피싱

가상자산은 카드 사기보다 피싱범에게 더 좋은 수익을 안겨 줍니다. 지불 거절(차지백)도 없고 연락할 발급사도 없기 때문입니다. FBI의 2023년 가상자산 사기 보고서는 69,000건이 넘는 신고와 56억 달러를 웃도는 손실을 집계했고, 한 하드웨어 지갑 제조사의 유출된 고객 파일은 272,853개의 자택 배송 주소를 표적 명단으로 유통시켰습니다. 열두 개 또는 스물네 개의 복구 문구를 요구하는 것은 예외 없이 절도입니다.

작동 방식

비트코인 보유자를 겨냥한 피싱은 네 가지 형태로 나타나며, 각각 다른 방어가 필요합니다.

자격 증명 피싱은 거래소 로그인 페이지를 비슷하게 생긴 도메인에 복제하며, 보통 검색 광고, “비정상 로그인 감지”라는 가짜 이메일, 또는 잘못 입력한 URL을 통해 도달합니다. 최신 방식은 실시간 중계입니다. 인증 앱 코드를 포함해 입력하는 모든 것이 몇 초 안에 실제 사이트로 전달되므로, 여섯 자리 코드가 맞는다는 사실은 아무것도 증명하지 못합니다. 하드웨어 보안 키만이 이를 견뎌냅니다. 키는 실제로 대화 중인 도메인에 서명하며, 비슷하게 생긴 사이트에는 쓸모 있는 것을 만들어 내기를 그냥 거부하기 때문입니다.

시드 문구 피싱은 계좌를 건너뛰고 지갑을 노립니다. “지갑 검증” 양식, 가짜 펌웨어 업데이트, “기기를 동기화”해야 한다는 지원 담당자, 또는 자금이 위험에 처했다고 주장하는 브라우저 팝업으로 나타납니다. 복구 문구가 곧 지갑입니다. BIP39는 그 열두 개 또는 스물네 개의 단어를 앞으로 보유하게 될 모든 개인 키로 바꾸므로, 그것을 읽은 사람은 누구든 자신의 기기에서 지갑 전체를 복원하고 마음껏 비울 수 있습니다. 어떤 제조사, 거래소, 지원팀도 그것을 볼 정당한 이유가 결코 없습니다.

서명 피싱은 읽을 수 없는 것을 승인하도록 요구합니다. 이는 주로 Ethereum의 문제로, 서명 한 번으로 토큰에 무제한 지출 권한을 부여할 수 있지만, 비트코인 사용자도 낯선 부분 서명 트랜잭션이나 임의의 메시지에 서명하라는 요구를 받을 때 이의 한 형태를 마주합니다.

지원 사칭은 사회공학에 섞여 들어갑니다. 올바른 로고를 단 계정이 X나 Telegram에서 보내는 답장으로, 문제를 공개적으로 게시한 지 몇 분 안에 나타납니다. 진짜 지원팀은 결코 먼저 연락하지 않습니다.

비트코인을 구매할 때 이것이 중요한 이유

피싱을 실제로 막는 방어는 한 번 정해 두는 설정 선택이지, 영원히 유지해야 하는 경계심이 아닙니다.

거래소에는 항상 같은 방식으로 접속합니다. 도메인을 북마크하고 그 북마크만 사용하며, 검색 결과나 이메일 속 링크는 결코 사용하지 않습니다. 이 사이트의 리뷰 페이지에는 이 사이트가 다루는 24곳의 거래소 각각의 공식 웹사이트가 나열되어 있으므로, URL을 대조할 두 번째 장소가 됩니다.

계정에 하드웨어 보안 키를 설정합니다. Kraken과 Coinbase는 모두 FIDO2 키를 지원하며, 이는 실시간 중계 공격이 전달할 수 없는 유일한 요소입니다. 키를 쓸 수 없다면 인증 앱이 문자 메시지보다는 여전히 낫습니다.

출금 주소 화이트리스트를 켜 두어, 탈취된 세션이 목적지를 새로 만들어 낼 수 없게 합니다.

복구 문구는 한 번만 기록하는 것으로 취급합니다. 설정 중에 종이나 금속에 적고, 휴대전화, 컴퓨터, 사진, 비밀번호 관리자, 양식에는 결코 입력하지 않습니다. 하드웨어 지갑은 설정이나 복구 중에 자체 화면에서만 복구 문구를 요구하며, 그 밖의 때에는 요구하지 않습니다. 어떤 소프트웨어가 요구한다면 그 소프트웨어는 적대적이며, 로고가 아무리 그럴듯해도 마찬가지입니다.

마지막으로, 마감 시한이 붙어 오는 것에는 속도를 늦춥니다. 긴급함은 모든 피싱 메시지가 공유하는 유일한 재료입니다. 주소 표시줄을 확인할 시간이 있는 사람은 더 이상 피해자가 되지 않기 때문입니다.

수년이 지난 지금도 악용되는 Ledger 고객 명단

2020년 7월에 Ledger는 자사의 전자상거래 및 마케팅 데이터베이스가 침해되어 약 100만 개의 이메일 주소와 그보다 적은 수의 상세 고객 기록이 노출되었다고 공개했습니다.

2020년 12월에 전체 덤프가 공개적으로 게시되었습니다. 하드웨어 지갑을 구매한 사람들의 이름, 전화번호, 실제 배송 주소가 담긴 272,853건의 주문 기록이었습니다. 이는 가상자산을 보유한 것으로 알려진 가구의 목록이며, 그들이 사는 곳까지 포함합니다.

그 뒤에 벌어진 일이 이 페이지에서 이 사건을 언급하는 이유입니다. 피해자들은 그 후 수년간 Ledger 보안 공지로 꾸민 피싱 이메일과 문자를 받았습니다. 2021년에는 일부가 위조 Ledger 기기가 든 소포를 받았는데, 원제품이 보안상의 이유로 교체되고 있다는 내용의 메모와 기존 복구 문구를 새 하드웨어에 입력하라는 지시가 들어 있었습니다. 다른 이들은 자택 주소를 언급하는 협박 메시지를 받았습니다.

이 교훈은 한 회사를 넘어 일반화됩니다. 제조사의 마케팅 시스템에서 빼낸 데이터만으로도 피싱을 개인적이고 그럴듯하게 만들기에 충분하며, 그 데이터는 만료되지 않습니다. 비트코인 하드웨어나 서비스를 구매한 회사가 언젠가 귀하의 정보를 유출한다고 가정하고, 그 유출이 비용이 아니라 창피한 일이 되는 환경을 구축하십시오.

피싱 vs 사회공학

피싱은 사회공학이라는 더 넓은 영역에 속한 한 기법입니다. 사회공학은 사람을 설득해 자기 이익에 반하는 행동을 하게 만드는 모든 공격을 가리키며, 피싱은 이를 대량 생산한 메시지 기반 형태로, 일부가 응답하기를 바라며 수천 명에게 보냅니다. 이 구분은 방어를 고를 때 중요합니다. 피싱은 대체로 기술로 해결할 수 있습니다. 보안 키, 북마크, 화이트리스트는 주의를 기울이든 기울이지 않든 작동하기 때문입니다. 더 넓은 사회공학, 특히 귀하에게 맞춘 실시간 전화 통화는 대신 절차 규칙이 필요합니다. 외부에서 먼저 연락해 왔다는 이유로 자금을 옮기지 않는 것입니다.

피싱 vs 피그 버처링 사기

피싱은 앞으로 60초 안에 자격 증명 하나를 원하고, 피그 버처링 사기는 앞으로 6개월에 걸친 관계를 원합니다. 피싱 메시지는 귀하가 이미 사용하는 서비스를 사칭하며, 생각하기 전에 즉시 행동하도록 설계됩니다. 돼지 도살 사기는 몇 주간의 평범한 대화로 신뢰를 쌓은 뒤, 가짜 수익을 보여 주고 초기 출금을 허용해 그것이 작동함을 증명하는 투자 플랫폼을 소개합니다. 두 번째의 손실은 보통 훨씬 더 큽니다. 피해자가 자발적으로, 반복적으로, 그리고 직접 마련한 돈으로 자금을 대기 때문입니다.