[보안 경보]

⚡ 결론 직답: 2026년 11월 현재, OpenAI와 SpaceX 등을 사칭한 가짜 이벤트 초대장이 Microsoft 및 Google 계정 인증 토큰을 탈취하는 정교한 피호 공격으로 확인되었습니다.

📌 3줄 핵심 요약

  • OpenAI Academy, SpaceX 브리핑 등 유명 기업의 가짜 이벤트를 미끼로 ChatGPT Pro 구독권 등 보상을 제시하며 사용자 유인
  • Kali365 및 VoidProxy 플랫폼을 활용하여 MFA(다요소 인증)를 무력화하고, 인증 토큰 및 세션 쿠키를 직접 탈취하는 기술적 정교함 확보
  • AI 도구에 대한 높은 관심을 이용하므로, 기업 사용자 및 개인 개발자는 출처 불분명한 AI 관련 이벤트 링크 클릭 및 로그인 주의 필수

📅 데이터 기준일: 2026-11-09 | 출처: 글로벌 테크 브리핑 및 공식 스펙



소제목 1: AI 열풍을 먹잇감으로 삼는 새로운 보안 위협의 본질#



현재 전 세계는 생성형 AI의 급격한 확산으로 인해 거대한 기술적 전환기를 맞이하고 있습니다. 모든 기업과 개인이 더 나은 파라미터를 가진 모델과 효율적인 토큰 처리 능력을 갈구하고 있는 이 시점은, 역설적으로 보안의 가장 취약한 고리가 되었습니다.

최근 보안 연구 기관인 Push Security의 보고서에 따르면, 공격자들은 OpenAI Academy, SpaceX의 AI 마케팅 브리핑, Anthropic의 AWS re:Invent 발표와 같은 '존재하지 않는 이벤트'를 만들어냈습니다. 이러한 공격은 사용자가 AI 기술의 최전선에 참여하고 싶어 하는 심리를 정확히 파고듭니다.

특히 이번 공격은 단순한 정보 탈취를 넘어, 사용자가 보상(ChatGPT Pro 구독권, SpaceX 주식 등)을 받기 위해 수행하는 '로그인' 과정 자체를 오염시킵니니다. 이는 마치 AI가 생성한 할루시네이션(Hallucination)처럼, 실제 존재하는 서비스와 가짜 서비스를 구분하기 어렵게 만드는 교묘한 속임수입니다.

Sponsored Advertisement

소제목 2: 기술적 심층 분석: MFA를 무력화하는 Kali365와 VoidProxy#



이번 피싱 캠페인이 무서운 이유는 기존의 단순한 피싱과 달리, 현대 보안의 핵심인 MFA(다요소 인증)를 우회하는 기술적 메커니즘을 갖추고 있기 때문입니다. 공격자들은 주로 두 가지 'Phishing-as-a-Service(PhaaS)' 플랫폼을 사용합니다.

  • Kali365를 이용한 디바이스 코드 피싱: 공격자는 사용자가 Microsoft 계정 로그인 페이지에 특정 코드를 입력하도록 유도합니다. 사용자가 정당한 Microsoft 페이지라고 믿고 코드를 입력하는 순간, 공격자의 세션으로 인증 토큰이 전달되어 계정 권한을 즉시 탈취합니다.
  • VoidProxy를 이용한 리버스 프록시 공격: Google 계정 사용자를 대상으로 하는 이 방식은 매우 치명적입니다. 공격자는 실제 Google 로그인 페이지와 동일한 프록시 서버를 구축하여, 사용자가 입력하는 비밀번호는 물론 MFA 응답값과 세션 쿠키까지 실시간으로 가로챕니다.
  • 탐지 회피 전략: 공격자들은 Google과 Zapier의 단축 URL 서비스를 활용하여 보안 스캐너와 URL 평판 시스템의 눈을 피합니다. URL의 파라미터를 조작하여 최종 목적지를 숨기는 방식은 보안 솔루션의 탐지율을 현저히 낮춥니다.


소제목 3: 한눈에 보는 피싱 공격 방식 비교 분석#



기존 전통적 피싱
구분 신종 AI 테마 피싱 비고/위험도
주요 타겟 불특정 다수 (금융/개인정보) AI 기술 관심도가 높은 IT 종사자/기업 매우 높음
공격 기술 단순 가짜 웹사이트 유도 MFA 우회 및 세션 쿠키 탈취 치명적
미끼 내용 계정 정지, 결제 오류 등 공포 유발 AI 이벤트 참여, 무료 구독권 등 보상 유인 높은 클릭률 유도


소제목 4: 실전 보안 가이드 및 주의사항#



이러한 정교한 공격으로부터 자신과 기업의 자산을 보호하기 위해서는 기존의 보안 의식을 한 단계 높여야 합니다.

✅ 이런 분께 강력히 추천하는 보안 조치

  • 하드웨어 보안 키 사용자: YubiKey와 같은 물리적 보안 키를 사용하면 리버스 프록시를 통한 MFA 우회를 근본적으로 차단할 수 있습니다.
  • 기업 보안 담당자: 사내 네트워크에서 의심스러운 단축 URL이나 알려지지 않은 도메인으로의 트래픽을 모니터링하는 정책을 강화하십시오.

❌ 이런 행동은 반드시 피하세요!

  • 출처가 불분명한 이메일이나 SNS(Telegram, X 등)를 통한 '무료 AI 구독권' 링크 클릭 금지
  • 브라우저에 저장된 자동 로그인 기능을 맹신하지 말고, 중요한 서비스는 주기적으로 세션 로그아웃 수행


자주 묻는 질문 (FAQ)#

Q1. 이미 의심스러운 링크를 클릭하고 로그인을 했습니다. 어떻게 해야 하나요?
A1. 즉시 해당 계정(Google 또는 Microsoft)의 비밀번호를 변경하고, 모든 기기에서 '모든 세션 로그아out'을 실행하십시오. 또한, 연결된 타사 앱 권한을 확인하여 승인되지 않은 접근을 해제해야 합니다.

Q2. MFA(2단계 인증)를 사용 중인데도 뚫릴 수 있나요?
A2. 네, 그렇습니다. 이번에 발견된 VoidProxy 방식은 사용자가 MFA 인증을 완료하는 순간의 응답값을 가로채기 때문에, SMS나 OTP 방식은 무력화될 수 있습니다. 가급적 물리적 보안 키 사용을 권장합니다.



필자의 한마디 & 결론#



기술의 발전은 언제나 양날의 검과 같습니다. AI가 우리에게 놀라운 생산성을 선사하는 동시에, 공격자들에게는 더욱 강력하고 지능적인 무기를 제공하고 있습니다. 우리가 AI의 성능(Parameter)과 효율성(Token)에 집중하는 동안, 그 이면의 보안 위협을 감지할 수 있는 통찰력 또한 함께 키워나가야 합니다.

AI는 도구일 뿐, 방향을 결정하는 것은 우리 인간입니다. 여러분은 이러한 지능형 피싱 위협에 대해 어떻게 대비하고 계신가요? 여러분의 소중한 의견을 댓글로 남겨주세요. 딥러너였습니다.

출처: https://www.techradar.com/pro/security/hackers-use-fake-openai-spacex-and-anthropic-event-invites-in-new-phishing-scam-to-steal-microsoft-and-google-accounts