‘이것’ 보이면 “네이버 절대 이용하지 마세요”… 치명적 함정 발견되자 ‘긴급 경고’

간편 로그인 악용한 피싱 기승
가짜 창에 정보 입력하면 계정 탈취
도메인 확인 등 사전 예방 중요

최근 네이버와 카카오 등의 간편 로그인 기능을 노린 피싱 수법이 빠르게 확산하고 있다.

공식 로그인 창을 정교하게 모방한 가짜 페이지에 접속한 이용자들은 계정 정보뿐 아니라 연동된 서비스까지 노출되는 피해를 입고 있어 각별한 주의가 필요하다.

로그인 클릭 한 번에 정보 유출

피싱 공격은 사용자가 ‘간편 로그인’ 버튼을 누르는 순간 시작된다. 공격자는 웹사이트의 취약점을 파고들어 악성 코드를 심어두고, 로그인 시도를 유도한다.

가짜 로그인 창에 입력된 아이디와 비밀번호는 즉시 공격자에게 전달된다. 이후 ‘로그인 실패’ 알림이 뜨고 진짜 로그인 페이지로 전환되기 때문에 피해자는 정보 유출 사실을 인지하지 못하는 경우가 많다.

네이버는 지난 8월 28일 공지를 통해 간편 로그인 피싱 공격이 실제 발생했다고 밝히며 사용자들에게 로그인 주소 도메인을 반드시 확인할 것을 당부했다.

예를 들어, ‘nid.naver.com’ 대신 ‘nid-naver.co’ 같은 유사 도메인을 사용한 사례가 발견됐다. 실제 주소인지 확인하지 않고 로그인할 경우 계정이 그대로 노출될 수 있다.

연동 계정까지 줄줄이 노출 위험

간편 로그인은 네이버·카카오·구글·애플 등 주요 플랫폼의 계정으로 다른 웹사이트에 접속할 수 있는 편리한 기능이다. 하지만 한 계정이 털릴 경우 연동된 서비스까지 모두 무단으로 접근당할 수 있어 피해 범위가 매우 크다.

네이버는 로그인 창 주소 외에도, 접속 시 표시되는 ‘어떤 서비스에 계정을 제공하는지’에 대한 문구를 반드시 확인하라고 안내하고 있다. 문구가 없거나 서비스 명이 명확하지 않을 경우 피싱 가능성이 높다.

카카오도 자체 운영정책을 통해 간편 로그인 피싱을 금지하고 있으며, 이를 위반한 개발자나 회원은 서비스 이용 제한 또는 계약 해지까지 될 수 있다고 밝혔다.

양사는 보안 이슈를 상시 모니터링 중이며, 피싱 시도에 대해 빠르게 탐지·차단하고 있다고 설명했다.

의심되면 ‘즉시 대응’이 피해 줄인다

피싱 피해가 의심될 경우, 가장 먼저 계정 비밀번호를 즉시 변경해야 한다. 동일한 비밀번호를 사용하는 다른 사이트도 함께 바꿔야 한다.

또한 계정 로그인 기록과 접속 기기 목록을 확인하고, 본인 접속이 아닌 흔적이 있다면 로그아웃하거나 계정을 일시 중지하는 것이 안전하다.

이중 인증(2FA)을 활성화하면 계정 도용 위험을 크게 줄일 수 있다. OTP, 문자 인증, 앱 인증 등 다양한 방법이 제공된다.

만약 피싱 창에 금융 정보를 입력했다면 해당 카드사나 은행 고객센터에 즉시 연락해 카드 정지 또는 계좌 잠금 조치를 취해야 한다.

이후 경찰청 사이버수사대 등에 신고하고, 지인에게 피해 사실을 알려 2차 피해를 방지하는 것도 필요하다.

피싱 피하려면 ‘습관’부터 바꿔야

플랫폼 업체들은 다음과 같은 보안 수칙을 지킬 것을 권고하고 있다. 먼저, 문자나 메신저로 전달된 로그인 링크는 절대 클릭하지 말고, 항상 공식 홈페이지나 앱을 통해 직접 접속해야 한다.

모든 계정에 이중 인증 기능을 설정하고, 각 서비스마다 다른 비밀번호를 사용하는 것이 기본이다. 공용 PC에서는 자동 로그인을 끄고 사용 후 반드시 로그아웃하는 것도 중요하다.

또한 로그인 기록과 연동 서비스 리스트를 정기적으로 확인하고, 필요 없는 연결은 해제해야 한다. 운영체제, 브라우저, 백신 프로그램을 최신 상태로 유지하는 것도 필수다.

피싱 공격은 작은 부주의로도 큰 피해로 이어질 수 있다. 간편 로그인 기능을 이용할 때에도 반드시 기본적인 보안 수칙을 지키는 습관이 필요하다.