[서포터즈] 스피어피싱, 당신도 그 타겟이 될 수 있다

[키뉴스 윤희탁 서포터즈 기자] 지난 2017년 3월, '해킹 피해 예방수칙'이라는 제목의 이메일이 탈북민 및 북한 인권단체 관계자들에게 유포됐다.

이번 사건은 해커가 '경찰청 홍보팀'을 사칭해 악성코드가 담긴 이메일 유포한 정황이라 문제는 더 심각해졌다. 이메일 발신인을 경찰청 홍보팀으로 설정해 피해자들이 의심하지 않고 이메일을 열어보도록 속인 것.

지난 4일 2019년 북한 신년사 평가 내용을 담고 있는 APT(지능형 지속위협) 유형의 악성코드가 발견되기도 했다.

그럴듯한 제목과 내용 속에 악성코드가 있다

최근 국내에서 유포되는 악성 이메일은 그럴듯한 제목과 내용으로 작성된다. 몇 년 전까지만 해도 제목과 내용이 영어라서 쉽게 알아볼 수 있었지만, 공격이 한층 진화한 것이다. 낯익은 발신자 주소와 사회적인 이슈, 개인 생활이나 업무와 관련된 제목과 내용의 악성 이메일이 유포되고 있다.

이러한 범행 수법을 통틀어 '스피어피싱(Spear Phishing)'으로 칭한다.

스피어피싱이란 특정한 개인들이나 회사를 대상으로 한 피싱 공격을 뜻한다. 사전에 해커가 공격 성공률을 높이기 위해 공격 대상에 대한 정보를 수집하고 이를 분석해 피싱 공격을 수행한다. 그 결과, 피해자는 피싱 공격을 당할 수밖에 없다.

스피어피싱 수법이 날로 교묘해지고 있다. (사진=픽사베이)

게다가 개인정보 유출로 인해 신원이 확인된 이메일로 악성코드를 담아 공격하는 경우도 있다.

유연정(24, 가명)씨는 "낯익은 발신자의 메일을 열람한 후, 개인 컴퓨터에 문제가 생겼다"고 밝혔다. 익숙한 이메일에 악성코드가 첨부돼 온 것이다.

이처럼 피해자의 친구, 가족, 단체 등 피해자가 신뢰할 수 있는 인물의 이메일 주소를 도용해 개인 정보, 중요 문서 등을 빼내는 스피어피싱, 주로 유명인사나 공인들이 피해를 받는 경우가 많다. 더 나아가, 피싱 이메일을 열었을 경우에는 피해자의 PC에 악성코드가 설치돼 아예 폐기해야 하기도 한다.

스피어피싱은 불특정 다수의 개인 정보를 훔치는 일반적인 피싱과는 다르다. 국가기관이나 주요 기업의 특정 인물을 설정해 기밀정보를 탈취한다. 그 결과, 특정 인물만 피해를 받는 것이 아닌 조직 전체가 피해를 받을 수 있다.

매년 점점 교묘하게 스피어피싱 기법이 진화하고 있다. 사용자의 보안 수준을 넘어선 공격이 맞서, 이메일 보안 자체에 대한 새로운 패러다임이 요구되는 시점이다.

<저작권자 Copyright ⓒ 온라인 디지털 경제미디어 키뉴스(KINEWS) 무단전재 및 재배포 금지>