.jpg)
다른 문자지만 외형 비슷해 보이는 호모글리프 악용 피싱 공격
[보안뉴스 김형근 기자] ‘m’과 ‘rn’, 구분이 되나요?
최근 마이크로소프트와 메리어트호텔 고객을 겨냥한 ‘호모글리프’(Homoglyph) 피싱 공격이 발견됐다고 사이버시큐리티뉴스가 보도했다.
호모글리프란 모습이 비슷해 보이지만 실제로는 다른 문자를 말한다. 이번 공격은 알파벳 소문자 ‘m’을 ‘r’과 ‘n’의 조합인 ‘rn’으로 교묘하게 바꿔 사용자의 착각을 유도한다. 대다수 폰트에서 ‘r’과 ‘n’이 붙어 있을 때 모양이 ‘m’과 거의 구별되지 않는다는 점을 악용한다.
보안 기업 넷크래프트(Netcraft)에 따르면, 해커들은 ‘rnarriottinternational.com’과 같은 도메인을 등록해 메리어트 공식 사이트인 것처럼 위장했다. 이들은 이 가짜 사이트를 통해 고객 로열티 계정 정보나 투숙객 개인 데이터를 탈취하려 시도하고 있다. 또 특정 호텔 브랜드를 노리기 위해 ‘rnarriotthotels.com’과 같은 다양한 변종 도메인을 등록하는 치밀함을 보였다.
마이크로소프트 사용자들 역시 이번 공격의 표적이 되고 있다. 해킹 조직은 ‘rnicrosoft.com’이라는 도메인을 통해 가짜 보안 알림이나 송장 통지 이메일을 발송하고 있다.
이 이메일들은 마이크로소프트 공식 로고와 톤, 레이아웃을 철저하게 모방해 사용자가 의심 없이 링크를 클릭하게 유도한다. 특히 화면이 작은 모바일 기기에선 ‘rn’과 ‘m’의 차이를 구분하는 것이 거의 불가능에 가까워 피해가 커질 수 있는 상황이다.
뇌가 익숙한 단어를 보면 오타를 스스로 교정해서 받아들이는 특성을 해커들이 파고들었다는 분석이다.
피해를 예방하기 위해 모바일 앱에선 반드시 발신자의 전체 주소를 확인하고, PC에선 링크에 마우스를 올려 실제 연결 주소를 낱낱이 대조해야 한다. 비밀번호 관리자를 사용하면 가짜 도메인에서 자동 로그인이 작동하지 않으므로 이러한 속임수를 차단하는 데 도움이 된다.
현재 ‘rnicrosoft.com’ 외에도 숫자 ‘0’을 섞은 ‘https://www.google.com/search?q=micros0ft.com’이나 하이픈을 넣은 ‘microsoft-support.com’ 등 다양한 피싱 도메인이 확인돼 차단 조치가 진행 중이다.
전문가들은 중요한 계정 관리나 예약 확인을 할 경우 이메일 링크를 통하지 않고 직접 주소를 입력해 접속할 것을 권고하고 있다.
[김형근 기자(editor@boannews.com)]
[보안뉴스 김형근 기자] ‘m’과 ‘rn’, 구분이 되나요?
최근 마이크로소프트와 메리어트호텔 고객을 겨냥한 ‘호모글리프’(Homoglyph) 피싱 공격이 발견됐다고 사이버시큐리티뉴스가 보도했다.
호모글리프란 모습이 비슷해 보이지만 실제로는 다른 문자를 말한다. 이번 공격은 알파벳 소문자 ‘m’을 ‘r’과 ‘n’의 조합인 ‘rn’으로 교묘하게 바꿔 사용자의 착각을 유도한다. 대다수 폰트에서 ‘r’과 ‘n’이 붙어 있을 때 모양이 ‘m’과 거의 구별되지 않는다는 점을 악용한다.
[출처: 사이버시큐리티뉴스]
보안 기업 넷크래프트(Netcraft)에 따르면, 해커들은 ‘rnarriottinternational.com’과 같은 도메인을 등록해 메리어트 공식 사이트인 것처럼 위장했다. 이들은 이 가짜 사이트를 통해 고객 로열티 계정 정보나 투숙객 개인 데이터를 탈취하려 시도하고 있다. 또 특정 호텔 브랜드를 노리기 위해 ‘rnarriotthotels.com’과 같은 다양한 변종 도메인을 등록하는 치밀함을 보였다.
마이크로소프트 사용자들 역시 이번 공격의 표적이 되고 있다. 해킹 조직은 ‘rnicrosoft.com’이라는 도메인을 통해 가짜 보안 알림이나 송장 통지 이메일을 발송하고 있다.
이 이메일들은 마이크로소프트 공식 로고와 톤, 레이아웃을 철저하게 모방해 사용자가 의심 없이 링크를 클릭하게 유도한다. 특히 화면이 작은 모바일 기기에선 ‘rn’과 ‘m’의 차이를 구분하는 것이 거의 불가능에 가까워 피해가 커질 수 있는 상황이다.
뇌가 익숙한 단어를 보면 오타를 스스로 교정해서 받아들이는 특성을 해커들이 파고들었다는 분석이다.
피해를 예방하기 위해 모바일 앱에선 반드시 발신자의 전체 주소를 확인하고, PC에선 링크에 마우스를 올려 실제 연결 주소를 낱낱이 대조해야 한다. 비밀번호 관리자를 사용하면 가짜 도메인에서 자동 로그인이 작동하지 않으므로 이러한 속임수를 차단하는 데 도움이 된다.
현재 ‘rnicrosoft.com’ 외에도 숫자 ‘0’을 섞은 ‘https://www.google.com/search?q=micros0ft.com’이나 하이픈을 넣은 ‘microsoft-support.com’ 등 다양한 피싱 도메인이 확인돼 차단 조치가 진행 중이다.
전문가들은 중요한 계정 관리나 예약 확인을 할 경우 이메일 링크를 통하지 않고 직접 주소를 입력해 접속할 것을 권고하고 있다.
[김형근 기자(editor@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
한세희기자 기사보기
.gif)
.png)
.png){kind=spacer}
.jpg)
