저자 : 케이티 보케티 | 편집 : 크레이그 테일러
이번 주 블로그에는 애플 하드웨어 보안에 대한 칭찬이 숨겨져 있습니다. 범죄자들이 아이폰을 훔치는 건 오랜만이지만, 이제는 애플의 하드웨어 보안( Secure Enclave 라고 불리는 것 )을 뚫고 훔친 아이폰을 사용할 수 없다는 사실을 사실상 인정하고 있는 셈입니다. 그래서 그들은 아이폰을 공격해서 침입하는 대신, 애플이 막을 수 없는 유일한 구성 요소, 바로 우리(여러분)를 공격하는 거죠. 🙂
"애플 고객 지원 담당자 앨리스"를 만나보세요. 앨리스는 AI 음성 상담원으로, 3개 국어를 구사하고, 사용자의 휴대폰 모델과 현재 위치까지 정확히 알고 있으며, 암호를 소리 내어 읽어주는 동안에도 항상 정중한 태도를 유지합니다. 물론, 앨리스는 가상의 인물이며, 통화당 약 10센트 정도의 비용만 발생합니다.
가격 또한 이 이야기의 중요한 부분입니다. 10년 넘게 아이폰이 출시되던 시절, 그럴듯한 전화 사기를 치려면 숙련된 사람이 한 명씩 상대를 공략해야 했습니다. 하지만 인공지능은 이제 그 기술을 구독형 상품으로 바꿔, 사용자의 언어와 개인 정보를 이용해 대규모로 서비스를 제공할 수 있게 했습니다. 예전에 사람들에게 가르쳐주던 경고 신호, 어색한 문법, 그리고 형식적인 "고객님께" 같은 문구는 이제 거의 사라졌습니다.
본문을 읽기 전에 잠시 시간을 내어 기본적으로 비활성화되어 있는 "Apple의 도난 기기 보호" 기능을 활성화하는 것이 좋습니다. 이 기능을 활성화하려면 iOS 17.3 이상이 필요하며 몇 분 정도 소요됩니다. 자세한 내용은 다음 링크에서 확인할 수 있습니다. https://support.apple.com/en-us/102568 기본적으로 비활성화되어 있으며, 아래 체크리스트에 따라 활성화하시면 됩니다.
아이폰을 도난당했는데 '나의 아이폰 찾기' 기능으로 위치를 확인할 수 없는 경우(도둑들은 종종 신호를 차단하기 위해 저렴한 패러데이 백 에 아이폰을 넣어둡니다 ), 인공지능(AI)이 생성한 전화가 걸려와 암호를 알려달라고 할 가능성이 높습니다. 절대 속지 마세요. 도난당한 아이폰으로 고통받는 와중에 이런 모욕까지 당하지 않도록 말입니다. 간단히 이렇게 되뇌이세요. " 정상적인 방법으로는 누구도 암호, 비밀번호 또는 인증 코드를 요구하지 않습니다 ." 애플에서도 이 점을 명확히 밝혔습니다 . 이 요청을 단 한 번만 거부하면, AI는 더 이상 시도할 수 있는 단서를 얻지 못할 것입니다.
애플은 하드웨어를 해킹과 공격으로부터 최대한 보호하도록 만들었기 때문에 이제 해커들이 여러분을 공격합니다! 휴대전화를 도난당했을 때는 이러한 AI 생성 전화에 주의하세요.
— 크레이그 테일러, 사이버후트 CEO
본인이나 동료에게 일어날 수 있는 상황을 미리 알아두면 좋을 시나리오가 있습니다. 아이폰을 분실하거나 도난당한 후 며칠 뒤, 차분하고 친절한 애플 지원 담당자처럼 들리는 사람에게서 전화가 걸려옵니다. 그녀는 당신의 아이폰 모델을 알고 있고, 지도상에서 현재 위치도 파악하고 있습니다. 그리고 "잠금을 해제해 드리기 위해" 암호를 물어봅니다.
그녀는 애플 직원이 아닙니다. 심지어 인간도 아닙니다. 그녀는 범죄자가 고용한 AI 음성 비서로, 당신의 암호, 애플 ID 비밀번호, 그리고 2단계 인증 코드를 한 번에 한 문장씩 정중하게 설득하여 빼내도록 만들어졌습니다.
SOCRadar의 보안 연구원들이 최근 이 공격 방식을 문서화했습니다. 이 공격 방식은 AnonyMousKIT이라고 불리며, 조직 규모와 관계없이 잠시 시간을 내어 살펴볼 가치가 있습니다.
AnonyMousKIT은 도난당한 아이폰의 잠금을 해제하기 위해 만들어진 피싱 서비스입니다. 소유자를 속여 계정 정보를 빼내는 것이 목적입니다. 애플의 활성화 잠금은 아이폰을 소유자의 애플 ID에 연결하기 때문에, 도난당한 아이폰은 도둑이 잠금을 해제하기 전까지는 사용할 수 없습니다. 범죄자들은 활성화 잠금을 해킹하는 대신, 피해자에게 직접 연락하여 정중하게 요청하는 세련된 플랫폼에 접근 권한을 구매합니다.
이 플랫폼은 소규모 소프트웨어 회사처럼 운영됩니다. 크레딧 묶음을 판매하고, 구독 등급을 제공하며, 도난당한 휴대폰 하나의 데이터로 이메일, 문자 메시지, WhatsApp, 녹음된 음성 통화, 실시간 AI 음성 상담 등 5가지 채널을 통해 피해자에게 접근합니다.
이러한 전화 통화의 배후에 있는 AI 페르소나는 "애플 지원 담당자 앨리스"라는 이름을 사용하며, 대상에 따라 영어, 스페인어, 포르투갈어를 구사합니다. 연구진은 이 페르소나와 관련된 통화 기록 200건을 확보했는데, 대부분 2025년 8월부터 2026년 5월 사이에 브라질 전화번호로 걸려온 것이었습니다.
일반적인 통화는 간단한 스크립트를 따릅니다. 앨리스는 먼저 본인이 휴대전화 소유자인지 확인하고, 4자리 또는 6자리 암호를 요청한 후, 암호를 다시 한번 읽어 확인합니다. 그런 다음, 누군가 활성화 잠금을 해제하기 위해 애플 스토어를 방문했다고 설명하고, 복구 문자 메시지를 받았는지 묻습니다. 이 질문을 통해 다음 단계인 애플 ID 암호와 실제 2단계 인증 코드를 요청하게 됩니다.
이러한 전화 사기 200건을 모두 처리하는 데 드는 비용은 총 20달러도 채 되지 않습니다. 이제 설득력 있는 다국어 전화 사기는 한 건당 약 10센트 정도의 비용으로 시도할 수 있습니다. 이러한 가격 하락은 피해자 수와 같은 헤드라인 기사보다 훨씬 더 주목할 만한 가치가 있습니다.
이 사기는 도난당한 기기에서 직접 추출한 실제 정보, 즉 정확한 애플 모델 번호와 '나의 찾기'에서 가져온 실시간 위치 정보를 이용하기 때문에 성공적입니다. 링크된 메시지를 클릭한 피해자는 공식 애플 사이트처럼 보이는 페이지로 이동하게 되는데, 여기에는 휴대전화의 현재 위치를 보여주는 애니메이션 지도까지 포함되어 있습니다.
이메일은 이러한 사기 수법에서 가장 활발하게 사용되는 채널입니다. 가장 흔한 제목은 "기기를 찾았습니다" 또는 "알림"이며, 애플, 나의 찾기, 애플 지원과 같은 계정처럼 보이도록 위장되어 발송됩니다. 이러한 이메일은 대부분 하나의 무료 Gmail 계정을 통해 전송되며, 피해자가 거주하는 실제 도시 이름이 포함되어 있어 대량 생산된 메시지임에도 불구하고 마치 개인적인 메시지처럼 느껴지게 합니다.
AnonyMousKIT은 유사한 키트들로 구성된 더 큰 제품군에 속합니다. 연구원들은 여러 도메인에 걸쳐 수십 개의 관련 설치 사례를 발견했는데, 일부는 거의 동시에 실행되어 백엔드 인프라를 공유하는 경우도 있었습니다. 이는 소수의 운영자가 여러 브랜드 매장을 동시에 운영하고 있음을 시사합니다.
보고서에 숨겨진 정말 고무적인 사실이 하나 있습니다. 이러한 온라인 상점들이 광고하는 "잠금 해제 도구"는 대부분 미끼에 불과합니다. 공격 대상이 된 휴대폰의 거의 대부분은 애플의 최신 칩을 사용하고 있어서 공개된 취약점을 이용해도 보안 영역(Secure Enclave)에 접근할 수 없습니다. 범죄자들은 애플의 하드웨어 보안을 우회할 방법이 없기 때문에 사용자의 암호와 로그인 정보가 필요합니다. 이미 최고의 방어 수단이 작동하고 있는 것입니다.
애플은 자사에서 절대 사용자의 비밀번호, 기기 암호 또는 2단계 인증 코드를 요구하지 않으며, 2단계 인증 메시지에서 '수락'을 누르도록 요청하지도 않는다고 명확히 밝혔습니다. 기기에 대한 정확한 정보를 담고 있는 것처럼 보이더라도 이러한 정보를 요구하는 전화, 문자 또는 이메일은 모두 사기라고 간주하십시오.
도난 방지 기능을 활성화하는 것 외에도( 이미 활성화하셨겠죠? ), 팀원들과 이러한 팁과 모범 사례를 계속 공유하세요. 가장 중요한 습관은 바로 이것입니다. 아무리 친절하게 말하고 휴대전화 정보를 알고 있다고 해도, 먼저 전화, 문자, 이메일을 보내는 사람에게는 절대로 비밀번호, 암호 또는 인증 코드를 알려주지 마세요. 이번 주에 이 글을 팀원들과 공유하고, 다음 회의에서 1분 정도 이야기 나눠보세요. 그러면 어제보다 오늘 훨씬 더 안전해질 것입니다.
애플에서 전화, 문자, 이메일을 통해 암호나 2단계 인증 코드를 요구하는 경우가 있나요? 아니요. 애플은 암호, 기기 암호 또는 2단계 인증 코드를 절대 요구하지 않으며, 2단계 인증 요청 시 '수락'을 누르도록 요청하지도 않는다고 명확히 밝혔습니다. 이러한 정보를 요구하는 모든 메시지는 사기라고 생각하세요.
사기꾼은 어떻게 내 휴대폰 모델과 위치를 알았을까요? 사기범은 도난당한 기기에서 애플 모델 번호와 '나의 찾기' 상태를 포함한 정보를 직접 가져옵니다. 이러한 정확성 때문에 메시지가 애플이 아닌 범죄자가 보낸 것처럼 느껴지는 것입니다.
인공지능 음성이 정말 사람들을 속일 만큼 그럴듯하게 들릴까요? 네, 그렇습니다. 그리고 이는 심각하게 생각해 볼 만한 문제입니다. 이러한 전화 사기에 사용되는 음성 인플루언서는 3개 국어를 지원하며, 자연스럽고 차분한 스크립트를 따라 피해자에게 소유권 확인과 비밀번호 안내를 해줍니다. 이 모든 서비스는 통화당 약 10센트 정도의 비용으로 이용할 수 있습니다.
이런 전화나 메시지를 받으면 어떻게 해야 하나요? 전화를 끊거나 무시하세요. 먼저 연락해 온 사람에게 암호, 비밀번호 또는 인증 코드를 절대 공유하지 마세요. 의심스러운 메시지는 reportphishing@apple.com 으로 전달하고 , 확인이 필요한 사항이 있으면 Apple 공식 채널을 통해 직접 문의하세요.
이 사기 수법은 실제로 휴대폰 하드웨어를 해킹하는 것일까요? 아닙니다. 기술적인 취약점을 이용하는 방식은 전혀 없습니다. 이 사기 수법은 오로지 사용자가 자신의 개인 정보를 제공하는 것에 달려 있습니다. 정보 제공을 거부하면 사기꾼들은 더 이상 공격할 수단이 없어집니다.
최신 사이버 보안 동향, 팁, 모범 사례를 알아보고 공유하세요. 또한 주의해야 할 새로운 위협도 알려드립니다.
글쓴이: Katie Boquetti | 편집: Craig Taylor Craig Taylor의 편집: 이번 주 블로그에는...
더보기
때때로 보안 연구원들이 잠시 멈춰 생각하게 만들 만큼 교묘한 속임수를 쓰는 악성 소프트웨어가 등장하곤 합니다.
더보기
저자: 크레이그 테일러 저는 커피숍에 갈 수도 없고, 골프를 칠 수도 없고, 누군가와 친근한 대화를 나눌 수도 없습니다...
더보기
