아스테릭스 작전: 가짜 고객 지원 전화로 가짜 지갑 앱을 유포하는 방법

목차

• 아스테릭스 작전 해설: Rapid7이 공개 서버에서 발견한 내용
• 316,002개의 독일 휴대전화 번호: 독일이 단일 품목 중 가장 큰 규모였던 이유
• 13.6%의 적중률: 암호화폐 계정이 전화번호에서 걸러지는 방법
• 이메일 대신 피싱 공격: 전화 시스템을 통한 통화 연결 방식
• Trezor Suite, Ledger Live, Exodus 등 어떤 지갑 프로그램이 위조되었는가?
• 이중 입력 트릭: 가짜 앱이 오류를 조작하는 이유
• 텔레그램 봇을 통한 시드 구문: 복구 단어가 사라지는 곳
• 트로이목마화된 설치 프로그램: 가짜 도구가 잘못된 지갑을 함께 배포하는 방법
• 공격 도구에 사용된 AI 도구: 세션 로그에서 확인할 수 있는 내용
• 단 20건의 문의와 6건의 이메일: 캠페인 규모가 수치보다 작았던 이유
• 가짜 고객 지원 전화: 통화 중 가짜 전화를 구별하는 방법
• 지갑 앱 확인하기: 진짜 프로그램은 어디에 있을까요?
• 지갑 소프트웨어는 어디서 구할 수 있을까요? 실제 적용 시 어떤 의미가 있을까요?
• 입력된 시드 문구: 처음 몇 분 동안 중요한 것
• 가짜 지갑 앱 구별법: 핵심 사항

만약 누군가 당신에게 전화를 걸어 당신의 이름과 이메일 주소를 알고 지갑 애플리케이션을 다시 설치해달라고 요청한다면, 그 전화는 거의 틀림없이 공격의 시작일 것입니다. 보안 회사 Rapid7은 2026년 8월 17일자 보고서 ‘아스테릭스 작전(Operation ASTERIX)’에서 바로 이러한 공격 패턴을 설명하고 있습니다. 독일 독자들을 위해 핵심을 짚어보자면, 가장 큰 파일에는 316,002개의 독일 휴대전화 번호가 저장되어 있었습니다.

이 사건은 일반적으로 개별적으로 나타나는 세 가지 공격 경로를 하나로 연결한다는 점에서 주목할 만합니다. 전화 시스템이 자동으로 전화를 걸고, 이메일이 공격의 구실을 제공하며, 마지막에는 익숙한 지갑 소프트웨어처럼 보이는 프로그램이 복구 단어를 요구합니다. 이 공격 과정을 이해하면 공격이 끊어지는 지점을 파악할 수 있습니다.

아스테릭스 작전 해설: Rapid7이 공개 서버에서 발견한 내용

‘애스터릭스 작전(Operation ASTERIX)’은 전화 사기, 피싱 이메일, 위조 전자지갑 프로그램 등을 하나의 연쇄적으로 결합한 사기 수법을 지칭하는 이름입니다. 분석가들이 직접 붙인 이름인데, 사기에 사용된 서버가 오픈소스 전화 시스템인 애스터리스크(Asterisk)를 실행하고 있었고, 이것이 사기 통화의 핵심 역할을 했기 때문입니다.

해당 서버는 운영자의 실수로 발견되었습니다. Rapid7에 따르면, 8080번 포트의 웹 디렉토리가 로그인 없이 접근 가능했으며, 그 안에는 전화번호 데이터셋, 계정 확인 도구, 위조 프로그램 설치 패키지, 피싱 인터페이스, 다이얼링 스크립트, 그리고 사용 중인 언어 모델의 세션 로그 등이 포함되어 있었습니다. Rapid7은 이러한 발견 사항을 애플 보안팀을 비롯한 관련 기관에 보고하고, 대응책 마련을 위해 협력했다고 밝혔습니다.

이처럼 완벽한 상태로 발견된 것은 드문 일입니다. 보통은 피해자에게 도달한 작전의 일부만 볼 수 있죠. 하지만 여기서는 작업대가 완전히 펼쳐진 채로 발견되었습니다.

316,002개의 독일 휴대전화 번호: 독일이 단일 품목 중 가장 큰 규모였던 이유

총 88만 5천 개의 전화번호가 포함된 데이터 세트가 여러 지역에서 수집되었습니다. 보고서에 따르면 독일 외에도 홍콩, 불가리아, 영국, 미국, 그리고 캐나다의 한 금융 서비스 제공업체가 포함되어 있습니다. 또한, 유명 하드웨어 지갑 브랜드 사용자의 경우 국가별로 분류된 추가 파일 54개가 발견되었습니다.

독일 파일은 단일 파일 중 가장 규모가 컸습니다. 그렇다고 해서 독일에서 316,002명에게 전화가 걸려왔다는 뜻은 아닙니다. 그들의 데이터가 초기 조사 대상 풀로 활용되었다는 의미입니다. 이 차이점은 중요하며, 이후 다시 한번 강조될 것입니다. 왜냐하면 이 차이점이 실제 캠페인의 규모를 결정짓기 때문입니다.

해당 수치가 어디에서 나왔는지는 보고서에 명시되어 있지 않습니다. 이와 같은 규모의 데이터 세트는 소매업체, 배송업체 및 온라인 서비스의 데이터 유출을 통해 수년 동안 유포되어 왔습니다. 변명하자면, 출처는 중요하지 않습니다. 전화번호는 기억해낼 수 없기 때문입니다.

13.6%의 적중률: 암호화폐 계정이 전화번호에서 걸러지는 방법

진짜 비결은 첫 통화 전에 드러납니다. 운영자들은 대형 거래소의 로그인 기능에 자동화된 확인 도구를 사용하여 어떤 번호가 해당 사이트에 계정을 가지고 있는지 파악했습니다. 이 방법은 많은 서비스가 번호의 등록 여부에 따라 로그인 시도에 다르게 응답한다는 점을 이용한 것입니다.

보고서에 따르면 독일 데이터 세트의 적중률은 **13.6%**였습니다. 이는 316,002개의 번호 중 43,066개가 활성 사용자 계정임을 확인했다는 의미입니다. 대략 7개 번호 중 1개꼴로 활성 사용자의 번호였습니다.

공격자들에게 있어 이는 효율성의 문제입니다. 수십만 명에게 전화를 걸어 대부분 이해하지 못하는 반응만 얻는 대신, 그들은 통화 대상이 되는 모든 사람이 논의 중인 제품에 대해 알고 있는 목록을 갖게 됩니다. 이렇게 하면 단 한 마디도 나누지 않고도 통화가 그럴듯하게 보이게 됩니다.

이메일 대신 피싱 공격: 전화 시스템을 통한 통화 연결 방식

비싱(Vishing)은 음성 통화를 이용한 피싱 공격을 의미합니다. 즉, 이메일이 아닌 전화를 통해 사기 시도가 이루어지는 것입니다. Rapid7은 해당 서버에서 Asterisk 및 3CX 전화 시스템은 물론 자동 다이얼링 및 기타 인프라와의 연동을 위한 여러 스크립트를 포함하여 비싱에 필요한 모든 구성 요소를 발견했습니다.

이러한 효과는 사전 준비에서 비롯됩니다. 보고서에 따르면, 전화를 거는 사람은 발신자의 이름, 이메일 주소, 위치 및 계정 정보를 확인할 수 있습니다. 이는 마법이 아니라 상위 단계의 확인 절차와 데이터 세트 덕분입니다. 전화를 받는 사람은 마치 서비스 제공업체 직원이 파일을 가지고 전화를 다시 걸어온 것처럼 느끼게 됩니다.

그러고 나서 핑계거리가 생깁니다. 보안 문제, 의심스러운 로그인, 필수 업데이트 등이 그것입니다. 제시되는 해결책은 항상 똑같습니다. 이메일이나 링크를 통해 제공되는 애플리케이션을 설치하라는 것입니다.

Trezor Suite, Ledger Live, Exodus 등 어떤 지갑 프로그램이 위조되었는가?

Rapid7은 Trezor Suite, Ledger Live, Exodus의 위조 애플리케이션 3개를 확보했습니다. 이 위조 애플리케이션들은 각각 Windows 및 macOS용 설치 패키지 형태로 제공되며, Trezor 위조 애플리케이션의 경우 Intel 및 Arm 프로세서용 버전이 별도로 포함되어 있습니다.

여기서 흔히 오해되는 점은, 이 공격의 대상이 되는 것은 프로그램 제작자가 아니라 프로그램 자체라는 것입니다. 기기나 실제 애플리케이션이 공격받은 것이 아닙니다. 복제된 것은 인터페이스, 즉 화면에 보이는 부분입니다. 공격은 사용자가 익숙한 창처럼 보이는 화면에 글자를 입력하는 순간에 발생합니다.

위조 프로그램은 원본과 외형적으로 완전히 똑같습니다. 차이점은 사용자가 입력하는 단어의 위치에 있습니다.

이중 입력 트릭: 가짜 앱이 오류를 조작하는 이유

보고서에서 가장 흥미로운 부분은 그 과정에 숨겨진 작은 악의적인 요소입니다. 위조된 트레저(Trezor) 애플리케이션은 12, 18, 20 또는 24개의 단어로 구성된 복구 문구를 입력받을 수 있으며, 요청 시 추가 암호도 입력할 수 있습니다. 첫 번째 입력 후에는 조작된 유효성 검사 오류가 표시되고 복구 문구를 다시 입력하라는 메시지가 나타납니다.

이는 범죄자들이 품질을 관리하는 데 도움이 됩니다. 복구 문구를 입력하는 사람은 누구나 오타를 내기 쉽고, 단어 하나만 잘못 입력해도 전체 정보가 무용지물이 될 수 있습니다. 인위적으로 만들어낸 오류 덕분에 두 번째 입력은 더욱 신중하게 이루어지며, 두 버전을 비교할 수 있게 됩니다.

이러한 동작을 알고 있다면, 아주 명확한 경고 신호를 포착한 것입니다. 정품 지갑 애플리케이션은 일반적인 사용 중에 복구 단어를 입력하라고 요구하지 않습니다. 복구 단어는 기기 설정이나 분실 후 복원 시에만 필요하며, 그 경우에도 기기 자체에서 입력해야 합니다.

텔레그램 봇을 통한 시드 구문: 복구 단어가 사라지는 곳

시드 구문(복구 구문이라고도 함)은 지갑의 모든 키를 다시 계산하는 데 사용되는 단어 시퀀스입니다. 기기의 위치와 관계없이 시드 구문을 소유한 사람이 지갑의 잔액을 소유하게 됩니다.

Rapid7의 분석에 따르면, 위조 애플리케이션은 단어 시퀀스, 선택적 암호, 그리고 컴퓨터의 IP 주소를 하나의 메시지에 담아 텔레그램 봇으로 전송합니다. 메시지에는 내용명을 나타내는 헤더가 포함되어 있습니다. 따라서 데이터 유출은 공격자의 서버를 거치지 않고 즉시 이루어집니다.

실제로 이는 공격자가 접근하기까지 걸리는 시간이 몇 시간이 아니라 몇 초에 불과하다는 것을 의미합니다. 이 권한을 취소할 방법은 없습니다.

트로이목마화된 설치 프로그램: 가짜 도구가 잘못된 지갑을 함께 배포하는 방법

한 건은 일반적인 패턴에서 벗어난 발견이었습니다. 세 개의 가짜 지갑 외에도, 해당 서버에는 개발자 도구로 위장한 조작된 설치 프로그램이 있었는데, 이 프로그램은 가짜 Ledger Live 애플리케이션을 함께 배포하는 내용이었습니다.

이는 목표 고객층을 변화시킵니다. 이제 대상은 단순히 고객 지원 요청에 응답하는 투자자뿐만 아니라 검색 결과나 광고를 통해 소프트웨어를 다운로드하는 기술적으로 능숙한 사용자까지 포함됩니다. 특히 이러한 사용자층은 전형적인 피싱 이메일을 인지하고 있기 때문에 자신들이 위험에 덜 노출되었다고 생각합니다.

이를 통해 간단한 규칙을 알 수 있으며, 이는 아래 소스 섹션에서 구체적으로 설명됩니다. 설치 패키지의 신뢰성은 해당 패키지를 얻은 경로만큼만 신뢰할 수 있습니다.

공격 도구에 사용된 AI 도구: 세션 로그에서 확인할 수 있는 내용

운영자들이 작업 환경을 열어둔 채로 두었기 때문에 언어 모델 세션 로그도 그대로 남아 있습니다. Rapid7은 해당 도구들이 스크립트 작성, 데이터 준비, 애플리케이션 패키징, 인프라 구축 등 일반적인 개발자 작업에 사용되었다고 설명합니다.

보고서에 따르면 각 작업은 여러 공급업체에 배정되었습니다. 프로그래밍 보조 도구가 백그라운드에서 개발을 지원했고, 또 다른 도구는 10만 3천 개 이상의 폴란드 전화번호를 포함한 번호 목록 관리 및 정리 작업을 담당했다고 합니다. 악성 코드 난독화 요청은 거부되었고, 이에 통신 사업자는 다른 모델로 전환하여 우회 방법을 시도했습니다. 하지만 Rapid7에 따르면 이러한 시도가 성공했는지 여부는 확인할 수 없다고 합니다.

맥락상 무엇이 입증되었고 무엇이 입증되지 않았는지는 중요합니다. 입증된 것은 공격자들이 준비 과정에서 그러한 도구들을 사용했다는 점입니다. 하지만 이러한 도구들이 애초에 공격을 가능하게 만든 근본적인 원인이었다는 것은 입증되지 않았습니다. 전화 시스템, 번호 목록, 복제된 인터페이스는 오래전부터 존재해 왔습니다. 로그 기록은 주로 일상적인 작업을 기계에 맡길 때 얼마나 많은 노력이 절감되는지를 보여줄 뿐입니다.

처음에 통화가 있고, 마지막에는 데이터가 손실됩니다. 보고서에 따르면 복구 단어가 텔레그램 봇으로 바로 전송된다고 합니다.

단 20건의 문의와 6건의 이메일: 캠페인 규모가 수치보다 작았던 이유

이 시점에서 제목과 모순되는 수치가 본문에 포함되어야 합니다. Rapid7에 따르면, 한 피싱 인터페이스에서는 약 2주 동안 단 20건의 성공적인 데이터 조회와 6건의 피싱 이메일 발송만 기록되었습니다.

이는 대량 메일이 아닙니다. 진행 중인 캠페인이거나 의도적으로 소규모로 선별된 대상을 가리키는 것입니다. 따라서 885,000이라는 숫자는 해당 주식의 잠재력을 나타내는 것이지, 피해를 입은 사람의 수를 의미하는 것이 아닙니다. 이를 수십만 명의 투자자가 피해를 입었다는 보고서로 해석하는 것은 과장된 해석입니다.

하지만 그렇다고 해서 여러분에게 미치는 영향이 크게 달라지는 것은 아닙니다. 설계도는 문서화되었고, 필요한 도구들은 준비되었으며, 검증된 계정 목록과 같은 사전 작업도 완료되었습니다. 이러한 인프라는 거의 폐쇄되지 않고 운영자만 변경됩니다.

가짜 고객 지원 전화: 통화 중 가짜 전화를 구별하는 방법

제공업체와 관계없이 적용되는 몇 가지 중요한 특징이 있으며, 결정적인 순간에 사용할 수 있도록 암기해 두는 것이 좋습니다.

• 먼저 연락하지 않은 사람에게는 아무도 연락하지 않습니다. 거래 플랫폼과 전자지갑 업체는 개인 고객에게 전화를 거는 방식이 아니라 티켓팅 시스템을 통해 거래합니다.
• 발신자가 당신의 정보를 알고 있다는 것은 사실이지만, 그렇다고 해서 신원이 확실하다는 증거는 아닙니다. 오히려 이번 사례처럼 주의해야 할 신호입니다. 왜냐하면 확인 목록은 범죄 예방의 출발점이기 때문입니다.
• 시간에 대한 압박이 커진다. 접근이 진행 중이라고 했는데 몇 분 안에 차단됐고, 업데이트는 즉시 이루어져야 한다.
• 마지막에는 항상 설치 미술이나 입장이 있습니다. 그것이 바로 대화의 목적입니다.
• 콜백 절차는 생략됩니다. 진정성 있는 사람이라면 당신이 전화를 끊고 공식 주소로 직접 연락하는 것에 아무런 이의를 제기하지 않을 것입니다.

마지막 방법이 가장 확실합니다. 전화를 끊고 브라우저 기록이나 즐겨찾기를 통해 해당 통신사의 연락처 페이지를 찾아 직접 문의하세요. 진짜 문제는 다시 전화해도 해결되지 않지만, 사기 시도는 그렇지 않습니다.

이메일 사기에도 동일한 기본 규칙이 적용됩니다. 가짜 출금 요청 메일이 수신함에 도착하는 방식입니다.

지갑 앱 확인하기: 진짜 프로그램은 어디에 있을까요?

이번 사건에서는 세 개의 유명 애플리케이션이 복제되었기 때문에, 복제 경로를 살펴보는 것은 의미 있는 일입니다. 저희는 사용자가 실제로 어디로 접속하는지 확인하기 위해 2026년 8월 22일 19시(UTC)경에 해당 주소들을 직접 접속해 보았습니다.

결과가 일관적이지 않습니다. Trezor Suite 공식 페이지는 바로 응답하여 프로그램으로 연결되었습니다. 반면 Ledger Live의 공식 주소는 제조사 쇼핑몰로 연결되어 다운로드 페이지로 이어지지 않았습니다. Exodus의 경우, 다운로드 주소로의 자동 접속 시도는 거부되었지만, 공식 페이지는 정상적으로 응답했습니다. 이러한 접속 거부는 봇 공격 방지 메커니즘이며, 브라우저 접속 가능 여부와는 무관합니다.

지갑 소프트웨어는 어디서 구할 수 있을까요? 실제 적용 시 어떤 의미가 있을까요?

제조사 웹사이트로 바로 연결되는 경로조차 리디렉션된다면, 사용자들은 검색을 통해 다른 사이트를 찾을 가능성이 높습니다. 그리고 검색 결과와 유료 광고는 오랫동안 복제 앱을 배포하는 가장 편리한 경로였습니다. 따라서 안전하게 제조사 웹사이트에 접속했다면 즐겨찾기에 추가해 두고, 이후에는 해당 웹사이트만 이용하세요.

입력된 시드 문구: 처음 몇 분 동안 중요한 것

출처를 확실히 알 수 없는 프로그램에 복구 문구를 입력한 경우, 해당 지갑은 손상된 것으로 간주됩니다. 잠재적 위험 상태가 아니라, 접근이 허용된 상태인 것입니다.

절차 순서는 명확합니다. 신뢰할 수 있는 기기에서 새 복구 문구를 사용하여 새 지갑을 설정하세요. 가장 많은 자산부터 시작하여 잔액을 새 지갑으로 이체합니다. 그 후에 동일한 비밀번호나 연결된 거래소 계정 등 영향을 받을 수 있는 다른 사항이 있는지 확인하세요. 지갑 비밀번호를 변경해도 이 단계에서는 도움이 되지 않습니다. 비밀번호 자체가 접근 수단이기 때문입니다.

처리 과정을 동시에 기록해 두세요. 시간, 적용 분야, 파일 출처, 거래 식별자 등을 기록해야 합니다. 이러한 정보는 경찰 신고 및 추후 손실에 대한 세금 처리 시 필요하며, 사후에는 재구성하기 어렵습니다.

가짜 지갑 앱 구별법: 핵심 사항

1. 암호화폐 계정에 대한 불필요한 전화는 모두 사기 시도로 간주하세요. 전화를 끊고 본인이 알고 있는 다른 방법으로 연락하십시오. 만약 연락했을 때 해당 업체가 전화 지원을 전혀 제공하지 않는다면, 이미 답을 얻은 셈입니다.
2. 지갑 소프트웨어는 반드시 직접 설정한 북마크를 통해서만 다운로드하세요. 검색 결과나 광고, 대화창 링크를 통해서는 다운로드하지 마십시오.
3. 정상 작동 중에 복구 문구를 입력하라는 프로그램이 있더라도 절대 입력하지 마십시오. 복구 문구는 기기 설정 또는 복원 시에만 사용해야 하며, 다른 곳에는 입력해서는 안 됩니다. 기기 자체 화면에 복구 문구 입력을 확인하여 중요한 중간 단계를 안전하게 보호하는 장치를 사용하는 것이 좋습니다.

(2026년 8월 22일 기준. 본 기사는 투자 조언이 아닙니다. 가격 및 수수료 체계는 변경될 수 있으므로 구매 전에 제공업체에 약관을 확인하십시오.)