새로운 피싱 방식 - 캠페인으로 인스타그램 백업 코드 훔쳐

Trustwave SpiderLabs는 계정에 제공되는 2단계 인증(2FA)을 우회하여 피해자의 Instagram 백업 코드를 훔치는 것을 목표로 하는 새로운 유형의 Instagram "저작권 침해" 피싱 이메일을 발견했습니다.

 

이중 인증은 계정에 로그인할 때 리소스와 데이터에 접근하기 위해 두 가지 형태의 식별이 필요한 추가 보안을 추가하는 방법입니다.

이 추가 보안 계층은 피싱, 무차별 공격, 자격 증명 도용 등과 같이 개인 정보를 훔치는 많은 보안 위협으로부터 계정을 보호하는 효과적인 방법입니다.

 

Instagram에서 2단계 인증을 구성하면 사이트에서는 2FA를 사용하여 계정을 확인할 수 없는 경우를 대비하여 계정에 액세스하는 대체 수단으로 사용자를 위한 8자리 백업 코드도 생성합니다.

이번 피싱 시도에서는 인스타그램의 모회사인 Meta에서 보낸 것으로 주장하는 이메일 메시지에 수신자의 인스타그램 계정이 저작권을 침해했다고 명시되어 있습니다. 또한 수신자에게 이메일에 있는 "이의 제기 양식" 버튼을 클릭하여 12시간 이내에 이의를 제기할 것을 촉구합니다. 그렇지 않으면 계정이 영구적으로 삭제됩니다.

 

버튼을 클릭하면 수신자는 위반 사항에 대한 메타의 중앙 포털을 사칭한 가짜 메타 사이트로 이동하고, 여기서 "확인 양식(내 계정 확인)으로 이동" 버튼을 클릭한 후 실제 피싱 웹 사이트로 리디렉션됩니다. 가짜 메타 "이의신청 센터" 포털을 사칭하는 피싱 사이트는 새로 생성된 도메인에서 호스팅됩니다. 사용자가 “CONTINUE” 버튼을 클릭하면 수신자에게 사용자 이름과 비밀번호(2번)를 입력하라는 요청이 표시됩니다.

 

피싱 사이트는 비밀번호를 입력한 후 사용자에게 인스타그램 계정에 2단계 인증이 활성화되어 있는지 묻고, 확인 시 8자리 백업 코드를 요청합니다.

최종 결과는 위협 행위자가 피해자의 계정에 로그인하는 데 필요한 모든 정보를 획득한 것입니다. 이렇게 훔친 정보는 사이버 범죄자가 사용할 수 있으며 지하에서 판매되거나 계정을 탈취하는 데 사용될 수 있습니다.

 

“이런 일이 발생하지 않도록 하려면 비밀번호나 코드를 공유하지 말고 이 데이터가 저장되는 방식에 주의하세요. 손상된 경우 즉시 비밀번호를 변경하거나 새 백업 코드를 다시 생성하십시오.” 라고 Trustwave SpiderLabs는 블로그 게시물에서 조언합니다.

 

*참조한 원본 글: https://www.techworm.net/2023/12/phishing-steals-instagram-backup-codes.html

 

PC 설정으로 광대역 인터넷 속도를 확 높이는 방법 (윈도우 등)

 

모든 인스타그램 게시물을 완전히 삭제하는 방법