'카드사 명세서'로 위장한 악성메일 요주의

통합 보안 기업 이스트시큐리티(대표 정상원)는 금융거래 이메일로 위장한 표적형 해킹 시도가 급증하고 있다고 26일 밝혔다.

이스트시큐리티 시큐리티대응센터(ESRC)에 따르면, 북한 당국과 연계된 것으로 알려진 해킹 조직 ‘탈륨’이 이번 공격 배후로 추정된다. ESRC는 이 조직이 국내 사이버 위협 수준을 높이면서, 이달 진행된 한미정상 회담 기간에도 외교·안보·통일 및 대북 분야 전문가를 상대로 한 해킹을 시도했다고 분석했다.

발견된 공격에서는 마치 국내 시중은행의 공식 안내메일처럼 위장하거나 설문지 응답 또는 세미나 참석에 따른 소정의 사례비 명목으로 수신자를 현혹했다.

평소 보안 경계심이 높은 공격 대상자에게 사전에 정상적인 이메일을 수 차례 발송해 안심시킨 다음, 본격적인 공격을 시도하는 모습도 포착됐다.

일반적인 공격에는 여전히 이메일에 악성 MS 워드(DOC) 문서를 많이 사용하지만, 이번에 발견된 금융회사 이메일 사칭 공격에는 악성 엑셀(XLSX) 문서가 사용됐다. 국내 시중은행의 보안 명세서로 위장한 엑셀 문서가 실행되면 악성 매크로 코드 실행을 유도하기 위해 가짜 안내 화면을 보여주는 전형적인 매크로 공격 방식을 썼다.

관련기사

금융회사 문서로 위장한 악성 XLSX 문서가 실행된 화면(출처=이스트시큐리티)

메일 수신자가 이 화면에 속아 ‘콘텐츠 사용’ 버튼을 누르게 되면, 악성 명령이 작동되어 개인 정보 유출 및 예기치 못한 해킹 피해로 이어질 수 있다.

문종현 이스트시큐리티 ESRC센터장 이사는 “'페이크 스트라이커'로 명명된 탈륨의 지능형지속위협(APT) 공격 캠페인이 급증하고 있고, 주로 대북 분야에서 활동하는 인물들이 위협 블랙 리스트에 존재한다”며, “마치 금융거래나 사례비 지급처럼 금전적 심리를 자극하는 등 갈수록 수법이 교묘해지고 있어, 유사한 위협에 노출되지 않도록 각별한 주의와 관심이 요구된다”고 당부했다.