보안 연구진이 애플 iPhone Duo 사전예약을 사칭한 웹페이지가 500달러 바우처를 미끼로, 10월 16일 공식 예약 시작 전에 취약한 아이폰과 암호화폐 지갑을 노리고 있는 정황을 확인했다.
핵심 내용
- 취약한 아이폰이 해당 페이지를 열기만 해도 악성 코드 실행 시도가 시작될 수 있음
- 페이로드는 암호화폐 지갑, 키체인 인증정보, 메모와 기타 개인 데이터를 표적으로 삼음
- 애플은 최신 버전으로 업데이트한 기기는 보고된 다크소드(DarkSword) 공격으로부터 보호된다고 설명
‘아이폰 듀오’ 사전예약 사칭 수법
보안업체 Malwarebytes는 아이폰 듀오 출시를 노린 사기 사례를 추적하는 과정에서 애플 공식 사이트를 흉내 낸 사전예약 페이지를 발견했다고 9월 29일 보고했으며, 이 내용은 다음날 9to5Mac을 통해 추가 보도됐다.
해당 사이트는 ‘공식 파트너 전용’이라는 문구와 함께 500달러 바우처와 AppleCare+ 제공을 앞세우고 있으나, 실제 아이폰 듀오 공식 사전예약은 10월 16일에야 시작된다.
Malwarebytes에 따르면 이 가짜 페이지는 기기 사이즈와 색상 구성이 실제 애플 제품군과 맞지 않고, 여러 정책 관련 링크도 작동하지 않는다. 특히 공격 시도는 방문자가 어떤 정보도 입력하기 전에 이미 시작되는 것으로 분석됐다.
연구진은 이 페이지가 유출된 ‘다크소드’ 익스플로잇 체인을 활용해 취약한 아이폰을 스캔한 뒤, 기기 정보, Apple 메모, 저장된 키체인 인증정보 등을 수집할 수 있는 별도 페이로드를 로딩하려 시도한다고 설명했다.
관련 기사: 폴리마켓 키이우 공습 베팅, 12만4,000달러 거래…실제론 두 건이 전부
암호화폐 지갑 노린 Malwarebytes 분석
문제의 페이로드는 MetaMask, Phantom, Trust Wallet, Coinbase Wallet, Exodus, Tonkeeper 등 주요 암호화폐 지갑 앱을 탐색하고, 공격자 서버와의 연결에 성공할 경우 지갑 파일과 자격증명, 사진 썸네일까지 업로드를 시도할 수 있는 것으로 나타났다.
연구진은 또한 메시지, 연락처, 통화 기록, 음성사서함, 이메일, 캘린더 일정, 캐시된 위치 정보 등을 겨냥한 코드도 확인했으며, 페이로드가 공격자 서버에 추가 명령을 요청할 수 있다고 밝혔다.
다만 Malwarebytes는 확보한 코드를 분석했을 뿐, 실제 아이폰 환경에서 공격을 실행하거나 데이터가 외부로 전송되는 과정을 직접 관찰하지는 못했다고 밝혔다. 따라서 공격 구조와 논리는 확인했지만, 실제 피해 사례까지 입증한 것은 아니라는 한계가 있다.
다크소드 취약점과 대응 현황
Google은 2026년 3월 다크소드 취약점을 공개했고, 애플은 같은 달 관련 보안 업데이트를 배포하며 해당 취약점을 패치했다. 당시 iVerify는 최대 2억7,000만 대의 기기가 취약 iOS 버전을 사용하고 있었을 것으로 추산했지만, Malwarebytes는 이 수치가 현재 상황을 반영한 것은 아니며 이번 가짜 사전예약 페이지가 실제로 악용하는 취약 버전 범위도 아직 명확히 확인되지는 않았다고 전했다.
