오늘은 가상화폐를 노린 신종 보이스 피싱(Voice Phishing) 에 관련한 소식을 전해 드립니다.
최근 커뮤니티를 중심으로 "빗썸 엊그제 보이스 피싱(Voice Phishing) 당한 사람입니다"라는 글이 올라와 화제가 되고 있는데요.
먼저 아래 음성부터 듣고 다시 얘기하도록 하겠습니다.
음성 출처 :
보이스 피싱 원문 출처 : http://www.ppomppu.co.kr/zboard/view.php?id=bitcoin&page=1&divpage=1&no=1554
만일, 여러분도 유창한 서울 말씨를 사용하는 상담원의 전화가 걸려왔습니다.
로그인을 해서 꼼꼼히 체크해보고 OTP도 설정해 뒀는데, 눈 앞에서 코인이 바뀐다면 어떻게 하시겠습니까?
생각만해도 끔찍할 것 같습니다.
일단, OTP 설정해둔 사용자의 당시 보이스피싱 상황을 정리해볼까요?
- 02-6406-2665 번호로 전화가 걸려옴
- 해외 로그인 접속 시도가 있었다며, 해외에서 빗썸을 이용할 경우 저희측에 연락을 달라고해야 설명
- 사용자는 비밀번호를 바꾸면 되겠네요라고 말하지만 OTP 단말기가 해킹되어서 그렇다고 언급
- 해킹 방지를 위해 OTP 해지를 요구함
- 사용자 눈앞에서 보유하고 있던 코인이 비트코인으로 전환됨
- 해킹 되었다며, OTP 해지를 다시 요구함
- 해킹 유출로 인한 피해는 자신들이 보상해줄 수 다고 하며, 재촉함
- OTP 번호를 불러준 이후, 비트코인은 다른 곳으로 전송되며, 통화끊김(보유한 코인이 인출됨)
또, 다른 유형을 살펴볼까요?
위 내용을 요약하면 다음과 같습니다.
- 사용자는 빗썸에 OTP 설정
- 사용자에게 보이스 피싱 전화가 왔으나 위 사례를 접하고 전화를 끊음
- 사용자는 빗썸에 전화하여 해당 사항을 확인하려 했으나 평소 통화가 잘 안되는 빗썸 고객센터로 인해 통화 연결 안됨
- 보이스 피싱은 오히려 사용자에게 다시 전화하는 것이 아닌 아닌 빗썸을 타겟으로 설정
- 가짜 신분증을 제시하여 OTP 해지 요구
- 빗썸에서는 별다른 확인 없이 OTP 해지함
- 결국, 보이스피싱 업체는 무력화된 OTP로 가상화폐 인출
위 두 사례를 분석해보면, 공통적인 부분이 2가지가 있습니다.
첫째, 아이디와 패스워드가 어떤 경로로 유출되었다라는 것입니다.
예를 들면, 타 사이트의 아이디와 패스워드가 같았을 수도 있고, 아니면 빗썸 DB 중 사용자 정보를 가지고 있는 부분이 해킹당했을 지도 모르지만 정황상 이 두가지 가능성이 매우 높습니다.
둘째, 보이스피싱 업체의 전화가 있었다는 것입니다.
즉, 유출된 아이디와 패스워드로 빗썸에 로그인을 했고, 상당한 코인이 있는 것을 확인하고 타겟으로 설정된 것으로 보입니다.
빗썸은 최근 이러한 이슈 때문에 공지사항을 올렸네요.
출처 : https://www.bithumb.com/u1/US152
하지만 빗썸의 허술한 신분 확인 절차로 인해 공지의 내용을 무색하게 만들었으니... 사용자가 조심하고 또 조심하는 방법밖에는 없을 것 같습니다.
그렇다면, 보이스 피싱(Voice Phishing) 방지를 위해서는 어떻게 해야 할까요?
첫째, 아이디와 패스워드는 주기적으로 바꾸시는 것이 좋습니다.
- 대소문자, 특수문자, 숫자 포함
두번째, OTP 설정은 필수, 로그인 시 OTP 번호를 요구하는 거래소를 이용해야 합니다.
- ex : 코인원, Bittrex와 같이 1차 아이디 로그인, 2차 OTP 로그인을 요구하는 거래소
- 아이디와 패스워드가 유출되더라도 OTP를 추가로 요구하기 때문에 거래소 로그인 불가함
세번째, 이메일 또는 문자 알림을 신청하여, 주문 체결, 입출금, 로그인 알림과 같은 서비스를 신청해야 합니다.
- 거래소에 따라 해당 서비스는 유/무료 제공하기 때문에 거래소 선택시 유의해야 함
네번째, 보이스피싱이 의심되는 전화를 받으면 일단 전화를 끊고, 이용 거래소 아이디와 패스워드를 바로 변경해야 합니다.
다섯번째, 금융권을 포함한 모든 금융 거래소는 OTP 정보를 포함한 고객의 개인정보를 요구하지 않기 때문에 어떠한 일이 있더라도 보이스피싱 전화에 현혹되어서는 않됩니다.