무심코 누른 '견적서' 메일…포털 계정 털렸다

최근 발견된 업무메일 위장 피싱 메일 사례. /사진제공=안랩

#회사원 A씨는 최근 '견적의뢰서'라는 메일을 받았다. 당연히 일상적으로 받는 업무메일이라고 생각한 A씨는 무심코 첨부된 엑셀 파일을 열었다. 파일명도 '견적의뢰서'였고 '.xlsx.htm'이라는 확장자가 붙어 확장자 '.xlsx'가 붙은 일반적인 엑셀 파일인 줄 알았다. 이를 열자 국내 포털사이트 로그인 화면이 떴다. A씨는 여기에 ID와 비밀번호를 입력하고 로그인했다. 그렇게 A씨의 포털사이트 계정이 피싱범들에게 갈취됐다.


국내 보안기업인 안랩은 최근 기업의 하반기 사업을 앞두고 이처럼 견적 의뢰서나 발주서 같은 업무 관련 내용으로 위장한 피싱 메일 유포 사례를 잇따라 발견했다며 14일 사용자들에게 주의를 당부했다.

안랩에 따르면 '견적의뢰서'로 위장한 피싱 메일은 특정 기업을 사칭한 'OOO(특정 기업명) 견적의뢰서'라는 제목이 달려 있었다. 본문에도 "OOO회사 XXX 사원이다. 견적서 부탁드린다"고 적혀 있었다.

이 메일에는 엑셀 문서로 위장한 인터넷 문서파일(확장자 '.htm')이 첨부돼 있어 사용자가 무심코 이 파일을 실행하게 했다.

이 파일을 열면 포털사이트 로그인 화면으로 위장한 피싱 페이지로 연결된다.

최근 발견된 업무메일 위장 피싱 메일 사례. /사진제공=안랩

안랩은 또 다른 사례로 영문 피싱 메일도 발견됐다고 밝혔다. 러시아어로 된 발신자명을 사용한 공격자가 'Purchase-Order'(주문서)라는 제목으로 보낸 메일에는 "이미 안내드린 바와 같이 주문 요건에 대한 확인이 필요하다"는 내용이 적혀 있어 첨부파일을 열게 했다.


첨부파일은 'Purchase order.htm.rar'라는 파일명의 압축 파일이었다. 이 파일을 압축 해제하고 열면 역시 가짜 포털사이트 로그인 화면이 나타난다.

안랩은 두 사례에서 유도된 포털사이트 위장 피싱사이트에 계정 정보를 입력하고 로그인하면 로그인 정보가 즉시 피싱 공격자에게 넘어간다고 설명했다. 이 위장 페이지는 실제 포털사이트 로그인 페이지와 유사하게 제작된 데다 정보를 전송하면 실제 포털 로그인 페이지에 연결돼 사용자가 피싱을 의심하기 힘들다는 설명이다.

업무메일 위장 피싱메일의 첨부파일을 열었을 때 연결되는 국내 포털사이트 로그인 페이지의 위장 페이지 화면 /사진제공=안랩

안랩은 피해를 예방하기 위해서는 메일 발신자 주소를 꼼꼼히 확인하고 출처를 알 수 없는 메일의 첨부파일이나 URL 주소 실행을 하지 말라고 당부했다.

또 사이트별로 다른 ID와 비밀번호를 사용하고 V3 등 백신 프로그램을 최신 버전으로 유지하면서 피싱사이트 차단 기능을 활성화하라고 했다.

안랩은 아울러 OS(운영체제)와 인터넷 브라우저, 응용프로그램, 오피스 소프트웨어 등 프로그램을 최신 버전으로 유지하고 보안 패치를 적용하는 등 기본 보안수칙을 필수적으로 지키라고도 조언했다.

안랩은 현재 V3 제품군에서 이같은 피싱 URL 접속시 사이트 접근을 차단 기능을 제공하고 있다고도 설명했다.

안랩 분석팀 이가영 연구원은 "주문서나 견적의뢰서로 위장한 공격수법은 피싱 뿐만 아니라 랜섬웨어 등 악성코드 유포에도 자주 사용되는 방식"이라며 "잠깐의 실수로 조직 전체에 큰 피해를 입힐 수도 있기 때문에 이메일 발신자를 잘 확인하고 출처가 불분명한 메일의 첨부파일 실행을 자제하는 등 기본 보안수칙 준수가 필요하다"고 말했다.