안랩은 최근 임직원 성과 보고서로 위장한 악성코드를 유포하는 피싱 메일 사례를 확인하고 사용자 주의를 당부했다. 이번 공격은 연말연시 인사 평가와 조직 개편 등 민감한 이슈가 집중되는 시기를 노려 임직원의 심리적 경계가 느슨해진 점을 악용한 것이 특징이다.

안랩이 공개한 사례에 따르면 공격자는 기업 인사팀을 사칭해 ‘직원 성과 보고서’라는 제목의 메일을 발송했다. 메일 본문에는 파일이 첨부돼 있으며, 파일 안에 ‘빨간색으로 표시된 이름은 모두 해고 예정 직원을 나타낸다’라는 문구를 삽입해 수신자가 호기심과 불안을 느끼고 파일을 열어보도록 유도했다.

임직원 성과 보고서로 위장한 피싱 메일

첨부파일의 이름은 ‘직원 기록 pdf(staff record pdf)’로 표시돼 있어 일반적인 PDF 문서로 보이지만, 실제 확장자는 압축 파일 형식인 ‘.rar’다. 공격자는 파일 확장자를 숨겨 사용자가 정상 문서로 오인하도록 위장했다. 사용자가 해당 파일을 실행하면 압축 파일이 다운로드되고, 그 내부에는 실행 파일 형태의 악성코드가 포함돼 있다.

이 실행 파일을 열 경우 원격 제어 악성코드가 작동하며, PC 화면과 키 입력을 수집하고 웹캠과 마이크에 접근하는 것은 물론 웹 브라우저에 저장된 각종 정보까지 탈취하는 등 광범위한 악성 행위를 수행할 수 있다. 개인 정보 유출뿐 아니라 기업 내부 정보 탈취와 추가적인 2차 공격으로 이어질 가능성도 배제할 수 없다.

피싱 메일로 인한 피해를 예방하기 위해서는 기본적인 보안 수칙 준수가 무엇보다 중요하다. 발신자 이메일 주소의 도메인이 정상적인지 확인하고, 출처가 불분명한 메일에 포함된 첨부파일이나 URL은 실행하지 않아야 한다. 또한 PC와 운영체제, 각종 소프트웨어 및 인터넷 브라우저에 최신 보안 패치를 적용하고, 백신 프로그램의 실시간 감시 기능을 활성화해 두는 것이 필요하다.

이번 사례를 분석한 안랩 분석팀 임문주 매니저는 연말연시에는 인사 평가, 조직 개편, 연봉 협상, 성과급, 연차 등 시기적 관심사가 높은 이슈를 악용한 피싱 공격이 증가할 수 있다고 설명했다. 이어 메일의 발신자와 내용을 평소보다 더 주의 깊게 확인하고, 피싱이 의심되는 사례는 주변 구성원과 적극적으로 공유해 조직 전체의 피해를 예방하는 것이 중요하다고 강조했다.

안랩은 차세대 위협 인텔리전스 플랫폼 ‘안랩 TIP’을 통해 이번 사례를 포함한 다양한 피싱 공격 동향과 보안 권고문, 침해지표 정보를 제공하고 있다. 또한 V3 제품군과 샌드박스 기반 지능형 위협 대응 솔루션 ‘안랩 MDS’를 통해 해당 피싱 메일로 유포되는 악성 파일에 대한 탐지와 대응을 지원하고 있다.

김종혁 기자/news@newstap.co.kr

ⓒ 뉴스탭(https://www.newstap.co.kr) 무단전재 및 재배포금지