반도체 전문 온라인 매거진 - 올포칩

팔로알토 네트웍스(Palo Alto Networks)의 위협 연구 기관 유닛42(Unit42)는 챗GPT(Chat GPT) 관련 스캠 사기가 급증하는 추세라고 밝히며 각별한 주의가 필요하다고 밝혔다. 유닛42 조사에 따르면 지난해 11월부터 올해 4월까지 등록된 ChatGPT 관련 도메인이 910% 증가했으며, 팔로알토 네트웍스의 고급URL 필터링 시스템에서 트래픽 모니터링을 실시한 결과 매일 100개 이상의 ChatGPT 관련 악성 URL이 탐지됐다. 같은 기간 내 DNS 보안 로그 분석으로는 도메인에 ‘openai’와 ‘chatgpt’ 등의 관련 키워드를 넣어 이를 악성 행위에 사용하는 스쿼팅 도메인이 18,000% 증가한 것으로 나타났다. 

ChatGPT 관련 스쿼팅 도메인은 최초 공개된 이후 꾸준히 등록되었으며, 특히 2월 7일 새로운 빙(Bing) 버전 출시 이후에는 300개 이상의 도메인이 등록됐다. 고급 URL 필터링 시스템을 통해 실시한 키워드 검색에서는 공식 API 릴리즈와 GPT-4 출시 기간에 특히 급증했다. 

특정 키워드와 함께 URL 필터링 탐지 건수가 급증했다. 

유닛42는 이와 함께 오픈API 공식 사이트와 유사하게 제작된 다수의 피싱 URL이 존재한다고 밝혔다. 이러한 모방 사이트를 방문하는 사용자들을 속여 악성 프로그램을 다운로드 하거나 중요 정보를 탈취하기 위함이다. 

스캠 공격자들은 또한 계정을 도용하거나 금융 사기를 위해 ChatGPT 관련 소셜 엔지니어링을 사용하는 것으로 분석됐다. 오픈API가 이미 무료 버전의 ChatGPT를 제공했음에도 불구하고 스캐머들은 사용자들을 가짜 사이트에 방문하게 하여, 서비스 비용을 지불하도록 유도하고 있다. 특히 신용카드 정보와 이메일 주소 등을 수집하기도 하고, 암호화폐 경품 행사를 가장해 민감 정보를 탈취하는 수법도 발견됐다. 

한편 ChatGPT를 모방한 AI챗봇 애플리케이션들은 또다른 보안 위협을 만들어내고 있다. 유닛42는 대다수의 모방 챗봇이 2020년에 출시된 GPT-3을 기반으로 매우 낮은 신뢰도를 제공하며, 이러한 사이트에 입력한 사용자의 민감 정보가 악용될 수 있다고 경고했다. 

실제로 chatgptforchrome[.]com이라고 하는 스쿼팅 도메인의 경우 ChatGPT의 크롬 확장 프로그램에 대한 소개 페이지를 호스팅 하는데, 오픈AI가 제공하는 공식 정보와 영상을 사용하고 있다. 여기에서 “Add to Chrome(크롬에 추가하기)” 링크를 클릭하면 다른 확장 URL로 연결된 후, ‘AI ChatGPT’라고 하는 확장 프로그램을 다운로드 받는다. 유닛42에서 분석한 결과 이 파일을 다운로드 하면 사용자(피해자)의 브라우저에 백그라운드 스크립트가 추가되고, 이 스크립트가 페이스북 그래프 API를 호출하여 페이스북 계정 세부 정보를 도용할 수 있는 것으로 나타났다. 이와 같은 브라우저 확장 프로그램 관련 악성 코드가 다수 발견되고 있는 상황이다. 

팔로알토 네트웍스는 모든 사용자들이 언제나 오픈API 공식 웹사이트를 통해 ChatGPT에 액세스 해야 하며, 모방 챗봇 사용에 주의해야 한다고 경고하며, 자사의 차세대 방화벽 및 프리즈마 액세스(Prisma Access) 사용 고객들은 고급 URL 필터링, DNS 시큐리티, 와일드파이어(WildFire) 등을 통해 관련 스캠 공격으로부터 보호되고 있다고 밝혔다. 또한 이번 연구에 언급된 도메인, IP, URL, 해쉬 등 악성 지표에 대한 조치가 완료되었다고 덧붙였다.