개발자도 낚일 뻔한 소름 돋는 신종 피싱 수법 (패스키 백도어)

요약 보안에 신경 쓰는 개발자조차 감쪽같이 당할 뻔한 정교한 피싱 공격 실화가 공유되어 화제를 모으고 있습니다. 작성자는 러시아발 누군가가 자신의 구글 계정을 탈취하려 유튜브 고객지원 티켓을 생성했다는 이상한 이메일을 받고, 이를 거절하기 위해 포함된 링크를 누르면서 피싱에 휘말렸습니다. 이미 다른 탭에 구글 로그인이 되어 있었고 주소창에 sites.google.com이 떠 있었음에도, 일반적인 고객지원 시스템처럼 별도 인증이 필요한 줄 알고 비밀번호 관리자에 저장된 구글 계정 정보를 입력했습니다. 이어 입력한 2단계 인증 코드가 두 차례 연속 실패하자, 사이트는 브라우저 창 내부에 애플 패스키(Apple Passkey)와 똑같이 생긴 가짜 팝업을 띄웠습니다. 작성자가 패스키를 쓰지 않아 이를 취소하자, 이번에는 브라우저 확장 프로그램 감지 API를 이용해 작성자가 비밀번호 관리자(비트워든 계열)를 쓴다는 사실을 파악하고 비트워든 로그인 화면을 본뜬 가짜 모달을 띄워 650여 개의 비밀번호가 털릴 위기에 처했습니다. 결국 공격자는 구글 계정에 침입해 자신의 기기를 등록하고, 계정에 새로운 '패스키(Passkey)'를 임의로 추가해 뒀습니다. 패스키를 심어두면 이후 비밀번호를 바꾸더라도 공격자가 언제든 다시 접속할 수 있는 영구적인 백도어가 되기 때문에 가장 치명적인 위협이었습니다. 다행히 작성자는 지메일에 5년 치 이상의 메일을 남겨두지 않고 오프라인 암호화 백업을 해뒀으며, 금융이나 비밀번호 관리자 등 민감한 서비스는 전용 도메인 비밀번호를 따로 쓰는 등 철저한 보안 습관을 유지해 대규모 털림은 막았습니다. 계정 접속 기록을 확인한 결과 공격자는 구글 드라이브 내 금융 및 암호화폐 관련 문서를 열람하고 피싱 메일을 영구 삭제하는 등의 작업을 진행한 상태였습니다. 작성자는 의심스러운 로그인이 발생했을 때 즉시 상대 기기를 로그아웃하고 새로 등록된 패스키를 삭제할 것을 당부했습니다.