개인 OTP 무력화까지…코인 피싱 주의보

(게티이미지뱅크)

가상자산 거래소를 사칭한 피싱(전기통신금융사기) 피해에 주의해야 한다는 당부가 이어지고 있다.

2일 가상화폐 거래소 업계에 따르면 코인원은 최근 공지를 통해 “다양한 부분에서 점검했고, 관련된 흔적이나 접속은 확인되지 않았으며 해킹당한 사실이 없는 것을 확인했다”고 밝혔다.

최근 일부 회원들이 코인원 계정의 가상자산이 자산의 의지와는 무관하게 불과 수 분 내에 출금됐다는 언론 보도에 대한 해명이다.

각 거래소는 이미 수년 전부터 자사를 사칭한 피싱 사이트를 주의하라고 공지해왔다.

코인원을 사칭하는 피싱 사이트도 앞서 지난해에 발견되기도 했다. ‘화이트 해커’ 김한수 세그폴트 대표(유튜브 활동명: Normaltic)는 작년 11월 개인 방송에서 이 피싱 사이트를 공격한 사실을 공개했다.

당시 방송을 보면 투자자들은 해외 로그인 알림 문자 속 ‘www.coinonve.com’ 같은 가짜 사이트가 적힌 링크를 타고 들어가 로그인을 함으로써 아이디, 비밀번호, 휴대전화 번호, 이동통신사 정보 등 개인 정보를 빼앗겼다. 특히 2차 인증에 필요한 개인 회원 OTP(일회용 비밀번호) 정보까지도 기록됐다.

김 대표는 최근 코인원 사칭 피싱 피해자들과 면담하며 이번 공격의 실마리를 풀고 있다.

연합뉴스와 만난 김 대표는 “사이트의 보안 체계가 취약하다면 해커들이 특정 공격 방법을 통해 링크를 타고 들어가기만 해도 OTP를 해제하게끔 할 수 있다”며 “이번에도 피해 발생 한 달 전에 자기도 모르는 사이 이미 해커에 의해 개인 OTP가 해제된 사례도 있다”고 말했다. 개인의 OTP 자체를 무력화하는 일이 벌어진 것이다.

이번 사태의 피해자들은 작게는 수십만 원, 많게는 수억 원대 코인을 탈취당했다. 이들은 소셜미디어(SNS) 공개대화방에 모여 피해 정보를 수집하고, 법적 대응에도 나서고 있다.

특히 많은 피해자가 같은 이동통신사를 이용하고 있다는 것으로 알려지면서 해당 통신사를 대상으로 소송하려는 움직임도 나온다.

김 대표는 “출처를 알 수 없는 문자 속 인터넷 주소 링크는 누르지 않아야 한다”며 “문자 내용의 진위를 알고자 한다면 링크를 누르지 말고 정식 애플리케이션(앱)을 이용하거나 개인 컴퓨터를 통해 웹으로 접속하는 것이 좋다”고 조언했다.

특히 “특정 공격 방식을 통하면 자기도 모르는 사이 OTP가 해제되는 때도 있으므로 OTP 설정 상태를 자주 확인하는 것도 해킹을 막는 방법의 하나”라고 덧붙였다.

김 대표는 마지막으로 “지금 시즌에는 한 곳에서만 작업하고 있는 걸 수도 있다”며 “해킹 데이터를 가지고 있다가 다른 거래소 계정이나 금융 계정을 공격할 수도 있다”고 주의를 촉구했다.