20만 개 스캠 사이트를 움직이는 중국발 프레임워크: 대규모 사기 인프라 분석

서론

Infoblox Threat Intel은 2026년 6월 25일 공개한 분석에서 DCloud Uni-App 기반 템플릿과 연관된 사기 인프라를 추적한 결과, 236,000개 이상의 2차 도메인이 확인됐다고 밝혔다. SecurityWeek도 2026년 6월 27일 이 내용을 보도하며, 공격자들이 합법적인 DCloud Uni-App 툴킷으로 만든 투자 사기 템플릿을 판매하고 여러 사기 운영자가 이를 재사용하는 구조라고 정리했다.

중요한 점은 DCloud Uni-App 자체가 악성 도구가 아니라는 사실이다. Uni-App은 Vue.js 기반 코드베이스를 모바일 앱, 데스크톱 앱, 모바일 웹으로 동시에 배포할 수 있게 하는 정상적인 크로스플랫폼 개발 프레임워크다. 문제는 사기 조직이 이 생산성과 배포 편의성을 이용해 가짜 암호화폐 거래소, 도박 사이트, 브랜드 사칭 페이지, WhatsApp 피싱, 다국어 투자 사기 사이트를 대량으로 복제하고 있다는 점이다.

이번 사례는 피싱 인프라가 더 이상 개별 도메인과 임시 페이지의 묶음에 머물지 않는다는 신호다. 템플릿, 도메인 등록, 호스팅, 메신저 유도, 결제 흐름이 결합되면서 사기 사이트 생산이 서비스형 공급망에 가까워졌다. 방어자는 URL 하나를 차단하는 방식에서 벗어나 같은 템플릿과 운영 패턴이 재등장하는 구조를 추적해야 한다.

본론

프레임워크 악용 방식

Uni-App은 하나의 코드베이스를 여러 플랫폼으로 변환할 수 있기 때문에 정상 개발자에게는 개발 비용을 줄이는 장점이 있다. 사기 조직에도 같은 장점이 작동한다. 로그인 화면, 투자 대시보드, 입금 안내, 추천인 코드, 다국어 UI, 가짜 수익률 표시 같은 요소를 템플릿화하면 신규 도메인과 브랜드만 바꿔 짧은 시간 안에 새로운 사기 사이트를 만들 수 있다.

Infoblox가 추적한 인프라는 2022년 중반부터 관측됐고, 2024년 말 이후 급증한 것으로 분석됐다. 월별 신규 사이트 수가 최대 15,000개 수준까지 올라간 정황은 단순한 개별 피싱 캠페인이 아니라 산업화된 사기 공급망에 가깝다는 점을 보여준다. 운영자는 템플릿을 구매하거나 임대하고, 별도 도메인과 결제 유도 흐름을 붙여 지역 언어와 사회적 맥락에 맞춘 캠페인을 운영할 수 있다.

이 구조에서는 차단과 폐쇄의 비용 균형이 방어자에게 불리해진다. 특정 도메인을 차단해도 같은 템플릿이 다른 도메인으로 빠르게 재등장할 수 있고, 피해자는 검색 광고, 메신저, SNS, 지인 추천을 가장한 접근을 통해 새 사이트로 유입된다. 따라서 단일 URL 신고에만 의존하는 방식으로는 확산 속도를 따라가기 어렵다.

확인된 사기 유형

가장 두드러지는 유형은 가짜 투자 플랫폼이다. 공격자는 암호화폐 거래소나 고수익 투자 앱처럼 보이는 화면을 제공하고, 초기에는 소액 수익이 발생한 것처럼 표시해 신뢰를 쌓는다. 이후 더 큰 입금을 유도하거나 출금 단계에서 세금, 인증 수수료, 계정 해제 비용을 요구한다. 사용자가 실제 자금을 더 넣을수록 손실은 커지고, 운영자는 도메인을 버리고 다른 사이트로 이동한다.

Infoblox 보고서와 관련 보도에서 언급된 RainbowEx 사례는 이런 방식이 지역 사회 전체로 확산될 수 있음을 보여준다. 아르헨티나 San Pedro 지역에서는 가짜 암호화폐 플랫폼이 다수의 주민을 끌어들였고, 실제 상점 등록 서류와 현지 신뢰 요소를 동원해 피해자에게 합법 서비스처럼 보이게 했다.

미국에서 보도된 Lightning Shared Scooter Co. 사례와 호주, 뉴질랜드, 미국을 겨냥한 Yuechi Sharing Technology Ltd. 유형도 유사한 패턴을 보인다. 전동스쿠터 공유 사업처럼 실체가 있어 보이는 테마를 앞세우고, 투자자가 장비 운영 수익을 나눠 받는 것처럼 설명한다. 사기 사이트는 기업 등록 정보, 앱 화면, 수익 대시보드, 추천 프로그램을 조합해 신뢰를 높인다.

이 밖에도 가짜 도박 사이트, 브랜드 도용 페이지, WhatsApp 피싱, 다국어 자금 편취 사이트가 같은 생태계 안에서 발견됐다. 공격 대상은 특정 국가에 고정되지 않고, 언어와 결제 방식, 메신저 채널만 바꿔 여러 지역으로 확장된다.

사기 인프라의 운영 구조

이번 사례의 중요한 특징은 기술적 유사성과 운영 주체가 항상 1대1로 일치하지 않는다는 점이다. 같은 프레임워크와 템플릿을 사용하더라도 실제 운영자는 여러 그룹일 수 있다. Infoblox는 수십 명에서 수백 명 규모의 비연결 운영자가 관여했을 가능성을 제시하면서도, 일부 인프라에서는 중앙 집중식 소유자나 조정된 도메인 등록 변화의 흔적을 관찰했다.

이는 방어 관점에서 두 가지 의미가 있다. 첫째, 프레임워크 핑거프린트만으로 악성 여부를 단정하면 정상 Uni-App 기반 서비스까지 오탐할 수 있다. 둘째, 도메인 등록 패턴, 호스팅 이동, 페이지 구성, 자바스크립트 리소스, 브랜드 사칭 문구, 결제 유도 흐름을 함께 봐야 실제 사기 클러스터를 더 정확히 식별할 수 있다.

또 하나의 특징은 사기 조직이 합법적 흔적을 적극적으로 차용한다는 점이다. 실제 기업 등록 문서, 상점 주소, 앱처럼 보이는 설치 안내, 고객센터 채팅, 다국어 지원, 추천 보상 구조는 모두 피해자의 의심을 낮추는 장치다. 보안팀과 금융 리스크 담당자는 단순히 새로 등록된 낯선 도메인만 볼 것이 아니라, 투자, 수익, 출금, 추천, 메신저 이동 같은 행동 흐름을 함께 분석해야 한다.

보안팀이 봐야 할 탐지 포인트

조직 내부에서는 투자 관련 웹사이트 접속 기록, 메신저 기반 투자 권유 링크, 신규 등록 도메인 접근, URL 단축 서비스 경유 패턴을 우선 점검할 필요가 있다. 특히 임직원이 개인 자산 투자 목적으로 회사 단말이나 업무용 브라우저를 사용할 경우, 피싱, 자격증명 탈취, 악성 앱 설치 위험이 업무 환경으로 번질 수 있다.

기술적 탐지에서는 Uni-App 특유의 리소스 구조와 빌드 산출물 흔적을 참고할 수 있지만, 이것만으로 차단 규칙을 만드는 것은 위험하다. 정상 서비스와 악성 템플릿을 구분하려면 도메인 평판, 신규 등록 시점, 동일한 UI 텍스트, 가짜 투자 수익률 표시, 출금 수수료 요구, WhatsApp과 Telegram 등 외부 메신저 이동, 브랜드 사칭 키워드를 결합해야 한다.

DNS 보안 관점에서는 신규 등록 도메인과 빠르게 증가하는 2차 도메인 묶음을 클러스터링하고, 동일한 네임서버, 호스팅, 등록 패턴을 가진 도메인의 평판을 함께 평가하는 방식이 유효하다. 웹 프록시와 보안 게이트웨이는 고수익 보장, 초기 투자 보너스, 출금 인증 수수료처럼 사기 유도 문구가 포함된 페이지를 별도 정책으로 관찰할 수 있다.

사용자 교육도 기술 통제만큼 중요하다. 이번 유형은 취약점 악용보다 사회공학에 가깝고, 피해자는 보안 경고보다 지인의 추천이나 단기 수익 경험을 더 신뢰할 수 있다. 임직원에게는 투자 플랫폼의 사업자 등록 여부만으로 신뢰하지 말고, 출금 조건과 추가 입금 요구, 메신저 상담 유도, 과도한 추천 보상 구조를 위험 신호로 보도록 안내해야 한다.

기업 대응 방향

단기적으로는 조직의 DNS와 프록시 로그에서 최근 30일 내 투자, 암호화폐, 공유 경제 수익형 플랫폼 관련 신규 도메인 접속을 점검하는 것이 현실적이다. 이미 접속한 사용자가 있다면 자격증명 재사용 여부, 악성 앱 설치 여부, 업무 계정 입력 여부를 확인해야 한다. 사기 피해가 개인 자산 문제로 시작했더라도 업무 계정과 단말 보안으로 이어질 수 있기 때문이다.

보안 운영팀은 사기 인프라를 피싱 탐지의 하위 범주로만 다루지 말고, 독립적인 위협 인텔리전스 항목으로 관리해야 한다. 브랜드 사칭, 금융 사기, 메신저 유도, 신규 도메인 등록, 템플릿 기반 페이지 재사용은 서로 다른 부서가 나눠 보던 신호다. 이 신호를 하나의 케이스로 묶어야 대규모 캠페인의 재등장을 빠르게 포착할 수 있다.

장기적으로는 DNS 보안, 웹 프록시, EDR, 보안 교육, 금융 사기 신고 프로세스를 연결하는 운영 절차가 필요하다. 특히 해외 지사나 다국어 사용자가 많은 조직은 영어권 보도에 등장한 캠페인만 차단해서는 부족하다. 같은 템플릿이 한국어, 스페인어, 중국어, 영어 등 여러 언어로 변형될 수 있으므로 언어별 키워드와 지역별 메신저 사용 패턴을 반영해야 한다.

결론

DCloud Uni-App 악용 사례는 사이버 범죄가 취약점 개발보다 서비스형 생산 체계에 가까워지고 있음을 보여준다. 공격자는 합법 개발 도구, 재사용 가능한 템플릿, 도메인 자동화, 사회공학 시나리오를 결합해 수십만 개 사이트 규모의 사기 인프라를 운영한다.

방어자는 프레임워크 자체를 악성으로 몰아가는 대신, 템플릿 재사용 흔적과 도메인 생태계, 투자 사기 행동 흐름을 함께 분석해야 한다. URL 하나를 차단하는 대응을 넘어 같은 구조의 사이트가 다시 나타나는 속도를 줄이는 것이 핵심이다. 기업 보안팀은 개인 투자 사기와 업무 보안이 분리된 문제가 아니라는 점을 전제로, DNS, 웹, 계정, 사용자 교육을 함께 묶은 대응 체계를 준비해야 한다.

참고자료

• Infoblox: https://www.infoblox.com/blog/threat-intelligence/from-san-pedro-to-salinas-how-a-chinese-framework-dcloud-uni-app-powers-a-global-scam-economy/
• SecurityWeek: https://www.securityweek.com/chinese-framework-powers-200000-scam-sites/

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.