DNS 하이재킹 사기: 공격자가 어떻게 트래픽을 리다이렉트하는가
DNS 하이재킹은 사이버 범죄자들이 도메인 네임 시스템 설정에 무단으로 접근하여 정상적인 웹사이트 트래픽을 자신들이 통제하는 악의적인 서버로 리다이렉트할 때 발생합니다. 이 정교한 공격은 일반적으로 도메인 등록 대행업체 계정, 웹 호스팅 제어판을 손상시키거나 DNS 인프라의 취약점을 악용하여 기업과 웹사이트 소유자를 표적으로 합니다. FBI의 인터넷 범죄 신고 센터에 따르면, DNS 하이재킹은 2023년에 2,700만 달러 이상의 신고 손실을 초래했으며, 개별 사업 피해자들은 공격 기간 동안 평균 1만 달러에서 5만 달러의 손실을 입었습니다. 공격은 DNS 레코드(도메인 이름을 IP 주소로 변환하는 인터넷의 주소록)를 변경함으로써 작동합니다. 사기꾼들이 이러한 레코드를 수정하면 정상 웹사이트를 향한 모든 트래픽을 자신들의 악의적인 서버로 리다이렉트할 수 있습니다. 방문자들은 브라우저에서 올바른 URL이 보이지만 실제로는 로그인 자격증명, 결제 정보를 수집하거나 악성 소프트웨어를 배포하도록 설계된 가짜 사이트와 상호작용하고 있습니다. 그 결과는 즉각적인 금전 사기를 넘어선 것입니다: 기업들은 평판 손상, 고객 신뢰 상실, 데이터 유출에 대한 규제 벌칙에 직면할 수 있습니다. DNS 하이재킹 캠페인은 2019년 정부 및 민간 부문 도메인을 표적으로 한 대규모 공격 이후 점점 더 정교해지고 있습니다. 현대의 공격은 등록 대행업체 계정을 손상시키기 위한 소셜 엔지니어링, 약한 인증 시스템의 악용, 그리고 신뢰할 수 있는 복제 사이트의 신속한 배포를 결합하는 경우가 많습니다. 평균적인 DNS 하이재킹 사건은 탐지되기까지 1~7일 지속되지만, 일부 공격은 수주간 지속되며 의심하지 않는 사용자들로부터 민감한 데이터를 조용히 수집합니다. 기업들의 경우 재정적 영향에는 직접적인 도난, 사건 대응 비용, 법률 비용, 사이버보안 산업 보고서에 따르면 평균 23%의 장기적 고객 감소가 포함됩니다.
주요 수법
- • 사기꾼들은 도메인 등록 대행업체 계정 보유자를 표적으로 하는 자격증명 스터핑 공격이나 피싱 이메일을 사용하여 로그인 자격증명을 탈취한 후 DNS 관리 패널에 접근하여 소유자 모르게 네임서버 설정을 변경합니다.
- • 공격자들은 웹 호스팅 제어판과 도메인 등록 대행업체 계정의 약한 또는 기본 암호를 악용하며, 특히 이러한 중요 시스템에 2단계 인증을 활성화하지 않은 기업들을 표적으로 합니다.
- • 범죄자들은 위조된 서류를 사용하거나 예산 친화적인 등록 대행업체 서비스의 미흡한 검증 절차를 악용하여 정상적인 도메인 소유자를 사칭하는 허위 계정 복구 요청을 제출합니다.
- • 정교한 공격자들은 DNS 서버 소프트웨어의 취약점이나 BGP 라우팅 프로토콜을 악용하여 상위 DNS 인프라를 손상시키므로, 피해자 계정에 직접 접근하지 않고도 DNS 쿼리를 가로챌 수 있습니다.
- • 사기꾼들은 Let's Encrypt 같은 서비스의 SSL 인증서를 포함하여 미리 거의 동일한 복제 웹사이트를 만들어 두므로, 리다이렉트된 방문자들이 HTTPS 암호화 표시가 있는 신뢰할 수 있는 가짜 사이트를 보도록 보장합니다.
- • DNS 레코드를 하이재킹한 후, 공격자들은 종종 MX 레코드를 자신의 서버로 리다이렉트하여 이메일 트래픽을 모니터링하고, 비밀번호 재설정 요청과 업무 통신을 캡처하여 자신들의 접근을 연장하고 추가 공격을 위한 정보를 수집합니다.
식별 방법
- 웹사이트가 갑자기 접근 불가능해지거나 예상치 못한 콘텐츠가 표시되며, 도메인 등록 대행업체 계정에서는 귀하가 승인하지 않은 DNS 레코드 변경사항(특히 A 레코드, 네임서버, MX 레코드 변경사항에 대해 업무 시간 외 타임스탬프 포함)이 보입니다.
- 여러 고객이나 사용자가 웹사이트 외모가 달라졌고, 비정상적인 로그인 정보를 요청하고, 도메인 이름과 인증서 세부정보 간의 불일치를 나타내는 SSL 인증서 경고를 표시한다고 보고합니다.
- 이메일 서비스가 올바르게 작동하지 않으며, 들어오는 메시지가 수신되지 않고, 보내는 이메일이 반송되거나, 업무용 이메일 계정의 무단 접근이 발생하여 MX 레코드 조작을 시사합니다.
- 도메인 등록 대행업체에서 귀하가 시작하지 않은 계정 변경, 네임서버 수정, 전송 요청에 대한 예기치 않은 확인 이메일이 수신되며, 이는 공격자가 귀하의 계정을 적극적으로 조작하고 있음을 나타냅니다.
- 분석 플랫폼에 웹사이트 트래픽의 갑작스럽고 설명할 수 없는 감소 또는 트래픽 소스와 지리적 분포의 변화가 표시되는 한편, 동시에 귀하의 사이트가 보안 소프트웨어에 의해 플래그되었다는 보고가 수신됩니다.
- 귀하가 승인하지 않은 이메일 주소, 암호, 보안 설정 변경으로 인해 도메인 등록 대행업체 계정에 로그인할 수 없거나, 계정 잠금 알림을 받습니다.
자신을 보호하는 법
- 도메인 등록 대행업체 계정, 웹 호스팅 제어판, 도메인 관리와 관련된 모든 이메일 계정에서 2단계 인증을 활성화합니다. SMS 기반 코드 대신 인증 앱을 사용하세요. SMS 기반 코드는 SIM 스왑 공격을 통해 가로채질 수 있습니다.
- 레지스트라 잠금 또는 전송 잠금 기능을 구현하여 무단 도메인 전송을 방지하고 DNS 변경이 이루어지기 전에 추가 검증을 요구하며, 중요한 수정 사항에 대한 필수 대기 기간을 만듭니다.
- 강력한 보안 관행, 24/7 보안 지원, 문서화된 사건 대응 절차를 갖춘 평판이 좋은 도메인 등록 대행업체를 사용합니다. 고객 서비스가 부실하거나 인증 요구사항이 약한 저가 등록 대행업체는 피합니다.
- dig 또는 nslookup 같은 도구를 사용하여 DNS 레코드를 정기적으로 감사하여 A 레코드, 네임서버, MX 레코드가 문서화된 구성과 일치하는지 확인하고, 무단 변경사항에 대해 몇 분 내에 경고하도록 자동화된 모니터링을 설정합니다.
- 도메인에 DNSSEC(Domain Name System Security Extensions)를 구현하여 DNS 레코드에 암호화 방식으로 서명을 하므로, 공격자가 DNS 설정을 손상시킨 경우에도 트래픽을 성공적으로 리다이렉트하기가 훨씬 더 어렵습니다.
- 올바른 DNS 구성, 등록 대행업체 계정 세부정보, 등록 대행업체 보안팀의 긴급 연락처 정보에 대한 오프라인 문서를 유지하여 공격 중에 무단 접근을 감지했을 때 신속하게 대응할 수 있도록 합니다.
실제 사례
연간 매출이 200만 달러인 캘리포니아 전자상거래 회사는 고객이 의심스러운 신용카드 청구를 보고한 후 웹사이트가 가짜 체크아웃 페이지로 리다이렉트되는 것을 발견했습니다. 조사 결과 공격자들이 피싱 이메일을 사용하여 3일 전에 소유자의 도메인 등록 대행업체 계정을 손상시켜 DNS 레코드를 복제 사이트를 가리키도록 변경했습니다. 72시간 하이재킹 기간 동안 사기꾼들은 147명의 고객으로부터 결제 정보를 수집하여 4만 3천 달러의 사기 혐의와 사건 대응 비용, 차지백, 손실된 사업으로 인한 추가 8만 7천 달러가 발생했습니다.
전문 서비스 회사는 공격자들이 호스팅 계정의 약한 암호를 악용한 후 도메인의 MX 레코드를 하이재킹했을 때 5일간 업무용 이메일에 접근할 수 없었습니다. 범죄자들은 고객 계약, 재정 정보, 비밀번호 재설정 링크가 포함된 들어오는 이메일을 가로챘으며, 이를 사용하여 회사의 뱅킹 및 클라우드 스토리지 계정에 접근했습니다. 탈취된 자금, 법률 비용, 데이터 유출 법에 따른 필수 고객 알림, 그리고 이후 6개월 동안의 31% 고객 유지 손실을 고려하면 총 재정적 영향이 12만 5천 달러를 초과했습니다.
한 비영리 단체의 웹사이트는 공격자들이 등록 대행업체의 고객 서비스에 대한 소셜 엔지니어링 공격을 통해 도메인 등록 대행업체 계정을 손상시킨 후 탐지되기까지 11일간 하이재킹되었습니다. 가짜 사이트는 정상적인 자선 기부를 하고 있다고 믿는 230명의 개인으로부터 기부자 결제 정보와 로그인 자격증명을 수집했습니다. 탈취된 기부금 6만 7천 달러 외에도 단체는 상당한 평판 손상, 주 자선 단체 규제 기관의 공식 조사, 그리고 기부자 신뢰를 회복하기 위한 사이버보안 개선 및 위기 소통에 3만 4천 달러를 지출해야 했습니다.
신고 채널 — 대한민국
귀하의 지역에서 이 사기를 신고할 수 있는 공식 채널.
이 사기를 의심하시나요?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), dns 하이재킹 사기: 공격자가 어떻게 트래픽을 리다이렉트하는가 is described at https://scamlens.org/ko/encyclopedia/dns-hijacking.