공격자들이 ChatGPT 결제 알림처럼 위장한 피싱 이메일을 유포하고 있습니다. 이 이메일에는 "48시간 안에 결제 정보를 업데이트하지 않으면 계정이 정지된다"는 내용과 함께 가짜 OpenAI 로그인 페이지로 연결되는 버튼이 포함되어 있습니다. 특이한 점은 해당 버튼의 링크가 구글 API 주소로 시작해 실제처럼 보이도록 위장한다는 것입니다. 피해자가 가짜 페이지에서 아이디와 비밀번호를 입력하면 곧바로 공격자에게 전송됩니다. 로그인 전 주소창에서 auth.openai.com 여부를 확인하는 것이 가장 확실한 예방법입니다.
공격자가 ChatGPT 구독 결제 청구서를 위장한 피싱 이메일을 발송해 가짜 OpenAI 로그인 페이지로 유도, 입력된 계정 정보를 탈취하는 캠페인이 확인됐다.
개인 및 업무용 ChatGPT 계정 자격증명이 탈취될 수 있으며, 탈취된 계정은 추가 공격이나 민감 정보 접근에 악용될 수 있다.
이메일 발신 주소가 OpenAI 공식 도메인이 아닌 nxcli[.]io 하위 도메인이며, 버튼 링크가 Google API 리디렉트를 경유해 의심을 낮추도록 설계됐다.
Cofense가 공개한 침해지표(IoC) 3개(Google 리디렉트 링크, login.php, key.php 경로)를 메일 로그에서 검색·차단하고, 사용자에게 로그인 전 주소창 확인을 교육해야 한다.
링크에 마우스를 올려 구글 주소가 보여도 안심할 수 없다. OpenAI 청구 이메일의 버튼이 Google 도메인을 경유하는 것 자체가 이상 징후이며, 반드시 브라우저 주소창에서 auth.openai.com 을 직접 확인해야 한다.
본문
가짜 ChatGPT 결제 이메일이 사용자를 OpenAI 로그인 페이지 사본으로 유도해, 입력된 아이디와 비밀번호를 그대로 탈취하고 있습니다. Cofense의 피싱 방어 센터 소속 Josh Varden은 이메일의 결제 버튼이 Google 리디렉트를 거쳐 공격자 페이지로 연결된다는 사실을 추적해 밝혀냈습니다.
이 피싱은 업무용·개인용 ChatGPT 계정 사용자 모두를 표적으로 삼으며, 실제 구독자가 받을 법한 청구서 형태를 그대로 모방합니다. 가짜 페이지에서 입력된 자격증명은 공격자에게 전달되고, 피해자는 오류 페이지로 넘겨집니다.
ChatGPT 피싱 이메일 (출처: Cofense)
청구서가 진짜처럼 보이는 이유
이메일은 "ChatGPT"라는 발신자 이름과 "긴급: 서비스 중단을 막으려면 결제 수단을 업데이트하세요(Urgent: Update Your Payment Method to Avoid Service Interruption)"라는 제목줄로 도착합니다. ChatGPT 로고, '최종 고지' 태그, $23.80의 미결 금액이 포함되어 있습니다. 48시간 안에 결제를 처리하지 않으면 계정이 정지될 수 있다고 경고하며, 큼직한 초록색 "결제 정보 업데이트(Update Payment Information)" 버튼을 제공하고 "The OpenAI Team" 명의로 마무리됩니다. 마감 기한과 굵은 글씨는 독자가 꼼꼼히 살피기 전에 클릭하도록 유도합니다.
발신자 주소에서 허점이 드러납니다. 발신지는 support@9527db6e1a[.]nxcli[.]io로, OpenAI 공식 주소가 아닙니다.
링크가 Google을 경유하는 이유
버튼은 피싱 사이트로 직접 연결되지 않습니다. URL이 notifications[.]googleapis[.]com에서 시작하는 Google API 리디렉트를 거쳐 실제 페이로드로 이동합니다. 이는 기존의 '클릭 전 호버로 확인하라'는 조언을 무력화합니다. 호버 시 OpenAI 주소 대신 Google 주소가 표시되는데, Varden은 이 불일치 자체가 단서라고 강조합니다. 이를 알아채려면 OpenAI 청구서에 Google 링크가 있다는 것 자체가 이상하다는 사실을 알아야 합니다.
가짜 랜딩 페이지에는 ChatGPT 로고와 아이디·비밀번호 입력란 위의 "Welcome back" 인사말이 표시됩니다. 실제 로그인 페이지는 auth.openai.com에 있으며, 주의 깊게 보는 사람에게는 브라우저 주소창이 그 차이를 보여줍니다.
차단 및 확인 방법
Cofense는 침해지표(IoC) 세 가지를 공개했습니다: Google 리디렉트 링크와 동일한 nxcli[.]io 호스트의 두 경로인 login.php 및 key.php입니다. 메일 보안팀은 세 가지를 모두 로그에서 검색할 수 있습니다. ChatGPT를 사용하는 경우, 가장 중요한 확인은 단 2초면 됩니다: 비밀번호를 입력하기 전에 주소창을 읽고 auth.openai.com 인지 확인하세요.
