페이스북 장악 위한 이메일 사기

디지털 시대에 소셜 미디어 계정, 특히 페이스북은 커뮤니티를 연결하는 도구일 뿐만 아니라 사용자의 개인 정보, 거래 내역, 심지어 소득까지 담고 있는 "디지털 자산"이기도 합니다. 이러한 점을 간파한 사기꾼들은 점점 더 교묘해지고 있으며, 가짜 이메일을 보내 사용자를 유인하여 계정을 "넘기도록" 유도하는 수법을 사용합니다.

공황의 함정

롱 안성 경찰에 따르면, 매우 정교한 수법을 사용한 새로운 온라인 사기 캠페인이 Facebook 사용자를 표적으로 삼고 있으며, 합법적인 Google 서비스를 이용해 이메일 보호 시스템을 우회하고 있습니다.

구체적으로, 사이버 범죄자들은 구글의 코드리스(code-free) 구글 앱시트(Google AppSheet) 소프트웨어를 사용하여 일련의 피싱 이메일을 발송했습니다. 이 이메일은 구글의 "@appsheet.com" 주소에서 발송되었기 때문에 마이크로소프트의 도메인 평판 및 인증 메커니즘(SPF, DKIM, DMARC 등)과 보안 이메일 게이트웨이(SEG)를 쉽게 우회하여 피해자의 받은 편지함에 정상적인 메시지처럼 표시되었습니다.

각 이메일은 고유 ID를 사용하여 생성되므로 기존 탐지 시스템으로는 탐지하기 어렵습니다. 이러한 이메일의 내용은 페이스북에서 보낸 알림처럼 위장하여 사용자에게 계정이 지적 재산권을 침해당했으며 24시간 이내에 삭제될 것이라고 알립니다. 계정이 정지되는 것을 피하려면 "이의 제기" 버튼을 클릭해야 합니다.

클릭하면 피해자는 Facebook 로그인 페이지와 똑같이 보이도록 설계된 가짜 랜딩 페이지로 이동하게 됩니다.

더욱이 이 가짜 페이지는 평판이 좋은 플랫폼인 Vercel에 호스팅되어 있어 전체적인 사기에 대한 신뢰성을 더해줍니다.

여기에서 사용자가 로그인 정보와 2단계 인증(2FA) 코드를 입력하면 모든 데이터가 공격자에게 직접 전송됩니다.

이러한 가짜 사이트에 처음 로그인할 때 피해자가 정보를 확인하기 위해 다시 입력해야 하는 "잘못된 비밀번호"라는 보고가 나오는 경우가 많기 때문에 수법은 훨씬 더 교묘합니다.

더욱 위험한 점은, 2FA 코드가 제공되면 범죄자들이 이를 즉시 사용하여 Facebook의 세션 토큰을 압수하고, 피해자가 비밀번호를 변경한 후에도 계정에 계속 접근할 수 있다는 것입니다.

응우옌 티 투 H. 씨( 하노이 )는 "귀하의 페이스북 계정이 커뮤니티 규정을 위반했으며 24시간 이내에 잠길 것입니다"라는 이메일 알림을 받았습니다. 온라인 비즈니스에 사용하던 계정을 잃을까 봐 두려워진 그녀는 즉시 이메일에 있는 링크를 클릭하여 "신고"했습니다.

웹사이트는 페이스북 인터페이스와 똑같아 보였습니다. 그녀는 아무런 의심 없이 사용자 이름과 비밀번호를 입력했습니다. 몇 분 만에 그녀의 계정이 해킹당했습니다. 해커는 그녀의 모든 보안 정보를 변경하고 수십 명의 친구들에게 사진과 매우 신뢰할 수 있는 정보를 첨부하여 대출을 요청하는 메시지를 보냈습니다. 그녀의 절친한 친구는 이 사건을 발견하기 전에 1천만 동(VND)을 송금했습니다.

주의는 자기 보호입니다

정보보안부는 현재 사기 상황에 직면하여 이메일 사용자들에게 각별한 주의를 기울일 것을 권고합니다. 이상한 링크는 절대 클릭하지 말고, 출처가 불분명한 웹사이트에 개인 정보를 제공하지 마십시오.

롱안성 경찰 사이버 보안 및 첨단 범죄 예방부에 따르면, 사용자는 긴급 조치를 요청하거나 개인 정보를 제공하는 이메일에 매우 주의해야 합니다. 신뢰할 수 있는 출처에서 보낸 것처럼 보이더라도 마찬가지입니다. 발신자 주소를 항상 주의 깊게 확인하고 의심스러운 링크는 클릭하지 마십시오.

지식과 생활 신문 기자들과의 인터뷰에서 켓 노이 법률 사무소(하노이 변호사 협회)의 응우옌 응옥 훙 변호사는 디지털 시대에 가짜 이메일과 같은 수법을 통해 소셜 네트워크 계정, 특히 페이스북을 장악하는 행위가 점점 더 보편화되고 있다고 말했습니다. 많은 경우, 사기꾼들은 계정을 탈취한 후 계정 소유자를 사칭하여 친척과 친구들을 속여 재산을 횡령했습니다.

변호사 응우옌 응옥 훙 - 켓 노이 법률 사무소(하노이 변호사 협회) 대표.

현행 법규에 따르면, 가짜 이메일을 통해 계정이 도용된 경우, 사용자는 공범이나 방조자가 아닌 피해자로 간주됩니다. 따라서 계정 소유자에게 고의나 중대한 과실이 없는 경우, 사기범의 사기 행위에 대한 형사 또는 민사상 책임을 지지 않습니다. 그러나 사용자가 계정 도용 사실을 알면서도 즉시 경고하지 않았거나, 신고하지 않았거나, 과실 또는 무책임하게 타인에게 피해를 입힌 경우, 2015년 민법에 명시된 비계약적 손해배상 원칙에 따라 간접 민사상 책임을 질 수 있습니다.

계정이 해킹당했다는 사실을 알게 되는 즉시, 본인과 타인의 피해를 방지하고 법적 지위를 보호하기 위해 몇 가지 조치를 취해야 합니다. 계정 해킹 사실을 신고해야 합니다. 이를 통해 Facebook은 공격자가 계정을 계속 사용하지 못하도록 일시적으로 계정을 잠글 수 있습니다. 또한, 가짜 이메일, 이상한 로그인 알림, 계정에서 발송된 사기성 메시지 등 특이한 징후가 있을 경우, 영상 녹화나 스크린샷 촬영을 통해 이를 기록해 두세요. 분쟁이 발생하거나 범죄를 신고해야 할 경우, 이러한 증거는 매우 중요합니다. 다른 계정을 사용하거나 아는 사람에게 계정 해킹 사실을 널리 알리도록 부탁하고, 의심스러운 메시지를 받을 경우 송금, OTP 코드 또는 개인 정보를 제공하지 않도록 모두에게 당부하세요. 관련 법규에 따라 접수, 조사 및 처리를 위해 관할 경찰서에 신고하세요. 계정 접근 권한을 회복한 후에는 비밀번호를 강력한 비밀번호로 변경하고, 모든 낯선 기기에서 로그아웃하여 계정 보안을 강화해야 합니다. 계정이 사기나 불법 콘텐츠 유포에 이용되는 경우, 관련 당국과 협력하여 위반 사항을 처리하고 다른 사람에게 피해를 주지 않도록 해야 합니다.

따라서 가짜 이메일을 통해 페이스북 계정을 도용당한 사람은 피해자이며, 사기꾼의 행위에 대해 기본적으로 법적 책임을 지지 않습니다. 하지만 적극적으로 신고하고, 경고하고, 관계 당국에 협조하는 것은 자신의 권리를 보호하는 데 도움이 될 뿐만 아니라 불법 행위를 예방하고 온라인 커뮤니티의 피해를 최소화하는 데에도 도움이 됩니다. 어떤 경우든 사용자는 침착함을 유지하고, 사기꾼에게 임의로 대응하거나 돈을 이체하지 않으며, 사건을 합법적이고 효과적으로 처리하기 위해 항상 관계 당국과 긴밀히 협력해야 합니다.

안티피싱 프로젝트는 웹사이트를 새로운 버전으로 업데이트하여, 인터넷의 사기 사이트를 식별하는 챗봇과 AI 도구를 추가했습니다.

사용자는 chongluadao.vn 웹사이트에 접속하여 확인할 링크를 입력할 수 있습니다. 시스템은 해당 링크를 사기 방지 데이터베이스 및 제3자 파트너와 비교하여 웹사이트의 안전 여부, 위험 여부 또는 명확한 데이터가 없는지 여부를 판단합니다.

AI를 사용하려면 'AI로 추가 분석'을 클릭하세요. 이 단계에서 도구는 의심스러운 도메인 이름, 불법 콘텐츠, 위험한 링크 포함, 비정상적인 호스팅 사용 등 다양한 요소를 기반으로 웹사이트를 분석합니다.

AI는 위 데이터를 바탕으로 요소들을 종합하여 10점 만점의 위험 평가를 내립니다. 웹사이트의 정보와 이미지에 대한 의심스러운 세부 정보도 분석하여 결과 페이지에 표시합니다.

안티피싱 프로젝트(Anti-Phishing Project)는 사이버 보안 전문가 응오 민 히에우(Ngo Minh Hieu)가 2020년 공동 설립한 프로젝트로, 안전하지 않은 웹사이트 접속 시 안정성 검사 및 경고 기능을 지원합니다. 사용자는 chongluaodao.vn 페이지에서 악성 링크를 신고하여 데이터를 제공할 수 있습니다.

출처: https://khoahocdoisong.vn/lua-dao-qua-email-nham-chiem-quyen-kiem-soat-facebook-post1550633.html