*이 글은 사람들에게 Instagram 해킹이 어떻게 작동되는지, 그리고 어떻게 해킹을 방지해야 하는지에 대해 알리기 위해 쓰여진 글입니다. 이러한 기술을 악의적인 목적으로 사용하지 마세요.
Please remember that this article is written with the ami of educating people about how Instagram hacking works and how should they prevent such hacks. Therefore don’t use these techniques for malicious purposes.
1. 인스타그램 피싱 이메일
: 다양한 피싱 이메일 중에서 “가짜 저작권 침해 알림”을 사용해 로그인 정보를 제공하도록 유도하는 방법이다
(1) 페이지 클릭
① 저작권 침해를 이유로 가짜 계정 정지 메시지를 사용하여, 24시간 이내에 ‘저작권 이의 제기 양식’을 작성하도록 유도한다
② 공격자는 중간 광고 페이지와 피싱 랜딩 페이지 모두에 instagram.copyrightinfringementappeal.[phishingdoain].cf하위도메인을 사용하여 해당 도메인이 Instagram 도메인인 것처럼 보이게 만든다
③ 피해자가 사용자 이름과 비밀번호를 입력하고 피싱 페이지 하단에 있는 ’제출’ 버튼을 누르면, 동일한 .cf도메인을 통해 접근 가능한 공격자가 제어하는 저장 서버로 즉시 업로드 된다
(2) 파일 다운로드
① 출처를 알 수 없는 파일을 포함하여 인스타그램을 사칭한 이메일을 보낸다
② 피해자가 파일을 다운로드하면 ‘키로그’ 프로그램이 설치된다
③ 키로그 프로그램은 백그라운드에서 조용히 작동하면서 피해자의 모든 키 입력을 캡처하여 공격자에게 다시 전송한다
2. SIM Swapping
① 피해자의 이름, 주소, 생년월일 등 식별가능한 개인정보를 수집한다
② 피해자의 휴대전화 제공업체에 연락해 피해자인척, 해커가 제어하는 새 SIM 카드로 피해자의 전화번호를 이전하도록 설득한다
이전한 경우, 이를 이용하여 해당 전화번호에 연결된 모든 계정의 비밀번호를 재설정할 수 있다.
3. 인스타그램 전용 핵 프로그램
*타인의 계정을 해킹하는 것은 불법이기 때문에 임의로 자신의 계정을 이용
① 사용자 이름에 인스타그램 아이디 입력한다
② 입력한 계정을 10초만에 찾는다
③ 찾은 계정을 풀고 해당 계정에 연결하여 RCE 명령 주입한다
- RCE(원격코드실행) : 공격자가 대상 시스템이나 어플리케이션에 대한 직접적인 접근 없이 원격으로 임의의 코드를 실행
④ 계정 정보(팔로워 수, 팔로잉 수, 게시물 수 등)를 볼 수 있었고, 보호 계정으로 접근할 수 없다는 팝업과
더 많은 정보를 얻기 위해서 결제가 필요하다
* 현재 내가 한 보안 설정 : 2단계 인증
4. 대응방안
① 온라인에서 개인정보를 제공할 때 주의하고, 알수 없는 출처의 파일을 다운로드하거나 링크를 클릭할 때 주의한다
② Instagram 계정 및 다른 계정에서 2단계 인증을 활성화한다
③ 신뢰할 수 있는 바이러스 백신 소프트웨어를 사용하여 장치를 정기적으로 검사한다