[위협 분석] 법원 등기 수신 사칭 스캠

위협 개요 (Threat Summary)

2025년 10월 현재, 법원등기 안내를 사칭한 사회공학 기반 스캠(Scam) 공격이 국내에서 빈번하게 관찰되고 있습니다.

이번 공격은 기존 이메일, 메신저, SNS 등 디지털 미디어를 통한 피싱 유포 방식이 아닌, 음성 통화 기반의 사용자 응답 유도형 공격(Social Engineering) 이라는 점에서 특징적입니다.

공격 시나리오 (Attack Flow)

공격자는 수신자에게 전화를 걸어 다음과 같은 절차로 스캠을 수행합니다.

1. 공격자는 “법원등기 발송 예정인데 직접 수령 가능하신가요?” 라는 문장으로 접근
2. 사용자가 “현재는 수령이 어렵다” 고 응답하면,
3. 공격자는 “그럼 확인을 위해 아래 한글 도메인에 접속하라”는 음성 또는 SMS 문자 안내를 제공
4. 피해자가 해당 한글 도메인에 접속하면,
   • 피싱 페이지 또는 악성 리디렉션 스크립트를 통해 개인정보 탈취 또는 추가 악성코드 감염이 유도됨

공격 특징 (Tactics & Techniques)

공격자가 공격에 사용한 전화번호는 아래와 같으며, 한국의 사법기관에서 요청할 경우, 아래 번호 전체는 공개될 예정입니다.

• 010-22xx-45xx, 010-51xx-23xx

“법원등기 안내”라는 신뢰도 높은 키워드를 악용하여, 사용자가 직접 도메인에 접속하도록 유도하는 비디지털형 피싱(Voice-Driven Phishing) 유형인데, 아래와 같은 한글 도메인에 대한 접근을 요청하게 됩니다.

• `법원등기간편검색.kr`

(http://법원등기간편검색.kr/220site2025/4spo10/main23.do)

해당 페이지에 접근할 경우, 정교하게 작성된 검찰청 사칭 페이지에 접근하게 되며, 이후 접근에 사용되는 인증 관련 크리덴셜과 같은 모든 정보는 공격자에게 전송되는 구조입니다.

공격자의 정교하게 작성된 검찰청 사칭 페이지를 분석한 결과 favicon 기반으로 OSINT(Open Source Intelligence) 기법을 통해, 공격자의 공격 인프라를 IP 기반으로 분석해 보면, 아래와 같은 25개의 IP 분석 결과의 확인이 가능했습니다.

기본적으로 공격자는 대만의 인프라를 악용한 공격 기법이 확인되며, 공격 유형 특성상 대한민국 사법기관의 홈페이지가 대만 네트워크 인프라를 이용할 가능성이 없다는 점은 명확해 보입니다.

한글도메인 표기 방식인 퓨니코드를 공격 도메인으로 정리해 보면 아래와 같습니다.

또한, 공격자의 공격 IP를 공격을 위한 URL 매칭 방식으로 표현하면 아래와 같습니다.

*본 문서에서 언급된 모든 IoC 목록은 로그프레소 CTI 서비스를 통해 제공되었음.