[해외보안뉴스] 가짜 생성형 AI 사이트, 브라우저 공격으로 광고 계정 및 MFA 코드 탈취
· 2026-10-06 16:00
· 조회 18
· 원문 ↗
최근 디지털 마케터와 광고 계정 관리자를 노린 새로운 사이버 피싱 캠페인이 발견되었습니다. 공격자들은 ChatGPT, Gemini, Claude, Perplexity 등 대중적으로 인기를 끌고 있는 생성형 AI 서비스의 공식 웹사이트를 정교하게 모방한 피싱 사이트를 제작하여 사용자의 계정 자격 증명과 다중 요소 인증(MFA) 코드를 탈취하고 있습니다. 업무 효율성을 높이기 위해 AI 도구를 자주 사용하는 마케팅 담당자들이 주요 공격 대상이 되고 있습니다.
이번 공격에서는 '브라우저 인 브라우저(Browser-in-Browser, BiB)'라는 고도화된 피싱 기법이 사용되었습니다. 이는 웹페이지 내부 팝업 형태로 실제 웹 브라우저 창과 동일하게 보이는 가짜 로그인 화면을 구현하는 방식입니다. 사용자가 가짜 창에 속아 계정 정보와 MFA 인증 코드를 입력하면 즉시 공격자에게 전송되며, 공격자는 이를 이용해 사용자의 페이스북, 구글 등 주요 플랫폼 광고 계정을 무단으로 점유하게 됩니다.
이러한 피싱 공격을 예방하기 위해서는 브라우저 주소창의 URL이 실제 공식 도메인이 맞는지 면밀히 확인하는 습관이 필요합니다. 또한 '브라우저 인 브라우저' 기법의 특성상 팝업 창을 웹 브라우저 주 화면 밖으로 드래그해 옮겨지지 않는다면 가짜 팝업으로 의심해야 합니다. 기업 차원에서는 마케팅 인력을 대상으로 최신 피싱 기법 교육을 강화하고, 단순 SMS나 OTP 방식의 MFA 대신 하드웨어 기반 보안 키(FIDO2)와 같이 피싱에 내성이 있는 인증 방식을 도입하는 것이 권장됩니다.
Browser-in-Browser(BiB) 공격은 단순 UI 위조를 넘어 TOTP나 SMS 기반 MFA를 무력화하므로 프론트엔드 레벨의 단순 차단만으로는 한계가 있습니다.
근본적인 방어를 위해서는 도메인 바인딩이 보장되어 피싱 사이트에서 작동하지 않는 WebAuthn/FIDO2(Passkey) 표준을 인증 아키텍처에 조속히 도입해야 합니다.
또한 광고 API 연동 시스템 관점에서는 세션 토큰에 디바이스 지문(Fingerprint)을 강제 바인딩하고, IP나 디바이스 변경 시 즉시 토큰을 만료시키는 Zero Trust 기반의 토큰 검증 로직이 구현되어야 합니다.
대중적인 AI 서비스로 위장한 브라우저 내 브라우저(BiB) 공격은 정교한 시각적 피싱을 통해 사용자의 경계심을 효과적으로 허물어뜨립니다. 공격자가 실시간으로 로그인 자격 증명과 MFA 코드를 함께 수집하는 구조이기 때문에, 기존 OTP 방식의 2차 인증을 손쉽게 우회하여 즉각적인 세션 탈취가 가능합니다. 특히 자금 집행 권한이 있는 광고 계정 관리자를 표적으로 삼았다는 점에서, 초기 침투 후 즉각적인 금전적 이득이나 권한 상승을 노릴 수 있는 매우 치명적인 공격 벡터입니다.
임직원의 생성형 AI 활용이 급증하는 상황에서, 마케팅 등 주요 부서를 겨냥한 정교한 피싱 공격은 기업의 재정적 손실과 브랜드 평판에 직격탄이 될 수 있습니다.
기존 MFA를 우회하는 BitB 공격에 대응하기 위해 FIDO2 기반의 '피싱 저항력 있는 인증(Phishing-resistant MFA)' 도입을 적극 검토하고, 승인되지 않은 AI 서비스 접근을 통제하는 거버넌스 체계를 강화해야 합니다.
기술적 통제와 더불어 광고·마케팅 담당자 등 고위험 직무군을 대상으로 한 맞춤형 보안 인식 교육이 시급히 병행되어야 합니다.