보안 연구기업 Malwarebytes가 Claude Max 무료 구독을 미끼로 구글 계정 로그인 정보를 훔치는 피싱 캠페인을 발견했습니다. 공격자들은 실제 Anthropic 홈페이지와 똑같이 생긴 가짜 페이지를 만들고, 카운트다운과 '잔여 슬롯'으로 긴박감을 조성해 사용자를 유인합니다. 피해자가 구글 로그인 버튼을 누르면, 현재 탭 안에 가짜 구글 로그인 창이 그려지는 '브라우저-인-더-브라우저(Browser-in-the-Browser, 탭 안에 가짜 팝업 창을 그려 실제 팝업처럼 속이는 기법)' 수법으로 자격증명을 탈취합니다. 구글 계정이 탈취되면 이메일·문서·다른 서비스의 비밀번호 재설정까지 공격자에게 노출됩니다. 악성 기능이 러시아어 주석이 달린 재사용 가능한 외부 위젯 코드 한 줄로 구현된 점이 특징으로, 동일 도구를 활용한 유사 캠페인이 확산될 가능성이 있습니다.
가짜 Claude Max 무료 구독 이벤트 페이지로 사용자를 유인해 브라우저-인-더-브라우저 기법으로 구글 계정 자격증명을 탈취하는 피싱 캠페인이 발견됐다.
피해자의 구글 계정(이메일, 문서, 타 서비스 비밀번호 재설정 채널)이 공격자에게 노출되며, 같은 계정으로 Claude에도 로그인 가능하다.
Claude 유료 플랜($20/월~)에 대한 수요를 악용한 사회공학 기법으로, 카운트다운·제한 슬롯·'카드 정보 불필요' 문구로 신뢰감을 높였다. 악성 코드는 러시아어 주석이 포함된 재사용 가능한 외부 위젯 한 줄로 삽입됐다.
Malwarebytes가 캠페인을 분석·공개했다. 공식 대응이나 패치 사항은 없으며, 사용자 인식 제고가 주요 방어 수단이다.
공식 도메인 외에서 제공되는 무료 구독·업그레이드 이벤트는 의심하고, 팝업 창이 실제 별도 창인지 현재 탭 내부에 그려진 가짜 창인지 주소표시줄 위치로 확인해야 한다. 기업 환경에서는 구글 계정 탈취가 SSO(통합 로그인) 연동 시스템 전반의 침해로 이어질 수 있어 MFA(다중 인증) 적용이 필수적이다.
본문
Malwarebytes 연구진에 따르면, 가짜 Claude Max 무료 이벤트 페이지가 스푸핑된 구글 로그인 창을 이용해 사용자의 로그인 자격증명을 훔치는 것으로 확인됐다.
"브라우저-인-더-브라우저(Browser-in-the-Browser)"는 새로운 기법이 아니다. 연구자들이 2022년부터 문서화해 왔으며, 6월에는 Palo Alto Networks의 Unit 42가 드래그 가능한 가짜 브라우저 창을 이용해 Microsoft 365 사용자를 노린 캠페인을 보고한 바 있다.
캠페인을 분석한 Malwarebytes 연구원 Stefan Dasic은 "피싱은 언제나 사람들이 원하는 것을 따라간다"고 말했다.
"Claude의 유료 플랜은 월 $20부터 시작하고 높은 사용 한도를 원할수록 비용이 훨씬 더 오르는 반면, 무료 계정은 제한이 더 엄격합니다. 그래서 무료 업그레이드 약속이 매력적인 미끼가 됩니다"라고 그는 설명했다.
Microsoft는 6월, ChatGPT·Claude·DeepSeek·Copilot을 사칭하는 피싱·악성 광고·검색 기반 캠페인을 목격했다고 보고했다. 일부는 결제 실패를 빌미로 가짜 결제 페이지로 피해자를 유도했고, 다른 일부는 악성코드를 설치하는 앱 다운로드를 유도했다.
Dasic은 "이번에 발견한 캠페인은 다른 방식을 취합니다. 카드 정보를 수집하는 양식도 없고 다운로드도 없습니다. 대신 무료 업그레이드를 제공하면서 구글 계정으로 로그인하도록 유도합니다"라고 덧붙였다.
가짜 이벤트, 카운트다운과 제한된 슬롯으로 긴박감 조성
해당 페이지는 Claude의 로고와 색상을 그대로 복사했다. 조작된 별점 리뷰를 표시하고, 하단 푸터 링크는 실제 Anthropic 페이지로 연결된다. 사이트에는 Anthropic이 1억 명의 사용자를 돌파했으며 1만 개의 무료 1개월 Claude Max 구독권을 나눠주고 있다고 적혀 있다.
가짜 이벤트 페이지 (출처: Malwarebytes)
카운터는 1만 개의 슬롯 중 760개 미만이 남았다고 표시하며 몇 초마다 줄어든다. Dasic에 따르면 이 숫자는 방문자의 브라우저에서 생성되며 페이지를 새로고침하면 초기화된다.
FAQ 섹션에는 결제 정보가 필요 없다고 명시되어 있다. Dasic은 "그 부분은 사실입니다. 덕분에 제안이 더 설득력 있게 느껴집니다. 많은 사람이 사기를 카드 정보 요구와 연결 짓는데, 이 페이지는 절대 그것을 요구하지 않습니다"라고 설명했다.
로그인 양식에는 여러 옵션이 표시되지만 실제로 작동하는 것은 하나뿐이다. Apple 버튼은 일시적으로 사용할 수 없다는 메시지를 표시하고, 이메일 입력란은 방문자가 입력한 내용을 무시하고 대신 구글 버튼을 활성화한다.
구글 계정이 탈취되면 공격자는 피해자의 이메일과 문서에 접근할 수 있을 뿐 아니라, 다른 서비스의 비밀번호 재설정 메시지도 볼 수 있다. 같은 계정으로 Claude에도 로그인할 수 있다.
드래그 가능한 가짜 브라우저 창으로 피싱 페이지를 정상처럼 위장
구글 버튼을 클릭해도 구글 로그인 창이 열리지 않는다. 현재 탭 안에 자물쇠 아이콘과 정확하게 표기된 구글 로그인 주소가 포함된 가짜 브라우저 창이 그려진다. 이 창은 페이지 안에서 드래그할 수 있다.
창은 비밀번호 입력란 대신 사람 인증 단계로 열린다. Dasic은 이것이 방문자를 안심시키는 동시에 자동화된 스캐너가 다음 단계에 접근하지 못하도록 막는 역할을 할 수 있다고 말했다.
가짜 구글 인증 창
이번 샘플에서 눈에 띄는 점은 공격자가 직접 구축해야 한 것이 얼마나 적은가이다. 악성 기능은 외부 서비스에서 코드 한 줄로 불러와지며, 해당 서비스는 재사용 가능한 로그인 위젯을 자처하며 설치 안내까지 제공한다.
코드 내 주석은 러시아어로 작성되어 있으며 표적을 '피해자'라고 지칭한다. 한 주석은 다크 테마의 가짜 창이 로딩 중에 흰색으로 깜박이던 문제가 있었기 때문에, 위젯이 미리 올바른 색상을 가져오도록 했다고 설명한다.
Dasic은 "이 코드는 이번 캠페인 하나를 위해 만들어진 것이 아니라 지속적으로 관리되는 재사용 가능한 제품처럼 보인다"고 결론지었다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
