구글 캘린더 이용한 피싱

초대장 자동 추가 기능 악용

카스퍼스키에 따르면, 근래 Google Calendar를 악용하는 피싱(phishing)이 빈발하고 있다. 사실 이 수법은 오래된 것인데, 스마트폰을 통해 다시 유행을 하는 모양이다. 스마트폰은 아무래도 화면이 작고, 표시가 간결하며, 사람들이 급하게 확인하는 경향을 이용한 것으로 생각된다.

PC의 웹 브라우저로 살펴보자. 구글 캘린더에서 일정을 하나 만들고, 여기에 참석자를 추가하면, 초대된 사람의 캘린더에 자동으로 표시된다. 일정 내용에는 링크를 삽입할 수 있다.

아래 그림은 초대받은 쪽의 화면이다. 일정 목록에는 사용자가 직접 만든 항목과 동일하게 표시된다. 그러나 세부 내용을 보면, 외부 일정임을 쉽게 알 수 있다. 여기에 악성 링크가 있고 부주의로 클릭하면, 이메일에서와 마찬가지로 피싱을 당하게 된다.

이것이 가능한 것은, 캘린더 설정에서 '초대장 자동 추가' 옵션이 켜져 있기 때문이다. 이 옵션은 기본으로 켜져 있는데, 불편하면 '아니오'로 바꾸면 된다.

외부에서 온 캘린더 일정은 쉽게 구별이 가능하기 때문에, 조금만 주의하면 크게 위혐하지는 않다. 다만 이메일을 통한 스피어 피싱에서와 마찬가지로, 해커가 표적에 대해 잘 알고 있다면 더 위험할 것이다. 소셜 엔지니어링을 통해 표적의 일상을 파악하고, 자주 이용하는 모임이나 예약 같은 알림으로 가장하면, 이메일보다는 조금 더 효과적일 수도 있겠다.


참고 자료

1. “구글 캘린더를 악용하는 스마트폰 신종 피싱” 카스퍼스키 발표