친구 계정이 미스터비스트 광고를 보내요: 디스코드 피싱 사기 원인과 해결책
어느 날 갑자기 친한 친구에게서 개인 메시지가 옵니다.
'미스터비스트가 유튜브 구독자 이벤트로 무료 니트로 1년권을 뿌리고 있어! 선착순이니까 얼른 받아가.'
메시지 아래에는 그럴싸한 디스코드 선물 상자 모양의 배너와 링크가 함께 붙어 있습니다. 평소에 함께 게임을 하던 친구가 보낸 메시지라 아무 의심 없이 링크를 누르기 쉽습니다.
절대 누르면 안 됩니다. 100퍼센트 사기입니다.
그 친구가 직접 보낸 메시지가 아닙니다. 친구의 계정이 악성코드에 감염되어 해커의 원격 봇 프로그램이 친구의 이름으로 지인들에게 스팸 사기 링크를 무차별 전송하고 있는 것입니다.
단순한 낚시성 링크가 아니라 유저의 디스코드 로그인 세션 토큰을 단 1초 만에 가로채는 고도화된 웹 스크립트 공격입니다. 동작 구조를 정확히 알면 절대 당하지 않습니다.
1. 미스터비스트 무료 니트로 광고의 작동 원리
이 사기 수법은 단순한 스팸 메일과 다릅니다. 고도로 자동화된 계정 탈취 프로그램이 뒤에서 돌아갑니다.
수법은 치밀합니다.
첫째, 해커는 유명 유튜버인 미스터비스트의 인지도와 기부 이미지를 교묘하게 이용합니다. '미스터비스트가 수억 원의 상금을 걸고 디스코드 사용자들에게 니트로를 선물한다'는 식의 가짜 이벤트 페이지를 그럴듯하게 제작합니다. 디스코드 공식 홈페이지의 디자인과 색상, 폰트까지 똑같이 베껴 만듭니다.
둘째, 피해자의 심리를 자극합니다. '남은 수량 14개', '남은 시간 5분' 같은 가짜 타이머를 띄워 방문자가 이성적으로 판단할 시간을 빼앗습니다.
셋째, 인증을 핑계로 로그인을 요구합니다. 링크를 타고 들어가면 디스코드 계정으로 로그인하라며 아이디와 비밀번호를 적는 창이 뜹니다. 혹은 화면에 커다란 큐알 코드를 띄워두고 모바일 디스코드 앱으로 스캔하라고 안내합니다.
여기서 로그인 정보를 입력하거나 스마트폰으로 큐알 코드를 스캔하는 순간 끝납니다. 사용자의 권한이 공격자에게 그대로 넘어갑니다.
2. 링크를 누르고 로그인하면 내 계정에는 무슨 일이 벌어질까
사용자가 피싱 사이트에서 로그인을 진행하거나 큐알 코드를 찍는 순간, 해커의 자동화 서버는 피해자 계정의 세션 토큰을 가로챕니다.
토큰은 일종의 마스터키입니다. 아이디나 비밀번호를 몰라도, 심지어 2단계 인증 번호가 걸려 있어도 이 토큰 문자열만 있으면 해커는 내 계정의 모든 권한을 마음대로 행사할 수 있습니다.
토큰을 손에 넣은 해커의 프로그램은 다음과 같은 행동을 1분 만에 끝냅니다.
- 친구 목록 전체에 동일한 사기 메시지 발송: 피해자가 대화를 나눴던 모든 친구의 개인 메시지 창으로 똑같은 미스터비스트 사기 링크를 1초에 수십 건씩 쏘아 보냅니다. 친구들은 내가 보낸 메시지인 줄 알고 또다시 링크를 누르게 됩니다. 봇넷 감염이 기하급수적으로 번져나가는 이유입니다.
- 참여 중인 모든 서버의 채팅방에 링크 도배: 피해자가 들어가 있는 게임 서버나 커뮤니티의 자유 대화방마다 사기 글을 난사합니다. 이 과정에서 피해자 계정은 여러 서버에서 순식간에 차단당하고 강퇴됩니다.
- 등록된 카드 무단 결제: 디스코드 설정에 신용카드나 페이팔이 등록되어 있다면, 해커 프로그램은 즉시 니트로 1년권 선물 코드를 구매 한도까지 긁어버립니다. 결제된 기프트 코드는 해외 암호화폐 암시장에 헐값으로 팔려 나갑니다.
- 이메일과 비밀번호 변경 후 계정 강탈: 돈이 될 만한 정보를 다 빼낸 뒤에는 계정의 이메일 주소를 해커 소유의 대포 메일로 바꿔버리고 자신들의 2단계 인증을 걸어 본래 주인이 접속하지 못하도록 쫓아냅니다.
3. 실수로 링크를 누르고 로그인했을 때 즉시 해야 할 4단계
만약 이미 미스터비스트 링크를 누르고 아이디 비밀번호를 넣었거나 큐알 코드를 찍었다면 지체할 시간이 없습니다. 공격자의 봇이 내 이메일을 바꾸기 전에 빠르게 손을 써야 합니다.
1단계: 비밀번호 즉시 변경하기
무조건 가장 먼저 해야 합니다. 디스코드 모바일 앱이나 PC 프로그램에서 설정으로 들어가 비밀번호를 즉시 바꾸세요. 비밀번호를 변경하는 순간 디스코드 서버는 기존에 발급되어 있던 모든 세션 토큰을 폐기합니다. 해커가 훔쳐 간 토큰이 즉시 쓰레기 데이터로 변하면서 해커의 자동 발송 프로그램 연결도 단칼에 끊어집니다.
2단계: 모든 알려진 기기에서 로그아웃
설정의 기기 메뉴로 이동합니다. 맨 아래에 있는 모든 알려진 기기에서 로그아웃 버튼을 누릅니다. 해커가 PC나 웹 브라우저를 통해 연결해 둔 원격 접속 세션이 강제로 끊어집니다.
3단계: 청구 탭에서 등록된 카드 즉시 삭제
디스코드 설정의 청구 메뉴로 들어갑니다. 등록되어 있는 카드나 간편 결제 정보를 바로 삭제하세요. 만약 이미 결제 문자가 날아왔다면 망설이지 말고 해당 카드사에 전화해야 합니다. 해외 부정 결제 신고를 접수하고 카드를 분실 정지시켜야 추가 결제를 막을 수 있습니다.
4단계: 승인된 앱 권한 취소
설정의 승인된 앱 탭으로 들어갑니다. 내가 설치한 적이 없는 봇이나 수상한 외부 사이트 연동 항목이 있다면 즉시 승인 취소를 눌러 권한을 없애야 합니다. 해커가 계정에 심어둔 뒷문일 수 있습니다.
4. 친구가 미스터비스트 광고를 보냈을 때 지켜야 할 안전 수칙
내 계정이 아니라 친구 계정에서 이런 메시지가 날아왔다면 어떻게 해야 할까요.
침착해야 합니다.
- 링크는 절대 누르지 마세요: 호기심에라도 링크를 클릭해서 웹사이트를 구경하거나 큐알 코드를 대보지 마세요. 사이트에 접속하는 것만으로 악성 스크립트가 실행될 위험이 있습니다.
- 디스코드 외의 다른 수단으로 친구에게 알리세요: 해당 친구에게 디스코드 메시지로 '너 해킹당했어'라고 보내봤자 소용없습니다. 이미 해커의 봇이 계정을 쥐고 흔드는 중이거나 친구가 로그아웃당했을 확률이 높습니다. 전화, 문자메시지, 카카오톡 등 다른 메신저로 연락해 '지금 네 디스코드 계정에서 미스터비스트 사기 링크가 전송되고 있으니 빨리 비밀번호를 바꾸라'고 알려주어야 합니다.
- 스팸 메시지 신고 및 차단: 메시지 우측 상단의 메뉴를 눌러 디스코드 측에 사기 및 피싱으로 신고하고, 친구가 계정을 복구할 때까지 해당 대화방 알림을 꺼두거나 일시적으로 차단해 두는 것이 좋습니다.
5. 서버 관리자를 위한 커뮤니티 보호 설정법
내가 운영하는 디스코드 서버 안에 미스터비스트 사기 광고가 도배되기 시작하면 서버 분위기가 순식간에 흐려집니다. 관리자는 사전에 방어선을 구축해 두어야 합니다.
오토모드 키워드 필터 설정
디스코드 자체 기능인 오토모드를 활용하면 사기 메시지를 1초 만에 감지해 차단할 수 있습니다.
- 서버 이름 옆의 화살표를 누르고 서버 설정으로 들어갑니다.
- 보안 탭 아래의 AutoMod를 선택합니다.
- 사용자 지정 키워드 규칙 생성을 클릭합니다.
- 차단할 단어 목록에 사기 광고에 단골로 쓰이는 단어들을 등록합니다. * * * * *
- 작업 선택에서 메시지 차단을 켜고, 필요하다면 경고 알림 보내기를 활성화합니다.
이렇게 설정해 두면 해킹당한 계정이 서버 채팅방에 미스터비스트 관련 글을 올리는 순간 메시지가 자동으로 삭제되고 관리자 채널에 로그가 남습니다.
신규 멤버 링크 전송 제한
일반 멤버 역할을 가진 유저가 채팅방에 웹 링크를 자유롭게 올리지 못하도록 권한을 조정하는 것도 효과적입니다. 서버 설정의 역할 탭에서 기본 역할의 임베드 링크 권한을 꺼두면, 악성 링크가 올라오더라도 링크 미리보기 상자가 뜨지 않아 다른 유저들이 호기심에 클릭하는 사고를 크게 줄일 수 있습니다.
6. 다시는 사기 광고에 낚이지 않는 근본적인 예방법
디스코드 피싱 수법은 날이 갈수록 정교해집니다. 미스터비스트 사칭이 막히면 다른 유명 게임사나 스트리머 사칭으로 이름만 바꿔서 다시 찾아옵니다.
몇 가지 원칙만 기억하면 됩니다.
첫째, 디스코드는 절대로 개인 메시지로 무료 니트로 링크를 뿌리지 않습니다. 공식 프로모션은 디스코드 앱 상단의 공식 알림 배너나 디스코드 공식 블로그를 통해서만 공지됩니다. 친구가 보내든 모르는 봇이 보내든, 개인 메시지로 날아오는 무료 혜택 링크는 99.9퍼센트 사기입니다.
둘째, 디스코드 큐알 코드는 내 스마트폰으로 컴퓨터에 로그인할 때만 써야 합니다. 웹사이트 화면에서 '선물을 받으려면 큐알 코드를 스캔하세요'라는 문구가 나온다면 뒤도 돌아보지 말고 창을 닫으세요. 그 큐알 코드는 선물을 주는 코드가 아니라, 내 스마트폰의 로그인 권한을 해커의 PC로 넘겨주는 승인 코드입니다.
셋째, 대형 커뮤니티 서버의 개인 메시지 수신을 꺼두세요. 사람이 수천 명 모여 있는 대형 공용 서버에 들어가 있다면 [서버 설정 - 개인정보 보호 설정]으로 들어가 서버 멤버가 보내는 다이렉트 메시지 허용을 비활성화하는 것이 안전합니다. 모르는 사람이 서버 멤버 목록을 긁어 무차별 피싱 메시지를 보내는 것을 사전에 원천 차단할 수 있습니다.