Ledger 하드웨어 지갑을 사용하는 사용자들이 - 이번에는 물리적 메일이라는 독특하고 놀라운 방법으로 사기꾼들의 목표가 되고 있습니다. Ledger를 사칭한 최신 피싱 캠페인은 보안 업데이트를 가장하여 수신자로부터 24단어 복구 구문을 내놓게 하려는 시도입니다.
이 공격의 물리적 성격과 자세한 개인 정보가 포함되어 있다는 사실은 2020년 Ledger의 악명 높은 데이터 유출과의 가능한 연결을 시사하며, 암호 화폐 공간에서의 데이터 노출의 지속적인 위험성을 강조합니다.
이 사기에 대한 첫 번째 보고서는 암호 화폐 투자자인 Jacob Canfield의 X (구 트위터) 게시물에서 시작되었습니다. 그는 속임수 편지의 이미지를 공유했습니다. 그 편지는 철저히 Ledger의 공식 브랜딩을 모방하며, 합법적인 회사 주소를 포함하고 있는 듯했으며, 고유한 참조 번호와 QR 코드를 스캔하라는 지침이 포함되어 있었습니다.
"디테일의 수준이 경악스러웠습니다." Canfield는 게시물에서 언급했습니다. "종이의 질에서부터 전문적인 형식에 이르기까지, 그것이 실제로 요청하는 내용을 깨닫기 전까지는 모든 것이 진짜 같았습니다."
이 편지는 사용자가 기금을 계속 사용할 수 있도록 "필수 확인 절차"를 거쳐야 한다고 거짓으로 주장하며, 30일 이내에 지침을 따르지 않으면 액세스가 제한된다고 위협했습니다. QR 코드는 피해자를 Ledger의 공식 웹사이트의 클론으로 안내했고, 거기서 그들은 지갑과 기금의 마스터 키인 24단어 시드 구문을 입력하라는 요청을 받았습니다.
Ledger는 "Ledger는 결코 24단어 복구 구문을 요청하지 않을 것입니다. 누군가가 요청한다면, 그것은 사기입니다."라는 월렛 보안의 중요한 원칙을 소셜 미디어를 통해 상기시키며 신속히 응답했습니다. 회사는 또한 사용자들에게 유사한 시도를 인식할 수 있도록 사기 편지의 예를 포함하여 보안 자문 페이지를 업데이트했습니다.
정교한 사기의 해부학
이 피싱 캠페인이 특히 위험한 이유는 정당성을 만드는 다단계 접근법입니다. 사기를 분석한 보안 연구원들은 정교한 요소를 몇 가지 지적했습니다:
-
물리적 매체: 종종 의심스러운 URL, 철자 오류 등을 포함하는 디지털 통신과 달리, 물리적 메일은 고유한 신뢰 요소를 갖고 있습니다.
-
개인화: 수신자들은 편지에 종종 전체 이름, 주소, 경우에 따라 자신이 소유한 특정 Ledger 모델에 대한 언급이 포함된다고 보고합니다.
-
긴박성 조성: 편지는 지침을 따르지 않으면 암호 화폐 자산의 영구적인 접근 손실이 발생한다고 제안하여 두려움을 이용합니다.
-
전문 프레젠테이션: 자료는 고품질 인쇄, 공식적인 편지머리, 심지어 일부 경우에는 진짜처럼 보이는 Ledger 홀로그램을 사용합니다.
-
기술적 정교함: QR 코드는 SSL 인증서와 합법적인 Ledger URL과 매우 유사한 도메인 이름을 사용하는 잘 만든 피싱 사이트로 연결합니다.
WannaCry 랜섬웨어 공격을 막은 작업으로 알려진 보안 컨설턴트 Marcus Hutchins는 캠페인에 대해 코멘트했습니다: "이는 피싱 전술의 중요한 에스컬레이션을 나타냅니다. 물리적 메일을 보내는 데 투자하려는 의지는 공격자들에게 잠재적인 성과를 보여주며, 암호화폐 대상 사기의 진화하는 정교함을 보여줍니다."
2020 Ledger 데이터 유출
Ledger가 공식적으로 직접적인 링크를 확인하지는 않았지만, 사이버 보안 및 암호화폐 커뮤니티는 강력히 이 피싱 캠페인이 2020년 7월 Ledger 데이터 유출에서 도난당한 정보를 활용한다고 의심합니다. 그 사건은 해커가 오래된 API 키를 활용하여 회사의 전자 상거래 및 마케팅 데이터베이스의 일부에 접근했을 때 암호화폐 커뮤니티에 충격을 주었습니다.
유출의 규모는 상당했으며:
- 약 100만 개의 이메일 주소가 유출되었고
- 약 272,000명 고객의 개인정보가 노출되었습니다. 여기에는
- 전체 이름
- 전화번호
- 물리적 우편 주소
- 제품 주문 정보와 구매 이력이 포함됩니다.
유출은 지갑 시드 구문, 개인 키, 암호화 자산을 직접적으로 손상시키지는 않았지만, 사회 공학을 통해 지속적인 취약성을 만들었습니다. 그 이후로, 피해자들은 여러 채널을 통해 타겟이 되었다고 보고했습니다:
- Ledger 지원을 사칭하는 피싱 이메일
- 계정 손상을 주장하는 SMS 메시지
- 집으로 배송된 가짜 Ledger 기기 교체
- 랜섬 지불을 요구하는 협박 메시지
- 그리고 이제 정교하게 제작된 우편 다중 채널 소셜 엔지니어링 캠페인은 이 분야의 보안이 지속적인 경계와 교육이 필요함을 보여줍니다.
현재로서는 암호화폐 커뮤니티가 수많은 사용자를 도난으로부터 보호했던 만트라를 받아들여야 합니다: 누군가가 당신의 시드 구문을 요구한다면 - 아무리 합법적으로 보여도 - 그것은 항상 사기입니다.