1. 분석 개요
계절이 봄으로 바뀌며 날씨가 따뜻해진 요즘, 다수의 사람들이 여행을 가기 위해 숙박 시설을 예약한다. 그리고 이들 중 대부분은 편리하고 빠른 예약을 위해 온라인 숙박 예약 서비스를 활용한다. 하지만 이 점을 악용한 숙박 예약 서비스 사칭 사이트가 기승을 부리기 시작했는데, AskURL 서비스에서 이 피싱 공격을 탐지하였다. 본 글에서는 해당 피싱 사이트를 분석하며, 계정 정보가 탈취되는 과정을 설명하고자 한다.
2. 피싱 사이트 분석
위 그림은 피싱 사이트의 메인 페이지로 공식 사이트의 리소스를 가져와 만든 것으로 보인다. 그러나 일부 웹 리소스가 누락된 모습을 볼 수 있는데, 예를 들어 이미지가 있어야 할 공간이 여백이고, 메뉴나 특정 이벤트 홍보란을 클릭하면 반응이 없거나 404 Error가 발생한다.
만약 “호텔/리조트“와 같은 상단 메뉴를 클릭하면 로그인 페이지로 이동하는데, 공식 사이트의 로그인 페이지 디자인과 상이하다. 이 로그인 페이지는 메인 페이지에서 메뉴 클릭 시 이동되는 페이지로, 위협 행위자는 계정 정보 탈취를 목적으로 악성 행위를 수행함을 짐작할 수 있다.
계정 ID와 비밀번호를 입력한 후 로그인을 시도하면, ”로그인“ 버튼 이벤트 핸들러가 동작한다. 핸들러 내에서는 ID와 비밀번호의 정상 입력 여부를 확인한 후, 특정 URL로 계정 정보를 전송한다.
하지만 계정 정보를 입력하면 ”계정이 존재하지 않습니다“라는 응답을 수신한다. 따라서 피해자는 자신의 비밀번호를 새로 설정하기 위해 ”비밀번호를 잊으신 분“ 메뉴를 클릭한다.
”비밀번호를 잊으신 분“ 메뉴를 클릭한 결과, 숙박 예약 서비스를 사칭한 고객 센터 프로필이 연결된다. 고객센터를 사칭하는 위협 행위자는 대화 도중 전화번호 등의 개인정보를 요구한다.
한편, 비밀번호 찾기 메뉴뿐만 아니라 계정을 생성하는 메뉴도 존재한다. [그림 6]에서 ”신규 등록입니다“를 클릭하면 계정 등록 페이지로 이동되며, 이름과 전화번호 등의 정보를 요구한다. 소스 코드를 확인하면 타 숙박 예약 서비스의 이름도 같이 볼 수 있는데, 이는 위협 행위자가 다양한 숙박 예약 서비스를 사칭하여 악성 행위를 수행함을 시사한다. 다만 ”초대 코드“를 요구하기 때문에 피싱 사이트에 계정을 생성할 수 없다.
3. 결론
본 글에서 소개한 숙박 예약 서비스 피싱 사이트는 계정 및 개인정보 탈취를 위해 개설된 사이트이다. 해당 사이트에 로그인을 시도할 경우, 비록 ”계정이 존재하지 않습니다“라고 출력하지만 입력한 계정 정보는 위협 행위자의 서버로 전송된다. 또한 별도로 고객센터 사칭 카카오 프로필을 생성하여 지속적인 피싱 공격을 수행해 계정 정보를 탈취함을 알 수 있다. 따라서 일부 메뉴가 클릭이 안 되거나, 이미지가 빠져 있거나, 어울리지 않은 한글 번역체를 확인했을 경우 절대로 계정 정보를 입력하지 말아야 한다. 또한 AskURL 서비스를 적극 이용하여 피싱 공격을 사전에 예방할 수 있다.
유 영 준 / 프로
Nurilab X-ngine Center
피싱 메시지로 의심된다면, 에스크유알엘에 물어보세요!
누리랩 에스크유알엘(AskURL) 카카오톡 채널 추가
'보안 이슈 분석 리포트' 카테고리의 다른 글
| 알리익스프레스(AliExpress) 사칭, 피싱 사이트 분석 보고서 (0) | 2025.04.29 |
|---|---|
| 현대 자동차 구주 청약 사칭, 피싱 사이트 분석 보고서 (0) | 2025.04.29 |
| 신한투자증권 사칭, 피싱 사이트 분석 보고서 (1) | 2025.04.29 |
| 부업 홍보를 미끼로 한 금전 갈취 사기, 분석 보고서 (0) | 2025.04.29 |
| 딥시크(DeepSeek) 피싱 사이트를 통해 유포되는 RAT 악성코드 상세 분석 보고서 (0) | 2025.04.28 |