가짜 암호화폐 컨퍼런스 초대장. 링크는 구글 문서. 받은 사람은 다름 아닌 보안 전문가들이었다. 테크크런치 보도를 보면, 암호화폐 전문 매체 직원을 사칭한 해커가 이 두 가지 조합으로 여러 보안 연구자를 노렸다고 한다. 피싱 메일을 매일 들여다보는 게 본업인 사람들조차 걸려들 뻔했다는 대목에서 좀 섬뜩했다. 보안 지식이 많다고 피싱에서 자유로운 건 아니라는 얘기다. 그래서 오늘은 초대장이나 협업 문서로 위장한 피싱 메일, 어떻게 구별하고 대처해야 하는지 하나씩 짚어본다.
보안 전문가도 왜 방심할까
피싱이 먹히는 건 기술보다 심리 문제인 경우가 훨씬 많다. 잘 알려진 매체나 인물 이름을 빌려 신뢰를 얻고, 컨퍼런스 초청이나 협업 제안 같은 그럴듯한 명분을 붙이면 방어벽이 스르륵 내려간다. 보안 전문가라고 다를 게 없다. 하루에 수백 통씩 메일을 처리하다 보면 어느 순간 판단력이 흐려지는 타이밍이 온다. 공격자는 바로 그 틈을 정확히 노린다.
가짜 초대장이 유독 잘 먹히는 이유
학회나 컨퍼런스 초대장은 받는 순간부터 기분이 좋아진다. 커리어에 도움 되는 제안처럼 느껴지니까. “발표자로 모시고 싶다”, “패널로 참여해달라” 같은 문구는 은근히 우쭐하게 만들고, 마감일까지 붙어 있으면 사람을 서두르게 만든다. 여기에 업계에서 실제로 활동하는 매체나 단체 이름까지 빌리면 의심할 이유가 확 줄어든다. 초대장 하나로 기분이 좋아지고, 그 감정이 판단을 무디게 한다. 딱 이 순서다.
구글 문서 링크, 뭐가 위험한가
구글 독스나 구글 드라이브 링크는 회사 이메일 보안 필터를 어이없을 만큼 잘 통과한다. 도메인이 google.com이니 스팸 필터 입장에서는 그냥 정상 트래픽이다. 진짜 문제는 그 다음부터다. 문서 안에 악성 링크나 매크로가 심어져 있거나, 문서를 열람하려면 확장 프로그램 설치나 권한 허용 같은 추가 동작을 요구하는 식으로 실제 악성코드 설치까지 유도한다. 첨부파일 대신 링크를 쓰는 이유도 비슷하다. 첨부파일은 백신이 즉시 검사하지만, 링크는 클릭한 다음에야 진짜 목적지가 드러난다. 이 타이밍 차이, 공격자들이 제일 좋아하는 틈이다.
피싱 메일 구별 체크리스트
메일 한 통 받았을 때 아래 다섯 가지만 확인해도 상당수는 걸러진다. 개인적으로는 링크 미리보기 습관 하나만 들여도 절반은 잡아낸다고 본다.
- 발신자 도메인: 회사명은 맞는데 도메인 철자가 미묘하게 다르진 않은지 확인한다.
- 링크 미리보기: 클릭 전에 마우스를 올려서 실제 주소가 표시된 텍스트와 일치하는지 본다.
- 긴급성 강조: “24시간 내 회신”, “오늘까지 확정” 같은 문구는 판단을 흐리려는 장치일 가능성이 높다.
- 권한 요청: 문서 열람하는데 확장 프로그램 설치나 매크로 실행을 요구하면 일단 멈춘다.
- 연락 경로 이중 확인: 메일에 적힌 연락처 말고, 공식 홈페이지에서 찾은 번호나 메일로 따로 확인한다.
이미 눌러버렸다면
클릭했다고 바로 끝난 건 아니다. 순서대로만 처리하면 피해는 줄어든다.
- 네트워크 연결부터 끊는다. 와이파이를 끄거나 랜선을 뽑아 추가 통신을 막는다.
- 같은 기기에서 로그인했던 계정, 이메일과 클라우드 저장소 비밀번호를 다른 기기에서 바로 바꾼다.
- 2단계 인증을 안 켜놨다면 이번 기회에 설정한다.
- 회사 소속이면 IT 보안팀에 즉시 신고한다. 혼자 해결하려다 골든타임 놓치는 경우, 의외로 많다.
회사 차원에서는 뭘 준비해야 하나
개인의 주의만으로는 한계가 있다. 조직 단위에서는 시스템으로 막아야 한다.
- 피싱 모의훈련: 분기마다 가짜 피싱 메일을 보내 직원들 대응을 점검한다.
- 제로트러스트 정책: 사내 시스템 접근할 때마다 인증을 요구해 계정 탈취 피해를 최소화한다.
- 격리 브라우저 도입: 외부 링크를 클릭해도 실제 기기가 아닌 가상 환경에서 열리게 한다.
- 신고 문화 정착: 실수로 링크를 눌러도 질책보다 빠른 신고를 우선하는 분위기를 만든다.
개인적으로 마지막 항목이 제일 중요하다고 본다. 실수를 숨기다가 대응이 늦어지는 경우를 꽤 봤다. 신고했을 때 안 혼나는 문화, 그게 있어야 초기에 잡는다.
이것도 궁금하죠?
Q. 회사 메일이 아니라 개인 메일로 와도 위험한가요?
개인 메일도 똑같이 위험하다. 오히려 회사 보안 시스템의 보호를 못 받아서 더 취약한 경우가 많다.
Q. 구글 문서 자체도 악성코드에 감염되나요?
문서 파일 자체보다는 안에 삽입된 링크나 스크립트가 문제다. 정상적인 문서라도 공유 설정이 풀리면 악성 콘텐츠 삽입 통로로 악용될 여지가 있다.
출처: TechCrunch
