niantic에 해당하는글 2




포켓몬고의 인기는 가히 경이로운 수준이다. 포켓몬고는 미국 앱스토어 무료앱 1위를 차지하고있으며 안드로이드 기준으로 유명 소개팅앱 Tinder보다 2배 많이 설치됐다. 일부 조사에 따르면 포켓몬고 일일 사용자수는 트위터와 비슷한 수준이라고 한다. 포켓몬고의 선풍적인 인기는 사이버범죄에도 영향을 끼쳤으며 얼마 지나지 않아 다양한 범죄수법이 개발됐다.



1. 포켓몬고 개발사 Niantic은 앱 자체는 무료 제공하지만 사용자가 PokeCoin이라는 가상통화를 구매하도록 하여 수익을 올린다. PokeCoin은 희귀 포켓몬을 부화시킬 수 있는 알이나 포켓몬을 유혹할 수 있는 아이템 등을 구매하는 데 쓰인다. 사이버범죄자들은 PokeCoin을 제공하는 설문조사를 만들어냈다. 사용자가 설문조사 사이트를 클릭하면 포켓몬고 사용자이름과 원하는 코인의 금액을 입력하고 인증절차를 거치게 되는데 이 과정이 완료되도 PokeCoin은 제공되지 않으며 대신 범죄자 측에서 수익을 올릴 수 있는 불량 프로그램에 가입되게 된다.


2. 포켓몬고는 아직 몇몇 국가에서만 제공되기 때문에 수많은 사람들이 인터넷을 통한 다운로드를 시도하고 있으며 이로 인해 사이버범죄자의 표적이 되고 있다. 인터넷에서 다운받은 가짜 포켓몬고 앱은 실제 앱과 똑같이 생겼지만 사실은 범죄자 측에서 사용자 휴대전화에 접근할 수 있도록 하는 맬웨어다.


3. 가짜 이메일을 포켓몬고 사용자에게 전송하여 24시간 내에 13달러짜리 포켓몬고 유료버전에 등록하지 않으면 계정이 정지된다는 허위정보를 제공하여 돈을 뜯어낸다. 이메일 내용은 다음과 같다. 포켓몬고에 대한 폭발적인 반응으로 인해 서버 증설이 필요하여 향후 계정에 대한 무료서비스를 지속할 수 없게 됐습니다. 24시간 내 유료버전으로 업그레이드하지 않을 경우 계정이 정지됩니다. 한편 이메일에 첨부된 링크는 사용자의 이메일 비밀번호와 신용카드 계좌정보를 탈취하도록 설계된 제3자 서버로 연결된다.



포켓몬고 사기방지요령

• 포켓몬고를 인터넷에서 다운받지 말 것

• 포켓몬고 계정에 대해 강력한 비밀번호 사용

• 스마트폰 펌웨어 최신여부 확인

• 포켓몬/Pokemon이라는 단어가 들어간 이메일은 열지 말 것




VIPRE Security News, Don’t Let Pokémon Scammers Say ‘Gotcha’ at Your Expense, 8. 2. 2016.

https://blog.vipreantivirus.com/security-news-room/dont-let-pokemon-scammers-say-gotcha-expense/


번역: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.08.04 13:33


세계적으로 수백만 명이 즐기는 게임으로 크게 성공한 포켓몬고(Pokemon Go)의 iOS 앱에 보안취약점이 있었던 것으로 밝혀졌다.


포켓몬고를 실행하려면 구글이나 pokemon.com 웹사이트에서 계정을 생성해야 한다. 그런데 pokemon.com 웹사이트의 경우 서버 과부하 때문인지는 확실하지 않지만 신규 가입이 진행되지 않는다. 그러므로 구글 계정을 만들어야 하는데 여기서 문제가 생긴다.


게임이 출시되고 나서 이틀 뒤 보안전문가 Adam Reeve가 블로그를 통해 이 문제를 최초로 제기했다. Reeve에 따르면 포켓몬고 그리고 제작사 나이앤틱(Niantic)이 자신의 구글 계정 무제한으로 접근할 수 있었다고 한다. 다행히도 이 문제는 iOS에서만  발생하힌ㄷ디 ㅠㅔㅁ으로 보이며 안드로이드 앱의 경우 계정정보에 대한 접근을 따로 요청하지 않는다.



제한 없는 접근이 승인될 경우 포켓몬고와 나이앤틱이 실행 가능한 행동은 다음과 같다.


• 사용자 이메일 열람

• 사용자 이름으로 이메일 전송

• 구글드라이브 문서 접근 및 변경 가능

• 구글포토에 보관된 모든 사진 접근 가능



업데이트


나이앤틱은 여러 보도채널을 통해 다음과 같이 밝혔다. "나이앤틱은 최근 iOS 포켓몬고 계정생성과정에서 사용자 구글계정에 대한 무제한 접근을 요청하는 오류가 발생한다는 사실을 발견했다. 하지만 포켓몬고가 실제 접근하는 부분은 구글 기본프로필(사용자 ID 및 이메일주소)에 국한되며 구글계정의 다른 정보에 대한 수집이나 접근은 없었다. 포켓몬고나 나이앤틱이 실제 사용하는 데이터에 맞도록 기본 구글프로필 정보에 대해서만 승인을 요청하도록 클라이언트 수정을 시작했다. 구글은 조만간 포켓몬고 승인수준을 포켓몬고가 실제로 필요로 하는 기본프로필에 대해서만 승인을 요청하게 되며 사용자들이 따로 어떤 조치를 취할 필요는 없다."


나이앤틱은 최근 iOS 포켓몬고를 1.01 버전으로 업데이트했으며 안정성 그리고 중단오류(crash)해결과 더불어 구글계정 접근승인요청의 침습성을 줄이겠다고 약속했다. 해당 업데이트는 애플 앱스토어를 통해 설치할 수 있다.




VIPRE Security News, Pokemon Go: the Security Flaw and the Fix, 7. 14. 2016.

https://blog.vipreantivirus.com/uncategorized/pokemon-go-security-flaw-fix/


번역: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.07.18 15:52

위로가기