피싱 공격 확산…보안 전문가 “VPN·휴대전화 핫스팟 사용 권장”
호텔과 컨퍼런스센터의 공용 Wi-Fi를 이용하는 출장객을 노린 신종 사이버 공격이 미국에서 확산되고 있다. 해커들이 호텔의 네트워크 장비를 해킹해 사용자를 가짜 Microsoft 365 로그인 페이지로 유도한 뒤 계정 정보를 탈취하는 수법이다.
사이버보안업체 릴리아퀘스트(ReliaQuest)는 이번 공격이 최소 지난 6월부터 미국 여러 도시에서 확인됐으며, 금융·법률·의료·에너지·유통 등 다양한 업종의 기업 직원들이 영향을 받은 것으로 분석했다. 특정 산업보다 출장 중 공용 Wi-Fi를 사용하는 직장인을 집중적으로 노린 공격이라는 설명이다.
공격은 호텔의 Wi-Fi 게이트웨이 DNS(Domain Name System) 설정을 변경하는 방식으로 이뤄진다. 사용자가 Microsoft 365 로그인 페이지에 접속하면 정상 사이트 대신 해커가 만든 가짜 로그인 화면으로 연결된다. 인터넷 연결은 정상적으로 작동하기 때문에 사용자가 이상을 알아차리기 어렵다.
조사 결과 해커들은 m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com, ms365-live[.]com 등 Microsoft와 유사한 이름의 도메인을 사용해 피싱 사이트를 운영한 것으로 확인됐다. 사용자가 이메일 주소와 비밀번호를 입력하면 계정 정보가 해커에게 넘어가며, 업무용 이메일과 클라우드 문서, 기업 시스템까지 노출될 위험이 있다.
일부 사례에서는 다중인증(MFA)까지 우회하는 방식도 사용됐다. 사용자가 정상적인 인증 절차로 착각해 기기 인증(Device Code)을 승인하면 해커는 합법적인 인증 토큰을 발급받아 계정에 접근할 수 있는 것으로 나타났다.
릴리아퀘스트는 공용 DNS를 사용하는 것만으로는 이번 공격을 막기 어렵다고 설명했다. 호텔의 Wi-Fi 장비 자체가 DNS 응답을 조작할 수 있기 때문이다.
보안 전문가들은 공용 Wi-Fi 이용 시 VPN을 항상 활성화하고, 중요한 업무는 휴대전화 핫스팟을 이용하는 것이 안전하다고 권고했다. 또한 Microsoft 로그인 주소를 반드시 확인하고, 본인이 요청하지 않은 인증은 승인하지 말아야 한다고 강조했다.
릴리아퀘스트는 “호텔 Wi-Fi는 정상적으로 보이더라도 이미 해킹됐을 가능성이 있다”며 “출장 중 예상하지 못한 Microsoft 로그인 화면이나 기기 인증 요청이 나타나면 즉시 로그인을 중단하고 회사 IT 부서를 통해 확인해야 한다”고 당부했다.