2026년 10월 30일
Alphabet은 2004년 상장 이후 최악의 하루를 보내며 시가총액이 약 4,750억 달러 줄었다. 그리 놀랍지는 않다. 오늘 구글은 자사 제품의 피싱 페이지를 광고로 노출했다.
푸시 알림을 위해 Firebase에 새 앱을 추가해야 했다. 주소를 전부 입력하기 귀찮아 크롬 주소창에 “Firebase”를 검색하고 첫 번째 결과를 눌렀다.
사이트는 Gemini 4 Argon 출시 안내 배너까지 포함해 Firebase와 똑같아 보였다. 의심 없이 ‘콘솔로 이동’을 눌렀다. 피싱범들이 구글의 출시 소식을 나보다 더 꼼꼼히 챙기는 모양이다.
로그인 페이지에서 1Password가 비밀번호를 제안하지 않았다. 로그인조차 제대로 못 만든 사람들인가 싶어 투덜대며 비밀번호를 직접 복사해 입력했다. 그제야 도메인을 확인했는데, accounts.gkoosl.com이었다.
첫 번째 결과는 광고였고, Google Sites에 호스팅된 페이지로 연결됐다. 그 페이지는 Firebase 사이트를 베꼈고, 콘솔 링크는 피싱 도메인을 가리켰다. 몇 차례 재현해 전체 과정을 스크린샷으로 남겼다. 구글은 광고를 팔고 페이지를 호스팅했다. 이 과정에서 구글이 아닌 부분은 구글 비밀번호를 수집하는 도메인뿐이었다. 도메인을 확인한 곳은 이 사례에서 1Password뿐이었고, 나는 오히려 1Password에 불평하고 있었다.
다행히 빠르게 알아차려 비밀번호를 바꿨다. 계정에는 2차 인증 수단도 여러 개 설정돼 있어 gkoosl.com 운영자들이 계정에 접근하려면 애를 먹었을 것이다. 그래도 오픈AI와 앤스로픽이 밀레니엄 문제의 증명을 놓고 경쟁하는 동안 구글은 자사 제품인 Ads와 Sites에서 이뤄지는 피싱에 대응하지 못한다는 점은 놀랍다. Firebase 광고가 sites.google.com으로 연결되지 않는지 확인하는 일이 더 어려운 모양이다.
뭐, 그렇다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요