회사 대표 이름으로 날아온 메일, 첨부된 견적서 파일 하나 열었다가 계좌 정보가 통째로 빠져나가는 사고. 이제 남 이야기가 아니다. 예전 피싱 메일은 티가 났다. 문법도 어색하고 번역체 냄새가 났다. 그런데 요즘 스피어피싱 메일은 다르다. 실제 동료가 보낸 것처럼 자연스럽다. AI가 문장을 매끈하게 다듬어주는 탓이다.
스피어피싱, 일반 피싱과 뭐가 다른가
일반 피싱은 수백만 명에게 똑같은 메일을 뿌리는 방식이다. 스팸 필터에 걸리기 십상이다. 스피어피싱은 다르다. 특정 인물, 특정 회사 하나를 콕 집어 노린다. 공격자는 링크드인, 회사 홈페이지, SNS 게시물을 뒤져 정보를 긁어모은다. 그렇게 모은 조각들로 실제 업무 맥락에 딱 맞는 메일을 짠다. 거래처 이름, 진행 중인 프로젝트명, 심지어 상사의 말투까지 흉내 낸 사례도 있다.
이 정도로 정교해지면 기존 스팸 필터나 키워드 차단은 무용지물이다. 최근 보안 스타트업들이 사람처럼 메일을 읽는 AI 에이전트를 내놓는 이유도 여기 있다. 문맥과 어조, 발신 패턴까지 통째로 뜯어본다.
AI가 쓴 피싱 메일, 사람은 어떻게 잡아낼까
가장 먼저 볼 건 발신자 표시 이름과 실제 이메일 주소가 일치하는지다. “김대표”라는 이름 뒤에 숨은 실제 주소가 회사 도메인과 전혀 딴판인 경우가 적지 않다. 메일 클라이언트에서 발신자 이름을 클릭하거나 마우스를 올려보면 실제 주소가 뜬다.
- 회신 주소(Reply-To)가 표시된 발신자와 다른 경우
- 도메인 철자가 미묘하게 다른 경우 (예: naver.com → naverr.com, m 대신 rn 사용)
- 평소와 다른 시간대(새벽, 주말)에 급하게 처리해달라는 요청
- 결제·송금·비밀번호 변경 등 되돌리기 힘든 행동을 재촉하는 문구
AI가 쓴 메일은 문법은 매끈한데 업무 맥락이 미묘하게 어긋나는 경우가 있다. 담당자가 이미 알고 있을 세부사항을 빠뜨리거나, 최근 대화와 안 어울리는 화제를 불쑥 꺼내는 식이다. 평소 주고받던 메일 스타일과 견줘보는 습관, 생각보다 효과가 크다.
이메일 헤더 까보면 답 나온다
의심스러운 메일은 원본 헤더를 열어보면 답이 나온다. 지메일 기준으로는 메일 우측 상단 점 세 개 메뉴에서 원본 보기를 누르면 된다. 확인할 항목은 세 가지다.
- SPF: 발신 서버가 해당 도메인이 등록한 서버인지 확인
- DKIM: 메일 내용이 중간에 변조되지 않았는지 확인하는 서명
- DMARC: SPF와 DKIM 결과를 종합해 인증 여부를 판단
셋 중 하나라도 “fail”이나 “softfail”로 뜬다면 발신지부터 의심해야 한다. 다만 이 과정, 솔직히 매번 하기엔 번거롭다. 그래서 헤더 분석과 문맥 분석을 자동으로 처리해주는 AI 기반 이메일 보안 서비스를 들여놓는 회사가 늘고 있다.
링크·첨부파일, 열기 전에 한 번 더
메일 본문이 멀쩡해 보여도 링크와 첨부파일은 항상 따로 검증하는 습관을 들이는 게 안전하다.
- 링크에 마우스를 올려 실제 주소를 미리보기로 확인한다
- 단축 URL은 미리보기 서비스로 원래 주소를 확인한 뒤 클릭한다
- 압축파일(zip), 매크로가 포함된 문서(docm, xlsm)는 실행 전 반드시 백신 검사부터 한다
- PDF나 문서 파일도 뷰어에서 바로 열지 말고 검사 후 연다
- 로그인 페이지로 연결되면 주소창의 도메인부터 확인한다
매크로 포함 문서는 열자마자 백그라운드에서 악성코드를 내려받는 경우가 많다. 목록 중에서도 위험도가 제일 높다.
회사 차원 대응은 결국 AI 탐지 도구
개인이 아무리 조심해도 매일 대량의 메일을 처리하는 조직에서는 실수가 나오게 돼 있다. 그래서 규칙 기반 필터 대신, 메일 하나하나를 사람처럼 읽고 판단하는 AI 에이전트 방식 보안 솔루션이 늘어나는 추세다. 발신자의 평소 문체, 결제 요청 패턴, 조직 내 보고 체계까지 학습해서 “이 담당자가 이런 식으로 송금을 요청할 리 없다”는 이상 징후를 잡아내는 방식이다.
구글 출신 보안 엔지니어들이 차린 스타트업들이 이런 접근으로 대규모 투자를 유치하는 사례가 이어지고 있다. 기존 체크리스트형 필터가 놓치는 미세한 이상 신호까지 잡아낸다는 점, 투자자들 눈에는 이게 매력 포인트다. 중소기업이라면 구글 워크스페이스나 마이크로소프트 365에 기본 내장된 고급 위협 방지 기능부터 켜두는 게 출발점이다.
이미 클릭했다면, 지금 해야 할 일
링크를 누르거나 첨부파일을 열어버렸다면? 당황하지 말고 순서대로 움직이는 게 낫다.
- 기기를 즉시 네트워크에서 분리한다 (와이파이 끄기, 랜선 뽑기)
- 같은 비밀번호를 쓰는 다른 계정이 있다면 전부 변경한다
- 회사 계정이라면 IT 보안팀에 즉시 신고한다 (숨기지 않는 것이 핵심)
- 은행 계좌나 카드 정보가 노출됐다면 해당 기관에 바로 연락한다
- 백신 프로그램으로 전체 검사를 돌린다
여기서 시간을 끌수록 피해가 커진다. 실수를 숨기려다 대응이 늦어져 피해가 눈덩이처럼 불어나는 경우, 실무에서 심심찮게 본다. 개인적으로는 초기 대응 속도가 피해 규모를 가르는 결정적 변수라고 본다.
핵심만 3줄 요약
발신자 주소와 도메인 철자부터 확인한다. 급하게 재촉하는 메일일수록 한 박자 쉬어간다. 링크와 첨부파일은 클릭 전에 반드시 따로 검증한다. 조직 단위라면 AI 기반 이상 탐지 솔루션 도입을 검토할 시점이다.
출처: TechCrunch