수년 동안 Steam 보안에 대한 표준적인 조언은 간단했습니다: "비밀번호를 절대 알려주지 말고, 모바일 인증 코드도 절대 알려주지 마세요." 이 조언은 여전히 사실이지만, 사기꾼들은 편의를 위해 설계된 기능인 Steam 모바일 앱의 QR 코드 스캐너를 이용해 이 두 단계를 동시에 우회하는 끔찍할 정도로 간단한 방법을 찾아냈습니다.
이 방법은 종종 "스트림잭킹" 또는 "QR 피싱"이라고 불리며, CS2 커뮤니티에서 엄청나게 널리 퍼져 있습니다. 이 글에서는 이 방법이 정확히 어떻게 작동하는지, 그리고 왜 절대로 Steam 앱으로 무작위 QR 코드를 스캔해서는 안 되는지 설명하겠습니다.
편의성에 숨겨진 결함
새로운 PC에서 Steam에 로그인할 때, 모니터에 표시된 QR 코드를 Steam 모바일 앱으로 스캔하는 옵션이 있습니다. 이는 매우 훌륭한 편의 기능입니다. 이 기능은 비밀번호나 2FA 코드를 입력할 필요 없이, 인증된 세션을 휴대폰에서 PC로 안전하게 전송합니다.
그러나 이 기능은 QR 코드를 표시하는 화면이 당신의 화면이라고 가정합니다. 사기꾼들은 바로 이 가정을 악용합니다.
사기꾼의 컴퓨터에서 생성된 QR 코드를 스캔하면, 당신은 즉시 그들의 컴퓨터에 당신의 Steam 계정에 대한 완전한 인증된 접근 권한을 부여하게 됩니다.
사기가 진행되는 방식
이 사기는 긴박감, 탐욕, 그리고 합법성이라는 착각에 크게 의존하며, 주로 Twitch나 YouTube와 같은 스트리밍 플랫폼에서 펼쳐집니다.
1. 가짜 스트리밍 (미끼)
사기꾼들은 Twitch나 YouTube에서 라이브 스트림을 설정합니다. 이를 합법적으로 보이게 하기 위해 그들은 다음과 같은 방법을 사용합니다:
- 유명 프로 플레이어(예: s1mple, m0NESY)나 주요 토너먼트 주최자(예: ESL, PGL)의 이름과 브랜딩을 사용합니다.
- 해당 플레이어나 토너먼트의 오래되었지만 조회수가 높은 VOD(주문형 비디오)를 재방송하여 스트림이 활성화되고 인기 있는 것처럼 보이게 합니다.
- 시청자 봇을 사용하여 시청자 수를 수천 명으로 부풀려 가짜 스트림을 CS2 카테고리 상단에 올려놓습니다.
2. 유인 (낚시)
이 훔쳐온 게임 플레이 영상 위에는 대규모 경품 행사를 약속하는 거대한 그래픽이 오버레이됩니다. 다음과 같은 내용이 표시됩니다:
- "!DROP - 무료 나이프를 받으려면 스캔하세요"
- "ESL 메이저 시청자 보상 - 계정을 연결하려면 QR 코드를 스캔하세요"
- "S1MPLE 은퇴 기념 경품 - 참여하려면 스캔하세요"
텍스트 옆에는 크고 선명한 QR 코드가 있습니다.
3. 실행 (함정)
이 사기는 당신이 생각하기 전에 빠르게 행동하는 데 의존합니다.
- 당신은 공식 스트림을 보고 있다고 믿고 무료 스킨을 원해 Steam 모바일 앱을 엽니다.
- 앱 내 QR 스캐너를 열고 모니터를 향해 비춥니다.
- Steam 앱은 로그인을 확인하라고 요청합니다. 스트림에 "계정을 연결"하여 드롭을 받는다고 생각한 당신은 "확인"을 클릭합니다.
현실: 스트림의 QR 코드는 사기꾼의 서버에 있는 자동화된 로그인 스크립트에 의해 동적으로 생성된 것입니다. 당신이 확인을 클릭했을 때, 당신은 경품에 계정을 연결한 것이 아니라, 사기꾼의 서버가 당신의 Steam 계정에 로그인하도록 승인한 것입니다.
4. 사건의 여파
QR 코드 로그인 방식을 사용했기 때문에, 사기꾼은 귀하의 비밀번호와 일반적인 2단계 인증 코드를 우회합니다. 이제 그들은 활성화된 인증 세션을 갖게 됩니다. 몇 초 안에 자동화된 스크립트가 귀하의 계정에서 거래 가능한 모든 아이템을 빼내어, 여러 중간 계정 네트워크를 통해 이동시킬 것입니다.
자신을 보호하는 방법
이 사기를 방어하려면 Steam 모바일 앱 사용 습관을 엄격하게 바꿔야 합니다.
- QR 코드의 황금률: 귀하의 Steam 모바일 앱에 있는 QR 코드 스캐너는 단 하나의 목적만을 가집니다: 귀하가 직접 제어하는 물리적인 화면에서 공식 Steam 클라이언트 소프트웨어나 공식
steamcommunity.com웹사이트에 로그인하는 것입니다. - 비디오, 스트림, 디스코드 메시지, 외부 웹사이트의 QR 코드를 절대 스캔하지 마세요.
- 공식 드롭은 이렇게 작동하지 않습니다. 합법적인 토너먼트 드롭이나 플랫폼 연동(예: Steam을 Twitch에 연결)은 안전한 API OAuth 연동(안전한 Steam 로그인 페이지로 리디렉션되는 버튼 클릭)을 통해 처리되며, 비디오 피드의 QR 코드 스캔을 통해서는 절대 이루어지지 않습니다.
- 스트림 확인하기: 유명 선수가 아이템을 나눠준다고 주장하는 스트림이 있다면, 채널 이름을 주의 깊게 확인하세요. 가짜 채널은 종종 약간의 철자 오류가 있거나, 합법적인 플랫폼에서 볼 수 있는 공식 "인증됨" 표시가 없습니다.
QR 코드 로그인의 편리함은 자신의 기기에서는 훌륭하지만, 잘못된 화면을 향하면 장전된 무기와 같습니다. Steam QR 스캐너를 마치 낯선 사람에게 자신의 물리적인 휴대폰을 건네는 것과 같은 극도의 주의를 기울여 다루세요.
