브라우저 인 브라우저 공격: 보이지 않는 피싱 위협

주요 수법

• • 사기꾼들은 손상된 정당한 웹사이트나 인기 있는 서비스와 관련된 것으로 보이는 가짜 랜딩 페이지에 악성 JavaScript 코드를 삽입하여 사용자가 SSO 로그인 흐름을 시도하기를 기다립니다.
• • Google, Microsoft, Apple, Facebook의 인증 팝업 창을 HTML과 CSS를 사용하여 화소 단위로 정확하게 복제하며, 가짜 주소창, SSL 자물쇠 아이콘, 실제 로그인 경험과 일치하는 시뮬레이션된 로딩 애니메이션까지 포함합니다.
• • 공격자들은 절대 위치 지정과 높은 z-index 값을 사용하여 이러한 가짜 창을 실제 웹페이지 위에 오버레이로 위치시켜 내장 페이지 요소가 아닌 정당한 브라우저 팝업으로 보이게 합니다.
• • 사용자 상호 작용을 모니터링하는 정교한 탐지 스크립트를 구현하여 사용자가 "로그인" 버튼을 클릭하거나 인증이 필요한 프리미염 기능에 접근하려 할 때 자동으로 가짜 로그인 창을 트리거합니다.
• • 사기꾼들은 키스트로크 로깅 및 양식 제출 차단을 통해 실시간으로 입력된 자격 증명을 캡처하여 공격자가 제어하는 서버로 즉시 데이터를 전송하면서 가짜 로딩 또는 오류 메시지를 표시합니다.
• • 자격 증명 탈취 후 공격자들은 가짜 창을 빠르게 제거하고 사용자를 정당한 로그인 페이지로 리디렉션하여 인증을 완료하게 하거나(탈취 위장) 일반적인 오류 메시지를 표시하여 나중에 다시 시도하도록 제안합니다.

식별 방법

• 로그인 팝업 창을 브라우저의 보이는 영역 경계 밖으로 드래그할 수 없거나 메인 페이지 콘텐츠에서 독립적으로 움직일 수 없으면, 이는 진정한 브라우저 창이 아니라 내장된 HTML 요소임을 나타냅니다.
• 팝업의 주소창, 창 경계 또는 최소화/최대화 버튼을 마우스 우클릭하면 브라우저 특화 옵션이 아닌 표준 웹페이지 컨텍스트 메뉴가 나타나거나 메뉴가 표시되지 않습니다.
• 팝업의 주소창에 있는 URL을 강조 표시하거나 복사하려고 할 때 URL이 변하지 않으며, 주소창을 클릭해도 정당한 브라우저 창이 허용하는 것처럼 텍스트 편집이나 URL 수정이 불가능합니다.
• 브라우저 개발자 도구(F12)를 사용하면 팝업 창이 별도의 브라우저 창 프로세스가 아니라 div 또는 iframe 요소로 페이지의 DOM 구조 내에 존재함을 드러냅니다.
• 팝업이 특성 있는 브라우저 창 애니메이션 없이 즉시 나타나거나 메인 브라우저 창 크기를 조정할 때도 완벽하게 중앙 정렬된 상태로 유지되면, 이는 페이지의 좌표 시스템에 바인딩되어 있음을 나타냅니다.
• 브라우저의 창 관리자(Windows에서 Alt+Tab, Mac에서 Command+Tab)를 확인하면 팝업에 대한 추가 창 인스턴스가 없으며, 이는 정당한 별도의 브라우저 창이 아님을 확인해줍니다.

자신을 보호하는 법

• 도메인 일치 기능이 있는 전용 암호 관리자를 항상 사용하면, 표시된 그래픽이 아닌 실제 URL을 확인하므로 가짜 내장 창에서 자격 증명 자동 채우기를 거부합니다.
• 모든 계정에서 이중 인증(2FA) 또는 다중 인증(MFA)을 활성화하세요. 가능하면 SMS 코드보다는 하드웨어 키나 인증 앱을 사용하여 자격 증명이 탈취되더라도 피해를 제한합니다.
• 낯선 웹사이트의 "로그인" 버튼을 클릭하는 대신 로그인 URL을 브라우저 주소창에 직접 입력하여 정당한 인증 페이지를 실제 브라우저 창에서 방문하도록 합니다.
• 자격 증명을 입력하기 전에 팝업 창을 브라우저 경계 밖으로 드래그하거나 URL 주소창을 클릭하여 정당한 브라우저 창인지 HTML 오버레이인지 확인하세요.
• 의심스러운 JavaScript 동작을 감지하거나 콘텐츠 보안 정책 검증을 구현하여 페이지가 가짜 창 오버레이를 만들려고 할 때 경고하는 브라우저 확장 프로그램을 설치합니다.
• 가능한 한 낯선 웹사이트의 SSO 로그인 흐름을 피하고 대신 각 서비스마다 고유한 암호가 있는 별도 계정을 만들어 탈취된 자격 증명의 가치를 단일 서비스로 제한합니다.

실제 사례

신고 채널 — 대한민국

귀하의 지역에서 이 사기를 신고할 수 있는 공식 채널.