카카오톡 로그인 사칭 피싱에 제로클릭 iOS 익스플로잇 포착

누리랩은 카카오톡 로그인 화면을 사칭한 피싱 사이트에서 아이폰을 겨냥한 제로클릭 iOS 익스플로잇 유포 정황을 확인했다고 밝혔다.

기존 피싱은 단순히 계정 정보를 훔치는 데 그쳤으나, 이번 사례는 사이트 접속만으로 기기 취약점을 파고드는 공격 구조를 띠고 있어 주의가 필요하다.

분석 결과 해당 피싱 사이트는 실제 카카오톡 로그인 페이지와 유사하게 만들어졌고, 이용자 몰래 별도의 공격 서버와 통신하도록 설계됐다. 아이디나 비밀번호를 입력하지 않아도 페이지에 접속하는 순간 자동으로 공격이 시작된다. 공격 서버는 접속한 기기의 iOS 버전을 확인한 뒤 특정 버전에서만 코드를 실행했다. 분석된 코드는 iOS 18.4.0부터 18.7.2까지를 타깃으로 삼았고, iOS 18.7.3 이상 버전에서는 공격을 멈추도록 설정됐다.

이번 공격은 단일 취약점이 아니라 여러 단계를 거치는 풀체인(full-chain) 익스플로잇 형태로 드러났다. 우선 웹 브라우저 엔진 취약점으로 메모리에 접근한 뒤, 아이폰 보안 기능을 우회해 앱의 제한된 실행 영역인 샌드박스(sandbox)를 탈출하려 했다. 이 과정에서 메모리 주소 조작 여부를 검증하는 PAC(포인터 인증 코드) 보안 기능을 우회하는 코드와 샌드박스 탈출 모듈이 발견됐다. 최종 단계에서는 파일, 시스템 정보, 네트워크 연결 정보, 지갑, Keychain 등 주요 정보가 유출되는 것으로 나타났다.

현재 확보된 단서만으로는 이번 공격의 배후를 특정하기 어렵다. 일부 상용 스파이웨어 및 모바일 공격과 비슷한 특징을 보이지만, 특정 국가나 해킹 조직과의 연관성을 입증할 증거는 아직 없다. 카카오톡 로그인 화면이 악용된 점 역시 국내 이용자를 노렸을 가능성을 보여주지만, 유명 서비스를 사칭하는 수법은 피싱 공격에서 흔히 쓰이기 때문에 주체를 단정하는 근거가 되지는 못한다.

누리랩 CERT 조직인 미노스 이그나이트 센터는 모바일 운영체제를 최신 버전으로 유지하고, 메신저나 문자메시지로 받은 로그인 링크에 직접 접속하지 않는 습관이 중요하다고 강조했다. 아울러 기업 역시 피싱과 악성 사이트 접속을 차단하고 임직원 모바일 기기의 업데이트 상태를 관리해야 한다고 당부했다.

고보승 미노스 이그나이트 센터장은 "피싱이 단순 정보 탈취를 넘어 웹사이트 접속만으로 모바일 운영체제를 장악하는 형태로 진화했다"라며 "자동화된 위협 분석 기술과 전문가 분석을 결합해 공격 인프라를 추적하고, 새로운 위협 정보를 탐지 및 대응 체계에 신속하게 반영하겠다"고 말했다.