정상 권한 요청 가장한 계정 탈취 확산…구글·MS 사용자 주의보

본문

[디지털투데이 AI리포터] 구글이나 마이크로소프트의 정상적인 권한 승인 화면을 악용해 비밀번호 없이 이메일과 파일에 접근하는 'OAuth 동의 피싱' 공격이 확산하고 있다. 미국 연방수사국(FBI)은 사용자에게 낯선 앱의 접근 권한 요청을 함부로 승인하지 말라고 경고했다.3일(현지시간) IT 매체 테크레이더에 따르면 FBI는 인터넷범죄신고센터(IC3)를 통해 OAuth 동의 피싱에 대한 공익 경고를 발표했다. OAuth는 외부 앱이 사용자의 비밀번호를 전달받지 않고도 구글·마이크로소프트 같은 서비스의 일부 계정 데이터에 접근하도록 3일(현지시간) IT 매체 테크레이더에 따르면 FBI는 인터넷범죄신고센터(IC3)를 통해 OAuth 동의 피싱에 대한 공익 경고를 발표했다. OAuth는 외부 앱이 사용자의 비밀번호를 전달받지 않고도 구글·마이크로소프트 같은 서비스의 일부 계정 데이터에 접근하도록 권한을 부여하는 인증·인가 체계다.

공격자는 먼저 정상 OAuth 서비스에 악성 앱을 등록한 뒤 정부 관계자나 언론인, 유명 인사 등을 사칭해 표적에게 문서나 파일 공유 링크처럼 꾸민 주소를 보낸다. 요청된 권한에 따라 공격자는 이메일을 읽거나 보내고, 파일과 민감한 데이터에 접근할 수 있다. 비밀번호 자체를 훔치지 않아도 되고 다중인증(MFA)을 우회한 것과 비슷한 효과를 낼 수 있다는 점이 위험 요소다. FBI는 "이미 부여된 OAuth 토큰이 남아 있으면 공격자가 계속 접근할 수 있다"라며 "계정의 앱·보안 설정에서 악성 앱의 권한이나 토큰을 직접 취소해야 한다"라고 설명했다. FBI는 지난해 말부터 저명 인사와 가족, 지인을 겨냥한 이 같은 공격을 관찰했다고 밝혔다. 예방을 위해서는 모르는 발신자가 보낸 링크를 경계하고, 권한을 승인하기 전 앱 이름과 요청 범위를 확인하며 발신자의 신원을 별도 경로로 검증해야 한다.