“모바일백신 위장한 악성코드…공인인증서까지 빼가”

안랩은 자사 보안 제품인 'V3 모바일 플러스'를 사칭해 악성코드를 심는 스미싱 문자가 발견됐다며 이용자들에게 주의를 당부했다.

이 스미싱 문자는 안랩의 금융거래 구간 보안제품인 'V3 모바일 플러스'의 악성코드 감염 알림 메시지를 사칭하는 것이 특징이다.

스미싱 문자는 '[개인정보보호] MY주민번호로 안전하게 보호 h***://**.am/** (혹은 h***://cox.**/3***)'라는 메시지로 마치 개인정보보호를 위한 애플리케이션(앱)을 안내하는 것처럼 사용자를 속인다.

사용자가 이 주소(URL)를 클릭하면 스마트폰 화면에 'My Service'라는 앱이 설치된다. 이 앱은 실행했을 때 아무 화면도 뜨지 않지만, 사용자 몰래 수신 전화·문자 내용을 유출하는 악성코드를 심는 것으로 드러났다.

앱을 실행한 지 약 1시간이 지나면 V3모바일플러스를 사칭한 허위 악성코드 감염 경고 메시지가 스마트폰 화면에 뜬다. 이 화면을 클릭하면 악성코드가 발견됐다며 치료하라는 화면이 나타나는데, 이를 클릭하면 추가 정보유출을 당할 수 있다.

사용자가 '치료하기'를 누르면 치료화면이 나타나지만, 그 사이에 악성코드는 스마트폰에 저장된 공인인증서를 빼내고, 사용자의 스마트폰에 설치된 은행 앱의 종류를 조사한다.

이후 '감염으로 인해 공인인증서에 치명적인 오류가 예상되어 보안 업데이트가 필요하다'는 메시지를 띄우고, 사용자 스마트폰에 설치된 은행 앱과 같은 종류의 가짜 앱 화면을 보여준다.

사용자가 '확인'을 누르면 공인인증서 정상작동을 확인한다는 명목으로 이름, 주민등록번호, 계좌번호, 계좌비밀번호, 이체비밀번호, 인증서 암호, 보안카드 일련번호를 입력하라는 메시지가 나온다. 사용자가 입력한 정보는 공격자에게 넘어간다.

안랩은 "사회관계망서비스(SNS)나 문자에 포함된 URL을 실행하는 것을 자제하고, 모바일 백신으로 스마트폰을 주기적으로 검사하며, '알 수 없는 출처(소스)'를 허용하지 말고, 스미싱 탐지 전용 앱을 내려받는 것이 좋다"고 강조했다.