스미싱 삼합회 위협 행위자
2024년 1월 1일부터 전 세계 다양한 서비스를 표적으로 삼아 19만 4천 개가 넘는 악성 도메인과 관련된 대규모 스미싱 공격이 발생했습니다. 이 공격은 사기성 SMS 메시지를 활용하여 사용자를 속여 민감한 정보를 유출하도록 유도하는데, 이는 종종 요금 위반이나 오배송으로 위장합니다.
도메인이 홍콩에 있는 등록기관을 통해 등록되고 중국 네임서버를 사용함에도 불구하고, 공격 인프라는 주로 미국에 호스팅된 클라우드 서비스에서 운영되며, 이는 전 세계적으로 분산된 설정을 반영합니다.
목차
스미싱 3인조: 중국과 연계된 위협 행위자
이 캠페인은 중국과 연계된 스미싱 트라이어드(Smishing Triad)라는 조직에 의해 자행된 것으로 추정되는데, 이 조직은 모바일 기기에 사기성 알림을 대량으로 유포하는 것으로 악명 높습니다. 지난 3년간 이러한 캠페인은 높은 수익성을 보이며, 위협 행위자들에게 10억 달러 이상의 수익을 안겨주었습니다.
최근 조사 결과는 그들의 전술에 상당한 변화가 있음을 보여줍니다. 피싱 키트는 은행 자격 증명과 인증 코드를 훔치기 위해 증권 계좌를 노리는 경우가 점점 더 증가하고 있습니다. 이러한 계좌에 대한 공격은 2024년 동기 대비 2025년 2분기에 5배 증가했습니다. 일단 침해되면 공격자는 '램프 앤 덤프' 전략을 사용하여 주가를 조작하고, 최소한의 문서 흔적만 남깁니다.
피싱 서비스: 잘 정비된 범죄 생태계
스미싱 트라이어드는 단순한 피싱 키트 제공업체에서 여러 전문 참여자로 구성된 매우 활동적인 피싱 서비스(PhaaS) 커뮤니티로 변모했습니다.
- 피싱 키트 개발자 - 도구를 만듭니다.
- 데이터 브로커 - 타겟 전화번호를 제공합니다.
- 도메인 판매자 – 피싱 사이트 호스팅을 위해 일회용 도메인을 등록합니다.
- 호스팅 제공업체 - 서버 유지 관리.
- 스패머 - 대규모로 사기성 메시지를 배포합니다.
- 활성 전화번호 스캐너 - 활성 전화번호를 확인하세요.
- 차단 목록 스캐너 - 순환을 위해 차단 목록에 있는 도메인을 확인합니다.
이러한 생태계는 빠른 배포와 지속적인 적응을 가능하게 하여 감지와 중단을 어렵게 만듭니다.
도메인 등록 및 이탈 전략
분석 결과, 136,933개의 루트 도메인 중 약 93,200개(68.06%)가 Dominet (HK) Limited에 등록되어 있는 것으로 나타났습니다. 이 중 대부분은 .com 접두사를 사용하지만, 최근 몇 달 동안 .gov 도메인 등록이 증가했습니다.
이 캠페인은 빠른 도메인 회전율에 크게 의존합니다.
- 도메인의 29.19%가 2일 이하 동안 활성화되었습니다.
- 71.3%는 1주일 미만 동안 활동했습니다.
- 82.6%는 2주 이하 동안 활동했습니다.
- 3개월 이상 생존한 사람은 6% 미만이었습니다.
이러한 변동은 194,345개의 FQDN이 43,494개의 고유 IP(대부분 Cloudflare의 미국)로 확인되는 것과 결합되어 위협 행위자가 지속적으로 감지를 피할 수 있게 합니다.
인프라 통찰력 및 글로벌 도달 범위
캠페인 인프라 분석의 주요 결과는 다음과 같습니다.
- 가장 많이 사칭된 서비스는 미국 우편 서비스로, 28,045개의 FQDN을 보유하고 있습니다.
- 약 90,000개의 피싱 FQDN이 있는 유료 서비스 미끼가 가장 많습니다.
- 가장 많은 트래픽을 생성하는 도메인은 주로 미국에 호스팅되고, 그 다음으로 중국과 싱가포르가 뒤따릅니다.
피해자들은 러시아, 폴란드, 리투아니아 등의 국가에서 은행, 암호화폐 거래소, 배달 서비스, 경찰, 국영 기업, 통행료 서비스, 카풀 앱, 호텔 서비스, 소셜 미디어, 전자 상거래 플랫폼 등 다양한 부문을 표적으로 삼습니다.
정부 사칭 캠페인은 종종 사용자를 미납 통행료나 서비스 요금을 요구하는 랜딩 페이지로 리디렉션하며, 때로는 ClickFix 미끼를 이용해 사용자를 속여 CAPTCHA 확인으로 위장한 악성 코드를 실행하게 만들기도 합니다.
전 세계에 영향을 미치는 분산형 위협
스미싱 트라이어드 캠페인은 전 세계적인 영향력과 분산화를 보여줍니다. 공격자들은 매일 수천 개의 도메인을 등록하고 순환하며, 다양한 서비스를 모방하여 영향력을 극대화합니다. 미국 유료 서비스를 표적으로 삼는 스미싱 캠페인은 끊임없이 진화하는 거대하고 적응력이 뛰어나며 수익성이 높은 범죄 조직의 한 단면을 보여줍니다.
