챗GPT 사칭한 가짜 사이트·앱 기승…비밀번호 탈취 악성코드 주의보

만약 PC에서 편하게 쓸 수 있는 ChatGPT 전용 프로그램을 찾고 있었다면, 지금 당장 다운로드를 멈춰야 합니다.

OpenAI는 현재 공식 윈도우용 데스크톱 앱을 제공하지 않습니다. 하지만 서비스가 사상 최단기 속도로 성장하자, 해커들이 이 유행을 악성코드 유포의 미끼로 발 빠르게 활용하기 시작했습니다.

보안 연구원들에 따르면 최근 ChatGPT라는 키워드가 들어간 신규 등록 도메인이 수백 개에 달하며, 이 중 상당수가 사기 및 정보 탈취 목적으로 운영되고 있는 것으로 확인되었습니다.

데스크톱 앱 위장해 브라우저 비밀번호 통째로 탈취

보안 연구원 도미닉 알비에리(Dominic Alvieri)가 소셜 미디어를 통해 공개하고 IT 매체 블리핑컴퓨터(Bleeping Computer)가 전한 바에 따르면, 정교하게 위장된 피싱 사이트들이 다수 적발되었습니다.

대표적으로 chat-gpt-pc.online이라는 사이트는 윈도우용 ChatGPT 로컬 설치 프로그램을 제공한다고 속였습니다. 그러나 이용자가 이를 내려받으면 악명 높은 정보 유출 악성코드인 레드라인(RedLine)이 설치됩니다. 레드라인은 구글 크롬 등 웹 브라우저에 저장된 비밀번호와 신용카드 정보를 긁어모아 공격자에게 전송하는 기능을 수행합니다.

알비에리는 구글 플레이 스토어에서도 유사한 방식으로 개인정보를 가로채는 가짜 ChatGPT 앱들을 확인했습니다.

보안 기업 사이블(Cyble)의 최신 보고서에 따르면 이러한 위장 앱은 이미 50개를 넘어섰습니다. 수법도 제각각인데, chatGPT1이라는 가짜 앱의 경우 AI 기능은 전혀 없이 이용자 몰래 유료 SMS 결제 서비스에 가입시키는 이른바 결제 사기를 저지르고 있었습니다.

정식 ChatGPT 서비스는 브라우저를 통해 공식 웹사이트(chat.openai.com)나 최근 확보된 AI.com을 통해서만 이용할 수 있습니다.

왜 중요한가

일반 이용자 관점에서의 대처법은 단순합니다. 외부 웹사이트나 앱 마켓에서 별도로 내려받는 ChatGPT 실행 파일은 무조건 피해야 합니다. 특히 월 20달러의 유료 구독 요금제가 도입된 상황에서, '무료 데스크톱 버전'을 찾는 사용자들의 심리를 파고드는 사기가 급증하고 있습니다.

이번 공격은 완전히 새로운 기술을 쓴 것이 아니라, 유행하는 키워드에 레드라인이나 소액결제 사기 같은 기존 수법을 덧씌운 형태입니다. 그럼에도 공식 마켓인 구글 플레이에 버젓이 진입했다는 점은 플랫폼의 검수 체계가 생성형 AI 관련 위협에 한 발 늦게 반응하고 있음을 보여줍니다. 당분간은 사용자 스스로 공식 웹 접속 경로를 확인하는 주의가 필수적입니다.