“챗GPT 3개월 공짜” 클릭 한 번에…회사 메일 다 털렸다

英 보안업체 푸시시큐리티, 오픈AI·스페이스X 사칭 피싱 포착 실제 MS 인증 화면 악용…코드 입력·승인하면 공격자에 접속 권한 구글 로그인도 중간서 가로채…비밀번호·로그인 정보 노려 AP뉴시스 #. “챗GPT 프로 3개월 무료”라는 초대장이 회사 메일함에 떴다. 보상을 받으려면 회사 계정으로 로그인하라고 했다. 오픈AI 온라인 행사에 등록하면 유료 이용권을 준다는 내용이다.회사 계정으로 로그인하라는 안내에 따라 마이크로소프트(MS)를 선택하니 실제 MS 인증 화면이 열렸다. 행사 페이지에서 받은 코드를 입력하고 ‘승인’을 눌렀다. 하지만 내가 승인한 건 내 회사 계정에 접속하려는 공격자의 로그인 요청이었다.해외에서 챗GPT 유료 이용권과 스페이스X 주식을 미끼로 회사 계정을 노린 피싱이 포착됐다. 공격자는 가짜 행사 등록에 공식 인증 절차를 끼워 넣어 이용자가 공격자의 로그인을 승인하도록 유도했다. 국내에서도 유료 인공지능(AI) 서비스 무료 체험 행사가 열리는 만큼 비슷한 초대장에 주의가 필요하다.7일 영국 보안업체 푸시시큐리티에 따르면 지난달 말 고객사 직원들의 웹브라우저에서 오픈AI와 스페이스X 등을 사칭한 행사 등록 페이지가 발견됐다.공격자는 오픈AI의 공식 교육 플랫폼 ‘오픈AI 아카데미’와 비슷하게 행사 페이지를 꾸몄다. 마케팅 담당자를 위한 온라인 강연이라며 등록하면 챗GPT 프로를 3개월간 무료로 쓸 수 있다고 안내했다.스페이스X를 사칭한 페이지는 이달 12일 비공개 설명회가 열린다며 유료 AI 서비스 ‘그록 헤비’ 3개월 이용권이나 스페이스X 주식을 미끼로 내걸었다.◆진짜 MS 화면이라 믿었는데…‘승인’ 한 번에 회사 계정 털렸다가짜 행사 페이지에는 ‘마이크로소프트로 계속하기’와 ‘구글로 계속하기’ 버튼이 있었다.MS 버튼을 누르면 행사 페이지에 코드가 나타나고 실제 MS 인증 화면이 열린다. 다른 기기에서 시작한 로그인을 스마트폰이나 PC에서 승인할 때 쓰는 화면이다.공격자는 자신이 시작한 로그인에 필요한 코드를 행사 페이지에 띄웠다. 이용자가 이 코드를 공식 화면에 넣고 승인하면 공격자가 회사 계정에 접근할 권한을 얻는다. 이후에는 이용자를 MS 로그인 화면과 비슷하게 꾸민 별도 페이지로 보내 비밀번호까지 빼내려 했다.구글 버튼을 누르면 공격자가 운영하는 사이트가 이용자와 구글 사이에서 로그인 절차를 연결한다. 공격자가 만든 사이트는 이용자가 입력한 비밀번호와 추가 인증 응답을 가로채도록 ...