피싱범들이 '진짜' 클라우드 위에 산다 — 신뢰받는 도메인 뒤에 숨는 공격

'주소창에 자물쇠 아이콘이 떠 있고, 도메인도 유명한 회사 거니까 안전하겠지.' 우리가 오랫동안 믿어온 이 상식이 무너지고 있어요. 보안 기업 카스퍼스키(Kaspersky)의 시큐어리스트(Securelist) 연구팀이 발표한 분석에 따르면, 피싱 공격자들이 자체 서버를 만드는 대신 구글, 마이크로소프트, 클라우드플레어 같은 대형 클라우드의 '정상' 인프라를 빌려 쓰는 흐름이 뚜렷해지고 있거든요. 가짜 사이트가 firebaseapp.com이나 pages.dev 같은 진짜 도메인 위에서 돌아가는 거예요.

공격자들이 클라우드로 이사 간 이유

이유를 알고 나면 씁쓸할 정도로 합리적이에요. 첫째, 신뢰를 공짜로 얻어요. 보안 필터는 도메인의 평판을 기준으로 위험을 판단하는 경우가 많은데요, 수백만 개의 정상 서비스가 올라가 있는 클라우드 도메인은 평판이 좋을 수밖에 없어요. 그 밑에 피싱 페이지를 하나 끼워 넣으면 필터를 그냥 통과하는 거죠. 둘째, HTTPS 자물쇠도 공짜예요. 클라우드 플랫폼이 인증서를 자동으로 발급해주니까요. 셋째, 배포가 빨라요. 계정 하나 만들면 몇 분 만에 피싱 페이지가 올라가고, 차단당하면 새 계정으로 또 만들면 돼요. 넷째, 통째로 차단할 수가 없어요. 피싱이 있다고 pages.dev 전체를 막으면 수많은 정상 서비스가 함께 죽으니까, 방어자 입장에서는 손발이 묶이는 셈이에요.

실제로 어떻게 악용되나

수법은 다양해요. 파이어베이스(Firebase)나 클라우드플레어 페이지스, 버셀 같은 정적 호스팅에 가짜 로그인 페이지를 올리는 게 기본형이고요. 구글 폼이나 마이크로소프트 폼 같은 설문 서비스로 계정 정보를 '수집'하는 경우도 있어요. 설문 도구는 원래 입력을 받는 물건이니, 피싱범 입장에서는 서버 코드 한 줄 안 짜고 비밀번호 수거함을 만드는 셈이죠. 더 교묘한 수법도 있어요. 정상 서비스의 리다이렉트 기능을 여러 번 거치게 해서 최종 목적지를 숨기거나, 피싱 페이지 앞에 캡차(CAPTCHA)를 세워두는 거예요. 캡차가 왜 나오냐면, 보안 업체의 자동 스캐너는 사람이 아니라서 캡차를 못 넘거든요. 사람 눈에는 '보안이 철저한 사이트'처럼 보이는데, 실제로는 탐지를 피하는 방패인 거죠.

그럼 어떻게 방어해야 할까

사용자 입장에서 가장 중요한 건, 도메인만 보고 판단하는 습관을 버리는 거예요. '구글 도메인이니까 안전'이 아니라, '구글 도메인인데 왜 우리 회사 로그인 화면이 뜨지?'라고 의심해야 해요. 더 근본적인 해결책은 피싱 자체가 통하지 않는 인증 수단으로 갈아타는 거예요. 패스키(passkey)나 FIDO2 보안 키가 대표적인데요, 이게 뭐냐면 비밀번호 대신 기기에 저장된 암호화 키로 로그인하는 방식이에요. 이 키는 등록된 진짜 도메인에서만 작동하기 때문에, 아무리 정교한 가짜 사이트를 만들어도 훔쳐 갈 비밀번호 자체가 없어요.

개발자라면 한 발 더 나아가야 해요. 여러분이 만든 서비스가 공격 도구가 될 수 있거든요. 검증 없는 오픈 리다이렉트(주소 파라미터로 아무 데나 이동시켜주는 기능)는 피싱 경유지로 악용되는 단골손님이고, 권한 설정이 허술한 스토리지 버킷이나 무료 호스팅의 느슨한 가입 절차도 마찬가지예요. 사용자 콘텐츠를 호스팅하는 서비스를 운영한다면, 악용 신고 채널과 자동 탐지를 갖추는 게 이제 선택이 아니라 필수예요.

한국 개발자에게 주는 시사점

한국도 남 얘기가 아니에요. 택배 사칭, 부고장 사칭 같은 스미싱 문자에 담긴 링크가 이런 클라우드 인프라를 경유하는 경우가 늘고 있고, 회사 계정을 노린 피싱은 재택근무 확산 이후 더 정교해졌어요. 조직 차원에서는 '이상한 링크 조심하세요' 수준의 교육을 넘어서, 패스키 도입이나 모의 피싱 훈련 같은 구조적 대응을 검토할 때예요. 그리고 서비스를 만드는 입장이라면, 내 인프라가 남을 공격하는 데 쓰이지 않도록 점검하는 것도 보안의 일부라는 걸 기억해두시면 좋겠어요.

마무리

정리하면, 피싱은 이제 수상한 서버가 아니라 우리가 매일 쓰는 클라우드 위에서 벌어지고, '신뢰할 수 있는 도메인'이라는 개념 자체가 흔들리고 있다는 이야기예요. 여러분 조직은 피싱 대비를 어떻게 하고 계세요? 패스키 도입, 실제로 해보신 분들의 경험담이 궁금하네요.