를 부여합니다.
"카드 생성" 함정의 작동 방식
이 캠페인은 사용자 유도로 시작하여 사칭된 브랜드의 로고와 색상, 가짜 카운트다운 타이머, 가짜 당첨 증명을 표시하여 긴급성을 높이는 가짜 보상 포털로 리디렉션하는 신중하게 설계된 심리적 수명 주기를 따릅니다. 현실감을 더하기 위해 웹사이트는 시스템이 백그라운드에서 기프트 카드 코드를 "생성"하고 있음을 암시하는 애니메이션을 표시하며, 코드의 일부(예: XXXX-XXXX-7F3A-XXXX)를 표시하여 피해자가 보상이 실제적이고 청구할 준비가 되었다고 확신시킵니다.
가장 큰 트릭은 "인간 확인"(Human Verification) 단계에 있습니다. 실제 보안 검사를 수행하는 대신 피해자는 사기꾼에게 수익을 창출하는 끝없는 작업 루프에 빠지게 되며, 여기에는 다음이 포함됩니다.
- 긴 설문조사 및 판촉 퀴즈 완료.
- 원치 않는 앱이나 브라우저 확장 프로그램 설치.
- 로컬 결제 시스템(캐리어 빌링)을 통한 유료 모바일 서비스 구독.
CTM360이 테스트한 모든 경우에서 기프트 카드가 전달되지 않았으며, 웹사이트는 피해자를 다른 제안으로 밀어붙이기 위해 단순히 "단계 미완료"를 선언했습니다.
피싱에서 제휴 수익으로의 전환
기술적 관점에서 볼 때, 이러한 캠페인은 자격 증명 도용을 목표로 하는 기존 피싱 작업과 다릅니다. 이는 "볼륨 및 전환"(Volume-and-conversion) 모델로 작동합니다. 공격자는 제휴 네트워크의 추적 링크를 사용하여 피해자가 전화번호를 입력하거나 구독 프로세스를 완료하는 즉시 즉각적인 수수료를 얻을 수 있으므로 사용자의 계정을 직접 도용하지 않고도 공격을 매우 수익성 있게 만듭니다.
실제로 무엇이 변하는가?
이러한 발전은 디지털 사기 전략의 전환을 나타내며, 목표는 더 이상 단순한 비밀번호 도용이 아니라 제휴 네트워크를 통해 빠르고 지속적인 수익을 창출하기 위한 도구로서 "브랜드 신뢰"를 악용하는 것입니다. 사용자에게 피해는 단순한 시간 낭비를 넘어 예상치 못한 구독 비용과 프라이버시 침해까지 포함합니다. 기업에게 이러한 공격은 평판을 위태롭게 하므로 브랜드 사칭을 모니터링하고 소비자 신뢰에 미치는 영향을 제한하기 위해 디지털 위험 보호 전략을 강화해야 합니다.