안랩(대표 강석균)이 최근 연말연시 시즌을 노려 유명 기업 및 기관을 사칭해 피싱 메일을 배포하고, 가짜 사이트 접속을 유도한 공격 사례를 다수 확인하고 사용자 주의를 당부했다.

이번 사례에서 공격자는 유명 항공사·기관·대형 병원 등을 사칭해 화물 배송이나 공과금 납부, 건강 지원금 신청 등 연말연시에 자주 발생할 수 있는 내용으로 피싱 메일을 유포했다. 메일에는 피싱 사이트로 연결되는 악성 첨부파일 및 URL을 포함해 피해자의 계정 탈취를 시도했다. 피싱 메일의 문장이 자연스럽고, 이미지 속에 악성 링크를 다중으로 숨기는 등 고도화된 수법을 사용하고 있어 사용자의 각별한 주의가 필요하다.

안랩은 이번 사례를 포함해 다양한 피싱 공격에 대한 보안 권고문, 공격 동향, IoC(침해지표) 등 전문적인 최신 위협 정보를 자사의 차세대 위협 인텔리전스 플랫폼 ‘안랩 TIP’로 제공 중이다. 또한 안랩 V3 제품군과 샌드박스 기반 지능형 위협(APT) 대응 솔루션 ‘안랩 MDS’는 이 같은 피싱 사이트로 연결되는 URL에 대한 탐지 및 실행 차단 기능을 지원한다.

유명 항공사 배송 사칭 사례

먼저 물류 배송량이 증가하는 연말연시를 틈타 유명 항공사를 사칭한 피싱 공격 사례에서 공격자는 ‘화물 도착 안내, 주문 배송 일정’이라는 제목으로 불특정 다수 기업·기관 사용자에게 피싱 메일을 발송했다. 메일 본문에는 ‘물품 수령 가능 여부를 확인해 달라’는 내용을 적어 사용자가 배송 정보 조회를 위해 첨부파일(.html)을 클릭하도록 유도했다.

사용자가 첨부파일을 실행하면 항공사의 웹사이트를 모방한 가짜 로그인 페이지가 나타난다. 사용자가 자신의 계정 정보를 입력하고 ‘명세서 확인하기’ 버튼을 누르면, 해당 정보는 공격자의 C2 서버로 즉시 전송된다. 이렇게 탈취된 계정 정보는 추가적인 계정 해킹, 사칭 등 또 다른 범죄에 악용될 수 있다.
※ C2 서버: Command & Control 서버로, 공격자가 원격에서 정보 탈취 및 악성코드 유포 등 공격을 수행하기 위해 사용됨

공과금 납부 사칭 사례

겨울철에 관심이 높아지는 ‘전기세’ 키워드를 사용해 피싱 사이트를 유포하는 사례도 확인됐다. 공격자는 ‘11월 전기세 청구서’라는 제목으로 기업 및 기관 사용자에게 피싱 메일을 발송했다.

이 메일은 얼핏 보면 ‘11월 전기세 청구서’라는 PDF 파일이 첨부된 것으로 보인다. 그러나 실제로는 공격자가 악성 URL이 삽입된 텍스트와 PDF 이미지를 조합해 첨부파일인 것처럼 교묘하게 위장한 것이다. 사용자가 전기세 내역 확인을 위해 첨부파일로 위장한 URL을 클릭하면, 사용자의 계정을 입력하도록 만든 피싱 사이트로 연결된다. 사용자가 의심 없이 자신의 계정을 입력하고 로그인 버튼을 누르면, 이 정보는 즉시 공격자의 서버로 전송된다.

대형 병원 건강 지원금 신청 사칭 사례

공격자는 건강검진 수요가 집중되는 연말을 노려 국내 대형 병원을 사칭한 메일을 유포하기도 했다. 공격자는 메일 본문에 ‘경제적 어려움을 겪는 사람들에게 선착순으로 의료비를 지원한다’는 내용을 적어 사용자들이 ‘바로 신청하기’ 버튼을 클릭해 피싱사이트로 연결되도록 유도했다.

버튼 클릭 시 연결되는 피싱 사이트는 분석 당시 접속이 불가능했으나, 유사사례를 미뤄볼 때 사용자의 지원금 신청서 작성을 유도해 개인 정보와 계정 정보를 탈취하려 한 것으로 추정된다. 또한 본문 상단에 이미지 로딩 오류를 의미하는 ‘엑스(X) 박스’ 이미지와 ‘이미지가 보이지 않으면 여기를 클릭하세요’라는 문구가 존재하는데, 해당 이미지와 문구 모두에 피싱 페이지로 연결되는 URL이 삽입되어 있었다. 이는 사용자를 안심시키는 동시에 피싱사이트로 연결 확률을 높이기 위함으로 보인다.

피해 예방을 위해 조직 내 개인은 △출처가 불분명한 메일 속 첨부파일 및 URL 실행 금지 △URL 접속 시 기업 및 서비스의 공식 사이트 주소와 비교 △PC, OS(운영체제), SW, 인터넷 브라우저 등에 대한 최신 보안 패치 적용 △백신 실시간 감시 기능 실행 △계정별 다른 비밀번호 설정 등 기본 보안 수칙을 지켜야 한다.

또한 조직 차원에서는 △조직 내 PC, OS, SW, 웹사이트 등에 대한 수시 보안 점검 및 패치 적용 △보안 솔루션 활용 및 내부 임직원 보안 교육 실시 △위협 인텔리전스 서비스 활용으로 최신 보안 위협 파악 등 예방 대응책을 마련해야 한다.

이번 사례를 분석한 안랩 분석팀 김동현 주임은 “최근 피싱 사이트 공격은 표적으로 삼은 인물과 조직의 계정을 탈취하기 위해 더욱 정교하게 진화하고 있다”며 “하나의 계정이 탈취되면 연관된 다른 계정까지 침해당할 가능성이 커 개인과 조직의 철저한 관리기 필요하다”고 강조했다.

출처 : 안랩