- 정식 CAPTCHA는 브라우저 내에서 간단한 시각적 또는 청각적 테스트로 제한되며 외부 명령 실행을 요구하지 않습니다.
- 최근의 사기 수법은 사회공학적 기법을 이용하여 사용자를 속여 Lumma Stealer나 AsyncRAT과 같은 악성 소프트웨어를 설치하도록 유도합니다.
- 조기 발견은 검사 중에 파일 다운로드 요청이나 시스템 콘솔 사용 요청이 있을 경우 주의 깊게 살펴보는 데 달려 있습니다.
아마 여러분도 수없이 경험해 보셨을 겁니다. 인터넷을 검색하다가 갑자기 "로봇이 아닙니다" 라는 팝업창이 뜨 거나, 신호등이 보이는 사진을 모두 선택하라는 메시지가 나타나는 경우 말이죠. CAPTCHA라고 불리는 이러한 도구들은 웹 보안의 핵심 요소로, 봇이 인터넷에 스팸 메일을 퍼뜨리거나 가짜 계정을 무분별하게 생성하는 것을 방지합니다.
문제는 항상 허점을 노리는 사이버 범죄자들이 이러한 테스트를 악의적으로 모방 하기 시작했다는 점입니다 . 그들은 우리가 이러한 테스트에 익숙해져서 맹목적으로 신뢰한다는 점을 악용하여 우리가 알아채지 못하게 컴퓨터에 악성코드를 심어 넣습니다. 본질적으로 그들은 보안 조치를 트로이 목마로 바꿔 우리의 개인정보를 침해하는 것입니다.
CAPTCHA란 정확히 무엇이며, 어떻게 작동해야 할까요?
CAPTCHA에 익숙하지 않은 분들을 위해 설명드리자면, CAPTCHA는 자동화된 튜링 테스트의 약자로, 사람과 기계를 구분하기 위해 설계되었습니다 . 간단한 퍼즐을 풀지 못하는 스크립트나 자동화 프로그램을 차단하는 것이 목적입니다. 가장 일반적인 유형으로는 시각적(왜곡된 글자나 이미지), 청각적 CAPTCHA, 그리고 구글의 고급 기술인 reCAPTCHA가 있습니다 . reCAPTCHA는 마우스 움직임과 백그라운드 탐색을 분석하여 사용자가 실제 사람인지 여부를 판단합니다.
가장 중요한 점은 진정한 인증 시스템은 웹 내에서만 이루어진다는 것입니다 . 화면에 보이는 코드를 클릭하거나, 퍼즐을 풀거나, 코드를 입력하도록 요청할 수는 있지만, 브라우저를 벗어나 운영 체제의 내부 작동 방식과 상호 작용하도록 강요하는 일은 절대 없습니다.
가짜 CAPTCHA와 ClickFix 방법의 함정
사기꾼들은 기만 기술을 완벽하게 연마했습니다. 이제 그들은 유명 브랜드의 웹사이트와 유사한 페이지를 만들 뿐만 아니라, 합법적인 사이트(특히 오래된 워드프레스 기반 사이트 )에 침투하여 가짜 수표를 삽입하기도 합니다. 가장 위험한 수법 중 하나는 ClickFix 라는 것입니다.
이 시나리오에서 사용자는 완전히 정상적으로 보이는 CAPTCHA를 보게 됩니다. 그러나 본인 인증을 시도하면 사이트는 기술적 오류가 발생했거나 추가 인증이 필요하다는 메시지를 표시합니다 . 여기서 함정은 바로 악성 코드를 자동으로 클립보드에 복사하고, 사용자에게 Windows에서는 Win + R, Ctrl + V, Enter 키를 누르 거나 Mac에서는 터미널을 사용하라는 메시지를 표시한다는 것입니다.
이렇게 하면 사용자가 PowerShell 명령이나 mshta.exe를 수동으로 실행하게 됩니다 . 이는 매우 위험한데, 브라우저는 컴퓨터 소유자가 실행하기로 결정한 것을 차단할 수 없기 때문입니다. 이는 전형적인 사회공학적 수법입니다. 버그를 수정하는 것처럼 속여서 실제로는 공격자에게 취약점을 노출시키는 것입니다.
보이지 않는 위험: EtherHiding과 데이터 도난
이러한 사기 행각을 추적하기 더욱 어렵게 만들기 위해 ClearFake 와 같은 일부 그룹은 EtherHiding 이라는 기술을 사용합니다 . 감염된 웹사이트 서버에 바이러스를 저장하는 대신, 블록체인(예: 바이낸스 스마트 체인 ) 상의 스마트 계약에 바이러스를 저장합니다. 블록체인은 변경 불가능하고 분산되어 있기 때문에 기존의 안티바이러스 프로그램이나 시스템 관리자는 악성 코드를 제거하기가 매우 어렵습니다.
일단 미끼를 물면 그들은 무엇을 설치할까요? 주로 Lumma Stealer나 Vidar Stealer 같은 정보 탈취 악성 프로그램을 설치합니다. 이러한 악성 프로그램은 아무런 소리도 내지 않고 브라우저를 뒤져 세션 쿠키 , 저장된 비밀번호를 훔치고, 가장 중요한 것은 암호화폐 지갑에 접근합니다. 또한 AsyncRAT이나 SecTopRAT 같은 원격 접속 트로이목마(RAT)를 설치하여 해커가 화면을 보고 , 모든 키 입력을 기록하고, 회사 계정에 로그인한 경우 회사 네트워크를 돌아다닐 수 있도록 합니다 .
사기를 감지할 수 있는 명확한 징후
사기를 당하고 싶지 않다면 다음과 같은 징후에 주의하세요. 첫째, CAPTCHA가 팝업 창 에 나타나 거나 의미 없는 숫자와 문자로 가득 찬 이상한 이름의 도메인에 표시된다면 의심해 봐야 합니다. 합법적인 시스템은 일반적으로 페이지에 자연스럽게 통합되어 있습니다.
외부 작업을 요구하는 것이 바로 사기일 수 있습니다. 웹사이트에서 파일을 다운로드하거나 , 브라우저 확장 프로그램을 설치하거나, 현재 탭 외부에서 키 조합을 실행하라고 요구한다면 즉시 해당 웹사이트를 떠나야 합니다 . 구글이나 클라우드플레어 같은 신뢰할 수 있는 기업조차도 사용자가 사람인지 확인하기 위해 명령 프롬프트를 열라고 요구하지 않습니다.
이미 명령어를 실행한 경우에는 어떻게 해야 할까요?
만약 너무 늦게 알아차리고 이미 코드를 붙여넣었다면 당황하지 말고 신속하게 조치를 취하세요. 가장 먼저 해야 할 일은 인터넷 연결을 끊는 것 입니다 (Wi-Fi를 끄거나 케이블을 뽑으세요). 악성코드가 공격자의 서버와 통신하여 데이터를 전송해야 하기 때문에 이는 매우 중요합니다. 연결을 차단하면 데이터 유출을 제한할 수 있습니다.
다음으로, 다음 단계를 엄격히 따르십시오.
- 일부 바이러스는 컴퓨터 시작 시 더 잘 자리 잡기 때문에 즉시 컴퓨터를 재시작하지 마십시오.
- 실행 전체 바이러스 백신 검사 업데이트됨 (가능하면 오프라인 스캔).
- 브라우저를 정리하세요: 캐시, 쿠키를 삭제하고 기타 모든 파일을 제거하세요. 의심스러운 확장 본인이 설치하지 않은 것입니다.
- 부터 또 다른 보안 장치이메일, 은행 계좌, 소셜 미디어 등 중요한 계정의 비밀번호를 변경하세요.
- 모두 닫기 활성 세션 쿠키 도용은 비밀번호를 변경하더라도 공격자가 계정에 접근할 수 있도록 해주기 때문에 계정 보안에 매우 위험합니다.
이러한 예상치 못한 상황을 피하는 가장 좋은 방법은 잠시 멈추는 것입니다. 예상치 못한 인증 요청이 나타나더라도 서두르지 마세요. 운영 체제와 바이러스 백신 소프트웨어는 항상 최신 상태로 유지하고, 최신 브라우저를 사용하는 경우 위험한 웹사이트로부터 보호하는 모든 기능을 활성화하십시오.
워드프레스 웹사이트를 운영하고 있다면 업데이트를 소홀히 하지 마세요. 플러그인과 테마를 최신 상태로 유지하고 , 관리자 계정에 2단계 인증(2FA)을 설정하며, Wordfence와 같은 모니터링 도구를 사용하여 누군가 파일에 의심스러운 코드를 삽입했는지 감지하세요. 불필요한 플러그인을 적게 설치할수록 공격 표면이 줄어든다는 점을 기억하세요.