무심코 누른 e메일 첨부파일 … 눈뜨고 당한다

무심코 누른 e메일 첨부파일 … 눈뜨고 당한다

지난 7월 국내 통일연구기관 직원들은 ‘상임위원 워크숍 개최계획과 남북통일위원회 명단.zip’이라는 파일이 첨부된 e메일을 받았다. 발신자는 자신을 통일부 직원으로 소개하고, 전화번호까지 남겼다. 그러나 이는 정상적인 파일로 위장한 악성코드였다. 신뢰할 만한 곳에서 보낸 것처럼 속이고, 관심이 가는 제목을 붙였지만 이를 실행하면 수신인의 컴퓨터를 들여다보는 악성코드가 설치된다.

특정인만 겨냥 '스피어피싱' 확산
지인·회사 ID 도용 기업인 등 노려
사기 계좌 만들어 무역 대금 빼내
스마트폰 악성 앱 깔아 소액결제도
불분명한 인터넷 주소 클릭 말아야

▷여기를 누르시면 크게 보실 수 있습니다

　15일 잉카인터넷·안랩 등 정보기술(IT) 보안업계에 따르면 특정인·특정집단을 겨냥해 기밀정보를 빼앗아가는 스피어피싱(Spear Phishing) 피해가 최근 확산되고 있다. ‘작살(spear)’처럼 특정 목표를 겨냥한다는 점에서 불특정 다수를 상대로 무차별적으로 뿌려지는 일반 피싱 공격과는 차이가 있다. 아는 사람의 이름이나 회사명, ID를 도용하고 악성코드를 일반 문서·압축파일에 숨기기 때문에 전문가들도 당하기 십상이다.

　최근 탈북자단체 겨레얼통일연대 장세율 대표를 노린 스피어피싱이 대표적인 사례다. 장 대표는 북한 해커양성소로 유명한 미림대학 출신의 보안 전문가다. 경찰청에 따르면 장 대표는 올해 세 차례에 걸쳐 안전행정부와 유명 교수 등의 명의를 사칭한 e메일을 받았다. 그는 의심하지 않고 첨부파일을 열어봤고, 파일 속에 숨어 있던 악성코드가 컴퓨터에 자동으로 설치됐다. 이후 탈북자 및 북한 관련 자료 1.4GB가 해외 서버로 빠져나갔다. 스피어피싱은 주로 정보기관·군·연구소 등을 노린 스파이 활동에 이용되는 게 일반적이다. 하지만 최근에는 금전적인 이익을 노리고 기업이나 일반인을 타깃으로 한 공격이 빈번하게 일어나고 있다는 게 보안업계의 설명이다.

　금융감독원은 이달 초 스피어피싱을 활용한 ‘무역대금 사기’ 주의보를 발령했다. 사기범은 수출업자나 수입업자가 사용하는 e메일을 스피어피싱을 통해 해킹해 거래 내용 등을 파악한다. 이후 사기계좌로 송금을 요청하는 가짜 e메일을 보내고 이를 가로챈다. 장홍재 금감원 서민금융사기대응팀장은 “꾸준히 e메일로 거래를 하던 기업·사람을 가장하기 때문에 사기로 인지하기가 쉽지 않다”며 “갑자기 거래계좌가 바뀌면 전화나 팩스로 진위를 확인해야 한다”고 조언했다.

　일반인의 신상정보를 스피어피싱 등을 통해 수집한 뒤 범죄에 악용하기도 한다. 이달 초 서울 혜화경찰서에 붙잡힌 조직은 수신자의 실명을 담아 “○○○ 오랜만이야. 잘 지냈어?”라며 별도의 링크가 담긴 문자 메시지를 보냈다. 자기 이름이 나와 얼떨결에 인터넷 주소를 클릭하면 스마트폰에 악성 애플리케이션(앱)이 강제로 설치되고, 가짜 인터넷 상점에서 소액결제로 물건을 사게 만들었다. 잉카인터넷 문종현 대응팀장은 “일반인은 발신자가 불분명해도 e메일 등을 확인하는 경우가 잦기 때문에 스피어피싱 공격에 더 취약하다”고 설명했다.

　국내 금융권과 주요 방송사 전산망을 마비시켰던 3·20사이버테러 같은 지능형 지속해킹(APT)의 매개체로 활용하기 위한 목적도 있다. 안랩에 따르면 지금까지 밝혀진 APT 공격의 90% 정도가 스피어피싱으로 유발되거나 공격에 사용된 것으로 나타났다.

　스피어피싱은 맞춤형으로 소량 제작되기 때문에 이미 알려진 악성코드에 대응하는 백신은 물론, 잘 짜인 보안 솔루션을 통해서도 걸러내기가 쉽지 않다. 이에 전문가들은 악성코드에 감염되지 않도록 조심하는 것이 최선의 방법이라고 강조한다.

출처가 불분명한 파일이나 인터넷 주소(URL)는 실행하지 말고, 백신의 보안패치는 수시로 업데이트하는 게 좋다. 문 대응팀장은 “컴퓨터·스마트폰에 공인인증서, 보안카드 사진, 비밀번호 등을 저장하는 것은 위험하다”며 “기업은 보안시스템 구축은 물론 정기적인 직원 보안교육 등에도 신경을 써야 한다”고 조언했다.

손해용 기자

피싱(phishing)

불특정 다수를 대상으로 전화나 e메일, 가짜 웹사이트 등을 이용해 상대방을 속여 신용카드·은행계좌·비밀번호 같은 개인정보를 빼내는 금융사기를 뜻한다. 최근 피싱의 대표적인 사례는 파밍(pharming)이다. 사용자 컴퓨터에 악성코드를 심어 정상적인 금융회사 홈페이지로 접속해도 가짜 사이트로 접속하게 만들어 금융정보 등을 빼간다.

[출처: 중앙일보] 무심코 누른 e메일 첨부파일 … 눈뜨고 당한다

잠깐!~~마음에 드셨다면  댓글도 달아 주시면 힘이 됩니다!!!

"세무"는 세무사에게 "회계"는 회계사에게 "부동산등기"는 법무사에게 "진료"는 의사에게  "약"은 약사에게 "특허"는 변리사에게..전문분야는 각  전문가에게 상담을 하세요 "수익성(재테크) 부동산 매매 및 임대.임차"는 "김정현"공인중개사에게....

공인중개사 / 김정현  부동산 재테크 이야기   네이버  Blog  http://myhyun2004.blog.me