안랩(대표 강석균 www.ahnlab.com)은 최근 견적의뢰서, 발주서 등 업무 관련 내용으로 위장한 피싱메일 유포 사례를 잇따라 발견해 사용자의 주의를 당부했다.

먼저 ‘견적의뢰서’ 위장 메일의 경우 공격자는 특정 기업을 사칭해 ‘OOO(특정 기업명) 견적의뢰서’라는 제목의 메일을 보냈다.

▲ ‘견적의뢰서’ 위장 피싱메일.(출처 : 안랩 제공)

본문에는 ‘견적서를 부탁한다’는 내용을 적고, 엑셀문서로 위장한 ‘견적 의뢰서.xlsx.htm’이라는 제목의 인터넷 문서 파일(.htm)을 첨부했다.

만약 사용자가 무심코 이 파일을 실행하면 포털 사이트 로그인 화면으로 위장한 피싱 페이지로 연결된다. 

발주서를 위장한 영문 피싱 메일도 발견됐다.

▲ ‘발주서’ 위장 영문 피싱메일.(출처 : 안랩 제공)

러시아어로 된 발신자명을 사용한 공격자는 ‘Purchase-Order. [ Photos And Drawings]’라는 제목의 메일을 발송했다.

메일에는 ‘Purchase order.htm.rar’라는 파일명의 압축파일을 첨부했고, 본문에는 ‘이미 안내드린 바와 같이 주문 요건에 대한 확인이 필요하다’는 내용을 적어 첨부파일 실행을 유도했다.

사용자가 첨부파일의 압축해제 후 ‘Purchase order.htm.HTM’라는 파일을 실행하면 영문으로 된 가짜 포털사이트 로그인 화면이 나타난다.

두 사례 모두 특정 국내 포털 사이트의 로그인 화면으로 위장한 피싱사이트로 사용자를 유도한다. 

▲ 피싱 사이트(오른쪽)와 정상 로그인 페이지(왼쪽).(출처 : 안랩 제공)

사용자가 자신의 계정정보를 입력하고 ‘로그인’ 버튼을 누르면 해당 정보는 즉시 공격자에게 전송된다.

이 피싱사이트는 정상 로그인 페이지와 매우 유사하게 제작됐고, 전송 후에는 실제 포털 로그인 페이지로 연결되기 때문에 사용자는 피싱을 의심하기 힘들다.

피해를 예방하기 위해서는 ▲메일 발신자 주소 꼼꼼히 확인 ▲출처가 불분명한 메일의 첨부파일 및 URL 실행 자제 ▲사이트 별로 다른 ID 및 비밀번호 사용 ▲V3 등 백신 프로그램 최신버전 유지 및 피싱 사이트 차단 기능 활성화 ▲OS 및 인터넷 브라우저, 응용프로그램, 오피스 SW 등 프로그램의 최신 버전 유지 및 보안 패치 적용 등 기본 보안수칙 실행이 필수다.

현재 V3 제품군은 해당 피싱 URL 접속 시 사이트 접근을 차단하고 있다.

이가영 안랩 분석팀 연구원은 “주문서나 견적의뢰서로 위장한 공격수법은 피싱 뿐만 아니라 랜섬웨어 등 악성코드 유포에도 자주 사용되는 방식”이라며 “잠깐의 실수로 조직 전체에 큰 피해를 입힐 수도 있기 때문에 이메일 발신자를 잘 확인하고 출처가 불분명한 메일의 첨부파일 실행을 자제하는 등 기본 보안수칙 준수가 필요하다”고 말했다.

<김동기 기자>kdk@bikorea.net