모바일과 축약 주소의 취약성 드러난 트위터 ID 피싱 사건

어제 큰일을 겪을 뻔 했습니다. 트위터에서 ID 피싱을 당할 뻔 했던 것이지요. 어제 트위터(http://www.twitter.com)에 접속했을 때 저와 팔로우를 했던 어떤 분으로부터 DM(direct message)이 하나 날아왔습니다. 그런데 DM 내용이 이상하더군요. “haha. This you???? http://tr.im/PyJV” 라는 내용이었습니다.

원래 영문으로 글을 쓰던 분이 아니었기에 약간 고개를 갸웃거리면서 해당 링크를 눌렀는데, 브라우저가 실행되면서 트위터 접속 페이지가 뜨는 것이었습니다. 그런데 뜬금없이 로그인 창이 뜨더군요. 왜 뜬금없냐면 저는 언제나 PC에서는 자동 로그인을 해놓은 상태라 로그인 창 대신 홈 화면이 바로 나와야 하는 데 이번에는 그렇지 않았습니다. 때문에 창 주소를 확인해보니 twitter.com이 아니라 http://twitter.login.kevanshome.org/ 이라는 이상한 주소가 걸려 있더군요. 계정을 넣으라고 하니 의심이 들 수밖에 없었습니다.(해당 주소는 지금 접속이 안됩니다.)

문제는 이번 일로 두가지 취약성을 나타났다는 것입니다. 하나는 모바일 브라우징에서 이러한 피싱에 대한 여과 장치가 없다는 점과 원래 주소를 감추는 축약 주소(Shorten URL) 기능의 문제가 동시에 나타난 것입니다. 축약 주소는 도메인을 포함해 긴 주소를 짧게 줄여서 표시함으로써 140자로 제한된 트위터의 글쓰기 공간을 좀더 확보해 주는 기능입니다.

그런데 어제 일이 있은 후 스마트폰에서 해당 사이트에 접속해보니 전혀 여과없이 아래와 같이 접속하더군요.

이번 피싱 수법은 아주 교묘하다고 볼 수 없지만, 이용자의 이용 습관을 잘 파고든 수법인 것인 맞습니다. 긴 인터넷 주소를 줄여주는 축약 주소 시스템의 맹점과 아직은 미흡한 모바일 브라우징의 여과 능력을 이용한 피싱이었으니까요.

지금은 해당 URL이 닫혀 있지만, 이러한 방식은 앞으로 주소를 바꿔서 계속 일어날 수도 있습니다. 때문에 당분간 축약 주소의 사이트를 열 때는 반드시 인터넷 주소(URL)을 확인하는 습관을 길러야 할 것 같습니다. 특히 스마트폰과 트위터 기능이 있는 휴대폰 이용자들은 더더욱 조심해야 합니다. 트위터로 위장해 로그인을 하라는 화면이나 트위터와 트위터 API를 쓰는 것처럼 위장해 ID를 입력하라는 수법이 계속 나올 수 있으니까요.

이번 일로 얼마나 많은 계정을 빼냈는지는 아직 알려지지 않았습니다. 피해가 있을 것으로 예상돼 해당 인터넷 주소는 쓰지 못하지만, 이미 빠져나간 계정으로 인한 피해가 더 커지기 전에 막았다는 뜻은 아닐 겁니다. 그저 다른 피해가 나오지 않았을 뿐이지만, 이번과 같은 단순한 피싱 수법에 대한 기술적인 대응법도 마련되어야하지 않을까 싶네요.