탈취된 계정: 신뢰받는 목소리가 사기 게시물을 올릴 때

그 게시물은 여러분이 수년간 팔로우해 온 계정에서 올라옵니다. 유명 프로젝트, 창업자, 존경받는 애널리스트입니다. 깜짝 토큰 출시, 한정 에어드롭, 긴급 마이그레이션을 알리며 링크가 함께 붙어 있습니다. 계정은 인증되어 있고, 프로필 사진도 맞으며, 글투마저 익숙하게 느껴집니다.

그런데 이것은 사기입니다. 계정이 더 이상 주인의 손에 있지 않기 때문입니다. 소셜 미디어 계정 탈취는 암호화폐를 훔치는 가장 효율적인 방법 중 하나가 되었습니다. 바로 수년에 걸쳐 쌓인 신뢰를 빌려 쓰기 때문입니다.

공격자가 신뢰받는 계정을 노리는 이유

가짜 계정은 처음부터 관심을 얻어야 합니다. 탈취된 계정은 이미 그 계정을 믿는 청중을 가지고 시작합니다. 침해된 프로젝트 계정의 게시물 하나가 몇 분 만에 수십만 명의 팔로워에게 닿을 수 있고, 공격자는 게시물이 발견되어 삭제되기 전에 그중 극히 일부만 클릭해도 충분합니다.

그래서 이런 공격은 대개 빠르고 요란합니다. 연이어 올라오는 게시물, 꺼져 있거나 가짜 칭찬으로 도배된 답글, 그리고 한 시간만 작동하면 되는 링크가 특징입니다.

계정이 탈취되는 방식

• 피싱으로 빼앗긴 로그인 정보. 가짜 “저작권 침해”, “인증”, “파트너십” 메시지가 똑같이 생긴 로그인 페이지로 유도해 비밀번호와 2단계 인증 코드를 실시간으로 가로챕니다.
• SIM 스와핑. 계정 복구가 전화번호에 의존한다면, 그 번호를 자기 SIM으로 옮긴 공격자가 비밀번호를 재설정할 수 있습니다.
• 침해된 연결 앱. 게시 권한이 있는 외부 예약 게시 도구나 분석 도구는 비밀번호를 전혀 건드리지 않고도 악용될 수 있습니다.
• 팀원 기기의 악성코드가 로그인된 세션을 훔칩니다. 비밀번호는 필요 없습니다.
• 허술한 복구 이메일. 소셜 계정 자체는 튼튼하지만, 그 뒤에 있는 이메일은 그렇지 않은 경우입니다.

사기 게시물이 흔히 하는 말

• 깜짝 토큰이나 에어드롭과 “받기” 링크. 가짜 에어드롭과 같은 수법으로, 지갑을 연결하고 서명하면 자금을 잃습니다.
• 긴급 마이그레이션: “마감 전에 토큰을 새 컨트랙트로 옮기세요”.
• 그 자체가 공격인 보안 경고: “취약점이 발견되었습니다. 여기서 승인을 취소하고 다시 승인하세요”.
• 먼저 자금을 보내라고 요구하는 경품 행사.
• 지원 제안: “팀” 계정이 문제 해결을 돕겠다며 답글을 달지만, 결국 같은 가짜 고객지원 수법으로 이어집니다.

알아보는 방법

• 긴박감과 링크의 조합은 아무리 믿을 만한 계정이라도 경고 신호입니다.
• 다른 채널을 확인하세요. 같은 공지가 프로젝트 웹사이트, 문서, 블로그, 다른 공식 계정에도 올라와 있나요? 진짜 출시는 여러 채널이 함께 움직이지만, 탈취는 보통 그렇지 않습니다.
• 링크의 문구가 아니라 도메인을 보세요. 새 도메인이나 살짝 다른 도메인이 가장 분명한 신호입니다.
• 답글이 꺼져 있거나 똑같은 열광적인 댓글로 가득한지 살펴보세요.
• 한 시간 기다리세요. 탈취는 대개 금방 발견되어 복구됩니다. 진짜 기회라면 그대로 남아 있지만, 사기는 보통 사라집니다.

이 모든 것의 바탕에 있는 원칙은 피싱 전반의 원칙과 같습니다. 메시지 속 링크를 보고 행동하지 말고, 직접 사이트에 접속하세요.

사람들이 신뢰하는 계정을 운영한다면

프로젝트와 유명인은 바로 그 청중 때문에 표적이 됩니다. 몇 가지 조치만으로 탈취를 훨씬 어렵게 만들 수 있습니다.

• 2단계 인증에는 SMS 대신 하드웨어 보안 키나 인증 앱을 사용하세요.
• 플랫폼이 허용한다면 복구 수단에서 전화번호를 제거하세요.
• 복구 이메일도 계정 자체와 같은 수준으로 보호하세요.
• 연결된 앱을 정기적으로 점검하고 더 이상 쓰지 않는 앱은 제거하세요.
• 게시할 수 있는 사람을 제한하고, 비밀번호를 공유하는 대신 플랫폼의 팀 기능이나 권한 위임 기능을 사용하세요.
• 탈취 시 대응 방안을 미리 정해 두세요: 누가 플랫폼에 연락할지, 경고를 어디에 올릴지, 팔로워가 공식 채널을 어떻게 확인할 수 있을지.

SSP의 소통 방식

SSP는 어디에서도 토큰, 에어드롭, 여러분 자금의 “마이그레이션”, 또는 복구 문구를 입력해야 할 이유를 공지하지 않습니다. 저희가 옮길 것은 아무것도 없습니다. 여러분의 코인은 여러분 자신의 2-of-2 금고에 있고, 오직 여러분의 두 기기만 그것을 옮길 수 있습니다.

저희 계정처럼 보이는 곳에서 지갑을 연결하거나, 받거나, 옮기거나, 인증하라고 요구하는 게시물을 본다면, 탈취된 계정으로 간주하고 무엇이든 하기 전에 공식 웹사이트와 문서를 확인하세요.

그리고 혹시 링크 하나가 빠져나가더라도, SSP의 두 기기 승인이 두 번째 기회를 줍니다. 모든 거래와 서명은 휴대폰의 SSP Key에서 확인을 거쳐야 하며, 그곳에서 실제로 무엇을 승인하는지 읽을 수 있습니다.

솔직한 요약

탈취된 계정은 다른 사람의 평판을 공격자의 확성기로 바꿔 놓습니다. 계정이 진짜라고 해서 게시물이 진짜인 것은 아닙니다.

누가 올렸든 긴박감과 링크는 의심하고, 공지는 두 번째 공식 채널로 확인하며, 클릭하는 대신 웹사이트에 직접 접속하고, “기간 한정” 기회에는 한 시간의 여유를 두세요. 대부분의 탈취는 그만큼 오래 버티지 못합니다.