소셜 엔지니어링 공격은 가장 방어하기 어렵습니다. 공격자는 권위 있는 담당자 행세를 하며 당신 스스로 정보를 내어주게 만듭니다. 이 글에서는 자주 쓰이는 화법을 파헤칩니다. 다운로드 입구: 바이낸스 공식 사이트, 모바일 환경 바이낸스 공식 앱, iOS 앱이 설치되지 않았다면 iOS 설치 가이드.
1. 소셜 엔지니어링 공격 방어의 기본 철칙
바이낸스 공식은 절대로 다음과 같은 행동을 하지 않습니다:
- 먼저 위챗(WeChat), QQ, Telegram, WhatsApp으로 친구 추가를 요청하는 일
- 비밀번호 / 2FA / 시드 문구(니모닉) 제공을 요구하는 일
- 어떠한 주소로든 송금을 요구하는 일
- "고객센터가 지정한" 앱이나 프로파일 설치를 요구하는 일
- 원격 화면 공유를 켜고 조작을 지시하는 일
어느 하나라도 해당된다면 = 100% 피싱입니다.
2. 흔한 소셜 엔지니어링 화법
화법 1: "고객님의 계정에 이상이 발생하여 긴급 이전이 필요합니다"
자신이 제시한 "안전 주소"로 이체를 유도합니다.
화법 2: "저는 바이낸스 보안 담당자입니다. 계정 복구를 도와드리고 있습니다"
"초기화를 위해" 비밀번호와 2FA 인증을 제공하라고 요구합니다.
화법 3: "에어드랍 이벤트에 당첨되셨습니다. 정보를 입력하여 수령하세요"
링크를 클릭해 피싱 사이트에 접속하도록 유도합니다.
화법 4: "고객님의 계정이 동결되었습니다. 보증금을 지불해야 해제됩니다"
직접적으로 돈을 빼앗습니다.
화법 5: "화면을 공유해 주시면 작업 과정을 안내해 드리겠습니다"
화면 공유를 요구한 뒤, 사용자의 비밀번호나 인증 번호를 몰래 훔쳐봅니다.
3. 소셜 엔지니어링의 심리적 함정 몇 가지
1. 권위성
"고객센터", "보안팀", "프로젝트 관계자"를 사칭합니다.
2. 긴박감
"24시간 내에 처리하지 않으면 영구 동결됩니다."
3. 상호성
"제가 정보 유출 사실을 조회해 드렸으니, 약간의 팁을 주셔야 합니다."
4. 희소성
"VIP 고객 선착순 100명 한정 혜택입니다."
5. 증거 위조
가짜 "사원증", "공식 문서" 스크린샷을 보냅니다.
이러한 수법들을 인지하고 있으면, 이런 상황에 맞닥뜨렸을 때 즉각 경각심을 가질 수 있습니다.
4. 진짜 고객센터와 가짜 식별법
진짜 고객센터는 다음의 경우에만 존재합니다:
- 바이낸스 고객지원 센터에서 문의를 접수한 후의 답변
- 바이낸스 앱에 내장된 자체 채팅
진짜 고객센터는 절대로 다음과 같은 행동을 하지 않습니다:
- 먼저 사용자에게 연락하는 일
- 지원 티켓 외부의 다른 메신저나 채널로 소통하는 일
- 돈을 지불하라고 요구하는 일
- 본인 인증을 위해 자금 이체를 요구하는 일
고객센터와 연락하고 싶다면, 먼저 능동적으로 움직이세요:
- binance.com 로그인 → 도움말/고객지원 → 문의하기 접수
- 상담원의 답변은 고객지원 센터 시스템 내에서만 유지됩니다.
5. 대응 템플릿
낯선 "상담원"의 메시지를 받았을 때:
- 민감한 정보에 대해서는 어떤 대답도 하지 않습니다.
- 계정에 이상이 의심된다면, 직접 binance.com에 로그인하여 문의 티켓을 남겨 사실을 확인합니다.
- 증거 보존을 위해 스크린샷을 찍습니다.
- 상대방을 즉시 차단합니다.
- (자금 피해가 발생한 경우) 필요시 즉시 경찰에 신고합니다.
6. 가족을 노리는 소셜 엔지니어링
가족, 특히 인터넷에 취약한 고령층은 소셜 엔지니어링 공격에 당하기 쉽습니다. 다음과 같이 알려주세요:
- "모르는 사람이 바이낸스 직원이라며 접근한다" = 가짜
- "XX 투자가 높은 수익을 낸다" = 가짜
- "계정 복구를 도와주겠다" = 가짜
기술을 몰라도 괜찮습니다. **"상대방이 먼저 연락하는 경우는 모두 사기다"**라는 점만 기억하게 하세요.
7. 소셜 엔지니어링 피해 발생 후 비상 대응
만약 이미 다음과 같이 행동했다면:
- 상대방 위챗을 친구 추가함
- 비밀번호나 2FA 인증 코드를 보여줌
- 화면 공유를 수락함
즉시 다음 조치를 취하세요:
- 모든 화면 공유 및 연결을 끊습니다.
- 안전하고 깨끗한 다른 기기에서 binance.com에 접속합니다.
- 비밀번호 변경 + 2FA 초기화 + API 삭제 + 모든 기기 세션을 로그아웃시킵니다.
- (이미 도용된 사실을 발견했다면) 즉시 계정을 동결합니다.
- 정식 고객지원 채널을 통해 "소셜 엔지니어링 공격 피해" 문의를 접수합니다.
- 경찰에 신고합니다.
8. 바이낸스 공식의 소셜 공격 방어 시스템
1. 피싱 방어 코드
모든 진짜 이메일을 한눈에 식별할 수 있게 해줍니다.
2. 24시간 출금 제한
공격자가 비밀번호를 바꾸더라도 즉시 출금할 수 없게 막습니다.
3. 기기 로그인 알림
비정상적인 로그인이 발생하면 즉각 푸시와 이메일 알림을 보냅니다.
4. API 한도 설정
새 API 생성 시 출금 권한은 기본으로 비활성화되며, 수동으로 켜야 합니다.
이러한 설정들을 철저히 갖춰두면 소셜 엔지니어링 공격의 성공 난이도가 매우 높아지며 공격자 대다수는 포기하게 됩니다.
FAQ
Q1: 소셜 엔지니어링으로 사기를 당했다면 자금을 찾을 수 있나요? 바이낸스는 온체인 거래 내역(TXID)을 조회할 수 있으며 경찰과 협조하면 되찾을 확률이 있습니다. 그러나 조치가 빠를수록 유리합니다.
Q2: "공식 파트너"라고 자칭하는 인플루언서(KOL)는 어떻게 구별하나요? 바이낸스에는 KOL 형태의 공식 직원이 없습니다. 모든 "바이낸스 인플루언서"는 제휴 사용자일 뿐 바이낸스를 대표하지 않습니다.
Q3: 모르는 사람의 친구 추가를 완전히 막을 수 있나요? 위챗이나 Telegram 설정에서 "모르는 사람이 추가할 수 없음"을 설정할 수 있습니다. 활성화해 두는 것을 권장합니다.
Q4: 경찰에 신고하는 게 의미가 있나요? 네, 의미가 있습니다. TXID와 대화 내역을 함께 제공하면 형사 입건에 큰 도움이 됩니다.