- 마이크로소프트(MS)는 일본 경찰청과 함께 조사해 사기범 전용 장터 ‘YAM 스토어’와 피싱 키트 ‘CoGUI’, ‘Iron Man’을 찾아냈고, 이를 무력화하는 데 참여했다.
- 세 플랫폼은 2026년 1월부터 10억 건 이상의 악성 메시지 발송에 쓰였다. 표적은 150개국 이상, 7만 5,000곳이 넘는 조직이다.
- MS는 관련 계정 2만 개 이상을 정지하고, 사칭·사기에 쓰인 도메인 10만 개 이상을 차단했다.
있지도 않은 주차 과태료 고지와 가짜 택배 배송 안내 같은 사기 문자는 한 번쯤 받아봤을 법하다. 이런 문자를 대량으로 공급하던 통로 하나가 끊겼다. 2026년 1월부터 전 세계로 퍼진 악성 메시지가 10억 건 이상이다. 그 출처를 거슬러 올라가 보니 끝에 장터 한 곳과 피싱 키트 두 종이 있었다. MS는 일본 경찰청과 함께 이 유통 구조를 추적했고, 이를 무너뜨리는 작업에도 힘을 보탰다고 밝혔다.
계정 파는 ‘YAM 스토어’, 대량 발송 키트 ‘CoGUI’·’Iron Man’
추적 대상은 셋이다. 사기범만 상대로 장사하던 장터 ‘YAM 스토어’와 피싱 키트 ‘CoGUI’, ‘Iron Man’. 뜯어보면 역할 분담이 꽤 깔끔하다. MS 보고서에 나온 흐름은 이렇다. 사기범들은 YAM 스토어에서 도용됐거나 부정하게 만들어진 MS·구글 계정을 사들인다. 그다음 피싱 키트로 사기 메시지를 대량 발송한다. 계정은 장터에서, 발송 도구는 키트에서 조달하는 분업 구조라고 보면 된다.
개발자 입장에서 더 눈이 가는 건 YAM 스토어가 계정을 마련한 방식이다. 이들은 실제 기관이 갱신하지 않아 만료된 웹 도메인을 가로챘고, 존재하지도 않는 기관의 웹사이트를 만들었다. 이걸 발판 삼아 MS 계정을 발급받은 다음 되팔았다. 만료된 도메인을 그냥 내버려 두면 남의 손에서 어떻게 쓰이는지 아주 선명하게 보여주는 사례다. Iron Man은 은행이나 경찰서 같은 기관을 사칭하는 템플릿을 2,300종 이상 제공했다. CoGUI는 사정이 다르다. 사기 메시지 발송에 쓰였다는 사실 말고는 세부 기능이 원문에 나와 있지 않다.
| 플랫폼 | 성격 | 원문에서 확인된 기능 |
|---|---|---|
| YAM 스토어 | 사기범 전용 장터 | 도용·부정 생성된 MS·구글 계정 판매, 만료 도메인 탈취, 가짜 기관 웹사이트로 MS 계정 확보 후 재판매 |
| CoGUI | 피싱 키트 | 사기 메시지 발송에 사용(세부 기능은 원문에 없음) |
| Iron Man | 피싱 키트 | 은행·경찰서 등 기관 사칭 템플릿 2,300종 이상 제공 |
규모는 이렇다.
- 악성 메시지: 2026년 1월 이후 10억 건 이상
- 그중 MS 고객을 노린 메시지: 7억 5,000만 건 이상
- 표적 조직: 전 세계 7만 5,000곳 이상, 150개국 이상
- 표적 유형: 일반 소비자, 의료기관, 금융기관, 그 밖의 기업
- 운영자 수익: 수천만 달러 규모
마지막 줄을 그냥 넘기면 안 된다. 수익이 수천만 달러 규모라는 건 이 일이 몇몇이 벌인 일탈이 아니라 돈이 되는 사업으로 굴러갔다는 뜻이다. 장터와 키트라는 형태로 상품화돼 있었던 것도 그래서 이해가 된다.
계정 2만 개 정지·도메인 10만 개 차단, 사기범 대신 도구를 노렸다
MS가 밝힌 조치는 세 가지다. YAM 스토어와 연결된 계정 2만 개 이상을 비활성화했고, 사칭과 사기에 쓰인 웹 도메인 10만 개 이상을 차단했다. 나머지 하나는 의료 분야 사이버보안 비영리단체 Health-ISAC과 함께했다. 두 곳은 세 플랫폼을 돌리던 도메인을 압류한 뒤 접속 경로를 다른 곳으로 돌렸다.
이번 단속에서 중요한 건 어디를 쳤느냐다. 사기범 개개인이 아니라 그들이 함께 쓰던 도구 공급처를 겨냥했다. 계정과 도메인, 사칭 템플릿을 한곳에서 살 수 있으면 기술이 없는 사기범도 대량 발송에 쉽게 손을 댄다. 뒤집어 말하면 공급처가 막히는 순간 그 위에서 활동하던 사기범 다수가 한꺼번에 발이 묶이는 효과를 기대할 만하다. 범인을 하나씩 쫓을 때보다 한 번의 조치가 닿는 범위가 훨씬 넓다.
숫자를 보면 누구를 노렸는지도 드러난다. 10억 건 가운데 7억 5,000만 건 이상이 MS 고객을 겨냥했다. MS 계정 이용자가 주된 표적이었다고 보는 게 자연스럽다. Health-ISAC이 이 작업에 이름을 올린 것도 의료기관이 표적에 들어 있었던 것과 관련이 있어 보인다. 다만 이 연결은 정황에서 끌어낸 추정이다.
한국 피해 여부는 미확인, 수법은 국내 스미싱과 그대로 겹친다
피해가 난 곳이 150개국이 넘는다는데, 정작 그 나라들이 어디인지는 원문에 없다. 그래서 한국 이용자가 이 조직의 메시지를 실제로 받았는지는 지금으로선 확인되지 않는다. 그렇다고 남 얘기로 넘기기는 어렵다. 수법이 국내에서 흔히 보는 스미싱과 판박이라서다.
- 주차 과태료나 택배 배송 안내를 미끼로 한 문자, 은행·경찰을 사칭한 메시지는 국내에서도 익숙하다 못해 지겨운 유형이다.
- 사기범들이 사고판 계정은 MS·구글 계정이었다. 그렇다면 아웃룩이나 지메일 이용자에게 정상 계정에서 보낸 것처럼 보이는 피싱 메일이 왔을 가능성이 있다(추정).
- 도메인 차단과 압류로 이 조직이 쓰던 링크는 더 이상 작동하지 않을 것으로 보인다(추정). 하지만 같은 수법을 쓰는 다른 조직까지 사라지는 건 아니다.
대응법이 새로 생기는 건 아니고, 조심해야 할 메시지의 겉모습이 달라진다. 이번처럼 실제 기관이 쓰던 옛 도메인이나 진짜 계정을 거쳐 온 메시지는 보낸 주소만 봐서는 진짜인지 가리기 어렵다. ‘발신 주소부터 확인하라’는 흔한 조언이 여기선 잘 안 통한다는 얘기다. 결국 기본으로 돌아가야 한다. 문자나 메일 속 링크는 누르지 말고 해당 기관의 공식 앱을 열거나, 주소창에 주소를 직접 입력해서 확인하자. 심심한 답이지만 여전히 이게 가장 확실하다.
확인된 것과 아직 불확실한 것
확인된 것
- MS와 일본 경찰청이 함께 조사해 YAM 스토어, CoGUI, Iron Man을 추적했다.
- 세 플랫폼은 2026년 1월부터 10억 건 이상의 악성 메시지 발송에 쓰였고, 그중 7억 5,000만 건 이상이 MS 고객을 노렸다.
- MS는 YAM 스토어와 연결된 계정 2만 개 이상을 비활성화하고, 도메인 10만 개 이상을 차단했다.
- MS는 Health-ISAC과 함께 세 플랫폼의 도메인을 압류하고 접속 경로를 돌렸다.
아직 불확실한 것
- 운영자가 누구인지, 체포·기소됐는지. 일본 경찰청이 조사에 참여했지만 원문에는 사법 처리 결과가 없다.
- 피해 국가 150여 곳의 명단과 한국 포함 여부
- CoGUI의 세부 기능과 사용 규모
- YAM 스토어에서 거래된 구글 계정에 대해 구글이 따로 조치했는지
- 운영자가 정확히 얼마를 벌었는지, 새 도메인과 계정으로 다시 활동할지
만료 도메인 수법은 값싸다, 관건은 사기 조직의 재건 속도
더버지는 이번 조치로 가짜 과태료·택배 문자를 앞으로 덜 받게 되길 바란다고 썼다. 그 바람이 이뤄질지는 운영자들이 새 계정과 도메인을 얼마나 빨리 다시 마련하느냐에 달렸다. 마음에 걸리는 건 비용이다. 만료 도메인을 가로채고 가짜 기관을 세우는 데는 돈이 별로 들지 않는다. 같은 수법이 이름만 바꿔 다시 나타날 가능성이 남아 있다고 보는 이유다.
그렇다고 이번 단속의 의미가 작아지지는 않는다. 기업과 수사기관, 업계 비영리단체가 한데 모여 사기 조직의 도구 공급처를 직접 겨눴다는 점은 그 자체로 의미가 있다. 다음 승부처는 아마 더 앞단이 될 거다. 계정을 발급하고 도메인을 관리하는 단계에서 수상한 징후를 얼마나 일찍 잡아내느냐가 관건이다. 가짜 기관 웹사이트 하나로 계정이 발급됐다는 이번 사례를 보면, 가입 절차나 도메인 관리를 맡은 개발자에게도 남의 숙제만은 아니다.
출처: The Verge
