연휴 기간 온라인 보안 유지하기

연말 여행 특가, 번개 세일, 막판 선물 찾기는 공격자가 눈에 띄지 않게 숨어들기에 이상적인 환경을 만듭니다. 예약 확인이나 프로모션 이메일을 가장한 리디렉션 공격은 종종 피해자를 CAPTCHA 페이지로 유도하는데, 사용자는 이런 패턴을 신뢰하고 거의 의심하지 않습니다. 하지만 이것은 진짜 CAPTCHA가 아닙니다. 이제 공격자들은 이를 사회공학 지침을 전달하는 수단으로 활용해, 피해자가 악성 명령을 Windows 실행 창이나 터미널에 직접 붙여 넣도록 유도합니다.

Microsoft 위협 인텔리전스는 최근 이러한 ClickFix 수법의 빠른 확산에 대해 경고했습니다. 악용 체인은 필요하지 않습니다. 사용자 행동만 있으면 됩니다. 이렇게 단순한 방식은 확장성이 매우 뛰어나며, 쇼핑객들이 서두르고 평소처럼 보이는 안내에 더 쉽게 응하는 시즌 피크 때 특히 위험합니다.

예를 들어 추수감사절 직전, Microsoft 위협 인텔리전스는 미국 사용자 수만 명을 타겟팅하는 Storm-0900의 대규모 피싱 캠페인을 탐지하고 차단했습니다. 공격자는 사람들이 방심하고 긴급한 메시지가 예상되는 연말에 맞춰 작전을 정교하게 조율했습니다.

이메일에는 주차 위반 딱지, 의료 검사 결과, 추수감사절 관련 문구처럼 익숙한 미끼가 사용됐습니다. 각 메시지는 피해자를 공격자가 제어하는 사이트로 유도한 뒤, 가짜 슬라이더 CAPTCHA와 ClickFix 프롬프트를 차례로 보여줬습니다.

Microsoft는 필터링, 엔드포인트 보호, 공격자 인프라의 선제적 차단을 통해 이 캠페인을 무력화했습니다. 하지만 이 캠페인은 공격자들이 CAPTCHA 같은 신뢰받는 UX 패턴과 사용자 실행 기법을 결합해 기존 보안 통제를 우회하는 방식을 분명하게 보여줍니다.

연말 쇼핑이 시작되면 누구나 자주 택배를 추적합니다. 위협 행위자들은 바로 그 사고 흐름 속으로 파고듭니다. 이미 수많은 배송을 관리하고 있는 상황에서, 배송 지연이나 주소 확인이 필요하다는 이메일 한 통쯤은 별다른 의심을 사지 않습니다.

Digital Defense Report에 따르면 배송 관련 피싱은 가장 많이 악용되는 사칭 유형 중 하나입니다. Microsoft 위협 인텔리전스는 매 휴가철마다 이런 물류 기반 미끼가 예측 가능한 급증세를 보인다고 확인했습니다. 공격자들은 UPS, USPS, FedEx, Amazon, DHL, 지역 우편 서비스 등 잘 알려진 브랜드를 사칭합니다. 브랜딩은 그럴듯하고, 시기도 자연스러우며, 쇼핑 성수기의 사용자 기대치까지 맞물려 이런 공격의 효과를 더욱 높입니다.

이 캠페인들은 정상적인 거래 흐름을 그대로 모방하고, 데이터 유출이나 받은 편지함에서 수집한 실제 추적 번호를 포함하는 경우가 많아 사용자가 진짜 알림과 구별하기가 점점 더 어려워집니다.

보안으로 연말 시즌의 즐거움을 빼았겨서는 안 됩니다. 하지만 활동이 많고 주의가 분산되는 시기일수록 경각심은 더욱 중요합니다. Microsoft의 지침은 Be Cybersmart Kit 전반에서 이 점에 초점을 맞추고 있습니다. 잠시 멈추고, 한 번 더 확인하고, 다시 살펴보는 것만으로도 안전을 지키거나 피해자가 되는 상황을 가를 수 있습니다.