전기전자/정보통신

Nikkei NETWORK_2022.4 NEWS close-up (p12-13)

'QR 코드' 악용의 사이버 공격에 주의
100곳 이상의 주차 미터기를 습격, 가짜 요금 지불 사이트로 유도

미국 연방수사국(FBI) 인터넷범죄민원센터(IC3)는 22년 1월 중순, QR 코드를 악용한 사이버 공격에 대해 주의를 당부했다. 공격자는 QR 코드를 사용해 악질 사이트로 유저를 유도해 개인정보를 훔치거나 멀웨어(컴퓨터 바이러스)에 감염시키거나 한다. QR 코드를 이용한 피싱 사기라고 할 수 있다.

이 수법은 10여년 전부터 보안업체 등이 경고하고 있는 낡은 수법이다. 그런데 왜 이번에 재차 주의를 환기시켰을까?

-- 미국 텍사스주의 여러 시에서 확인 --
이유 중 하나는 QR 코드의 대규모 악용을 확인했기 때문이다. 미국 텍사스 주의 여러 시에서 가짜 지불 사이트로 유도하는 QR 코드를 파킹 미터에 부착하는 사기가 확인된 것이다.

현지 미디어 등에 따르면, 샌안토니오 시에서 최초로 발견되었다고 한다. 21년 12월 하순, 샌안토니오 시의 파킹 미터 100곳 이상에서 부정 QR 코드 스티커를 발견. 샌안토니오 시의 공식 웹사이트나 트위터 등을 통해 주의를 호소했다. 이후에 오스틴 시와 휴스턴 시에서도 발견되었다.

샌안토니오 시로부터 보고를 받은 오스틴 시의 직원이 시내 약 900곳의 파킹 미터를 조사했고, 29곳에서 부정한 QR 코드를 발견. 22년 1월 3일에 주의할 것을 경고했다. 1월 5일에는 휴스턴 시의 파킹 미터 5곳에서 같은 QR 코드가 발견되었다.

부정 QR 코드가 발견된 이들 시에서는, 그 자리에서 현금이나 신용카드, 또는 전용 앱을 이용해 주차요금을 지불한다. 전용 앱으로 결제할 경우 파킹 미터에 표시된 주차 존 번호와 주차 시간 등을 손으로 입력해 정산한다. 이 과정에서 QR 코드는 일절 사용하지 않는다.

공격자는 이런 사정을 모르는 사용자를 타깃으로 하고 있다. 구체적인 방법은 다음과 같다. 파킹 미터에는 전용 앱으로 지불하기 위해 필요한 존 번호 등이 적혀 있다. 거기에 가짜 사이트로 유도하는 QR 코드 스티커만 부착한다.

사정을 모르는 사용자가 스마트폰으로 해당 QR 코드를 읽으면 'Quick Pay Parking' 등으로 표시되는 가짜 지불 사이트로 유도된다. 여기서 요금 지불을 위해 신용카드 정보 등을 입력하도록 하여 편취한다.

현 시점에서는 구체적인 피해는 보고되지 않은 것으로 알려졌다. 가짜 지불 사이트도 폐쇄되었다. 다만 부정 QR 코드가 발견된 시들에서는 피해자가 있을 가능성이 있다. 그래서 사기로 짐작되는 이용자는 경찰에 신고함과 동시에 신용카드 회사에 연락하도록 호소하고 있다. 또한 요금 지불에 QR 코드는 일절 사용하지 않으며 앞으로도 사용하지 않을 것이라고 강조하고 있다.

-- 피싱 사기 대책 기능을 회피 --
독일에서는 QR 코드를 악용한 피싱 사기 메일이 21년 12월에 확인되었다. 사이버보안 기업인 미국 코펜스에 따르면, 사기 메일은 독일의 주요 은행에서 보내온 것처럼 꾸몄다고 한다.

온라인 뱅킹의 설정 변경 등을 독려하는 문자로 가장해 이용자를 가짜 로그인 페이지로 유도하고 비밀번호 등을 입력시켜 편취한다. 전형적인 피싱 사기지만 통상적인 수법과는 한 부분만 다르다. 메일에 기재한 URL이 아닌 QR 코드를 이용해 가짜 사이트로 유도한다는 것이다.

피싱 사기 전성기인 현재, 메일 서버와 메일 서비스 중 대부분은 피싱 사기 대책 기능을 갖추고 있다. 그 중 하나가 메일 속 URL을 체크하는 기능이다. 메일 본문에 의심스러운 URL이 기재되어 있는 경우에는 사용자에게 메일을 보내지 않는다. 이번에 확인된 수법에서는 가짜 사이트의 URL을 QR 코드로 만들어 이러한 대책 기능을 회피하고 있다.

-- 비접촉 니즈가 높아지다 --
FBI나 보안 조직은 유럽과 미국에서 QR 코드의 악용이 늘고 있는 원인으로 QR 코드의 보급을 들고 있다. 코로나19 확산으로 비접촉 데이터 접근 니즈가 높아지면서 QR 코드가 이용되는 장면이 늘고 있다는 것이다.

자산관리 소프트웨어 등을 개발하는 미국 이반티(Ivanti)의 설문조사에 따르면, 응답자의 57%가 20년 3월 중순 이후로 QR 코드 이용이 늘고 있다고 응답했다. 조사는 영국, 중국, 독일, 일본, 프랑스, 미국의 소비자 4,157명을 대상으로 했다.

QR 코드는 스마트폰 등으로 읽기만 하면 된다. 손으로 입력할 필요가 없어 편리하지만 접속처의 정체를 사전에는 알 수가 없다. 가짜 사이트 등으로 유도하는 수단으로서는 ‘안성맞춤’이라고 할 수 있다.

이번에 소개한 것은 모두 해외 사례지만 강 건너 불이 아니다. 해외에서 유행한 수법은 반드시 일본에도 유입된다. 앞으로 QR 코드 악용이 본격화될 우려가 있다. 충분한 주의를 기울여야 한다.

 -- 끝 --

Copyright © 2020 [Nikkei Network] / Nikkei Business Publications, Inc. All rights reserved.