안랩은 이메일 송수신이 많아지는 연말연시를 맞아 최근 1개월 동안 수집한 피싱 이메일을 분석한 위협 트렌드를 28일 발표했다.
피싱 이메일 공격자들이 가장 많이 활용한 키워드는 '회신'(Re)으로 전체의 28.1%를 차지했다. 공격자들은 주로 이메일 제목 말머리에 'Re'를 붙였다.
그다음으로는 주문을 뜻하는 'order'가 15.6%, 지불을 의미하는 'payment'가 11.8%로 뒤를 이었다.
‘회신’은 수신자가 피싱 메일을 이전에 주고받은 대화의 연장으로 착각할 수 있기 때문에 공격자들이 자주 사용하는 것으로 추정된다. ‘주문’과 ‘지불’은 국내·외를 가리지 않고 온라인 기반 금전거래가 많아지는 최근의 트렌드를 반영해 사용자의 주의를 끌기 위한 시도로 해석된다.
피싱 이메일 공격을 통해 정보를 탈취하는 '인포스틸러' 악성코드 감염을 시도한 위협이 전체의 33.3%를 차지했다. 이어 첨부파일에 악성 스크립트를 포함해 정상 페이지와 구분이 어려운 가짜 로그인 페이지를 띄우는 '가짜 페이지' 노출 유형이 23.6%, 첨부파일 실행 등으로 PC 감염 후 다른 악성코드를 추가로 내려받는 '추가 악성코드 다운로드' 유형이 17.1%로 3위였다.
‘인포스틸러’는 사용자가 웹 브라우저에 저장한 포털, 회사 시스템 접속 등 계정 정보나 메일, 가상자산 지갑, 파일 등에 저장한 사용자 정보를 광범위하게 탈취한다. 직접적인 금전 피해를 불러올 수 있어 공격자들이 자주 사용하고 있다는 설명이다. 공격자는 인포스틸러나 가짜 페이지 공격으로 탈취한 계정 정보를 활용해 2차 공격을 진행할 수 있다. 사용자를 속여 다운로더 악성코드를 감염시킨 후 랜섬웨어 등 다양한 악성코드를 추가 설치할 수도 있다.
공격자들이 사용하는 첨부파일 종류로는 '.zip', '.rar', '.gz' 등 압축 파일 유형이 전체의 35.3%로 가장 많았다. 다음으로는 '.img', '.iso' 등 확장자를 가진 ‘디스크 이미지’ 파일 유형이 26.2%로 뒤를 이었다. '.html', '.shtml', '.htm', '.vbs' 등 확장자를 지닌 ‘스크립트’ 파일은 24.3%로 3위로 집계됐다.
특히 최근 공격자는 기업들이 실행 파일(.exe)을 첨부한 메일을 자동으로 차단하는 스팸 메일 필터링 시스템을 주로 사용하고 있는 것을 파악하고, 악성 실행 파일을 은닉하기 위해 압축 파일 형식이나 디스크 이미지 파일 형식을 주로 사용하고 있다. 공격자들은 스크립트 파일을 ‘가짜 로그인 페이지’를 노출하기 위해 사용하고 있다.
피싱 메일로 인한 피해를 예방하기 위해선 이메일 발신자를 꼼꼼하게 확인하고, 의심스러운 메일 내 첨부파일이나 URL을 실행하지 않아야 한다. 웹브라우저에 비밀번호 저장하는 것을 자제하고 비밀번호는 주기적으로 변경해야 한다. 백신 프로그램을 최신 버전으로 유지하고 피싱 사이트 차단 기능도 활성화할 필요가 있다. 사용 중인 프로그램의 최신버전을 유지하고 보안 패치를 적용하는 등 기본 보안 수칙도 준수해야 한다는 설명이다.
김건우 안랩 시큐리티대응센터(ASEC)장은 “피싱 메일을 활용한 악성코드 유포나 정보 탈취 시도는 공격자들이 오랫동안 애용하고 있는 방식”이라며 “최근에는 그 수법이 더욱 고도화되고 있기 때문에 출처가 불분명한 메일 속 URL과 첨부파일 실행을 하지 않는 등 보안 수칙을 생활화해야 한다”고 강조했다.
이승우 기자 leeswoo@hankyung.com
