[해외보안뉴스] 주요 AI 서비스의 가짜 광고 포털을 통한 계정 정보 및 MFA 코드 탈취 피싱 주의
· 2026-10-06 21:00
· 조회 14
· 원문 ↗
최근 주요 인공지능(AI) 서비스의 광고 플랫폼을 위장하여 사용자의 계정 정보와 다중 인증(MFA) 코드를 탈취하는 정교한 '인적 운용 피싱 플랫폼(human-operated phishing platform)'이 발견되었습니다. 공격자들은 OpenAI의 ChatGPT, Google Gemini, Anthropic Claude, Perplexity, Meta Muse, Manus 등 유명 AI 브랜드를 도용하여 가짜 웹사이트를 개설했습니다. 이들은 캠페인 최적화, 광고비 감사, 비즈니스 계정 연동 등 유용한 기능을 제공하는 것처럼 꾸며 마케터와 기업 사용자를 유인하고 있습니다.
이번 공격의 주요 영향 범위는 AI 기반 마케팅 도구를 활용하는 기업의 마케터, 비즈니스 계정 관리자 및 일반 사용자입니다. 피싱 포털에 속은 사용자가 로그인 정보와 MFA 코드를 입력하면, 공격자는 이를 실시간으로 가로채 정식 서비스에 대입함으로써 MFA 인증을 무력화합니다. 탈취된 기업 계정은 무단 광고 집행, 민감한 내부 데이터 유출, 기업 네트워크로의 추가 침투 등 심각한 연쇄 피해를 일으킬 수 있습니다.
이러한 피싱 위협에 대응하기 위해서는 접속하려는 웹사이트의 공식 도메인 여부를 철저히 확인해야 합니다. AI 서비스 제공업체가 안내하는 공식 경로 외의 제3자 광고 포털이나 이메일 내 링크를 통한 접속은 금지해야 합니다. 또한, 기존 SMS나 단순 OTP 방식의 MFA 대신 피싱 저항성이 높은 FIDO2/WebAuthn 기반의 하드웨어 보안 키를 도입하는 것이 안전합니다. 기업 차원에서는 임직원 대상의 보안 인식 교육을 강화하고, 비정상적인 로그인 시도를 실시간으로 감지·차단하는 모니터링 체계를 구축해야 합니다.
TOTP나 SMS 기반 MFA까지 우회하는 AitM(Adversary-in-the-Middle) 피싱이 고도화되고 있어 기존 인증 시스템의 한계가 드러나고 있습니다. 이제 애플리케이션 아키텍처 설계 시 도메인 바인딩을 보장하는 FIDO2/WebAuthn 기반의 패스키(Passkey) 도입을 적극 검토해야 합니다. 개발자 관점에서는 사용자 단의 주의에 기대기보다, 인증 흐름 자체에서 피싱 사이트의 세션 탈취를 원천 차단하는 '보안 내재화(Security by Design)' 구현이 시급합니다.
최신 AI 트렌드를 미끼로 타깃을 유인하는 전형적인 AitM(Adversary-in-the-Middle) 피싱 기반의 공격 벡터입니다. 사람이 직접 개입하는 플랫폼 특성상 실시간 MFA 탈취 및 세션 하이재킹을 통한 계정 권한 획득 성공률이 매우 높습니다. 레드팀 모의 침투 관점에서도 보안 감시가 상대적으로 느슨한 기업의 마케팅·비즈니스 계정은 매우 매력적이고 치명적인 Initial Access 표적이 될 수 있습니다.
생성형 AI 서비스에 대한 기업적 관심을 악용한 이번 공격은 특히 마케팅 및 비즈니스 부서의 계정 보안에 직격탄이 될 수 있습니다. 단순 패스워드뿐만 아니라 MFA 코드까지 실시간으로 탈취하는 만큼, 기존 인증 체계만으로는 한계가 있음이 드러났습니다. 임직원의 섀도우 AI(Shadow AI) 활용에 대한 거버넌스를 강화하고, FIDO2 기반의 피싱 저항성 인증(Phishing-resistant MFA) 도입을 서둘러야 할 때입니다.