이메일 보안 우회하는 QR코드 사이버공격 등장

링크, 악성코드 대신 QR코드 이용한 이메일 피싱 공격

QR코드로 이메일 보안을 우회한 피싱 공격이 발견돼 주의가 요구된다.

미국 지디넷에 따르면 보안기업 어브노멀 시큐리티는 QR코드를 이용해 이메일 서비스의 피싱 차단 시스템을 우회하는 사이버공격이 등장했다고 26일(현지시간) 밝혔다.

어브노멀 시큐리티에 따르면 해당 사이버공격은 기존 이메일 피싱 공격방식과 비슷하다. 사이버범죄자는 설문조사 등으로 속여 타깃으로 정한 피해자에게 QR코드가 포함된 이메일을 전송한다.

QR 코드를 사용한 피싱 이메일(이미지=어브노멀 시큐리티)

피해자가 QR코드를 스캔하면 마이크로소프트 로그인 페이지처럼 보이도록 만들어진 가짜 피싱 웹사이트로 이동하게 된다.

만약 피해자가 설문조사를 위해 해당 페이지에서 로그인을 한다면 고스란히 ID와 비밀번호가 사이버범죄자에게 넘어가게 된다.

큐싱(Quishing)이라고 불리는 이 공격의 특징은 기존 피싱 공격에서 사용하던 링크나 악성코드를 숨긴 첨부파일 대신 QR코드를 사용했다는 점이다.

어브노멀 시큐리티는 피싱 공격을 사전에 차단하는 이메일 시스템을 우회하기 위함이라고 밝혔다.

레이철 슈이나르 정보분석가는 “QR코드는 접속하기 전까지 링크를 확인할 수 없어 유해성을 확인할 수 없으며, 매일 새롭게 만들 수 있어 사전 학습도 어렵다”고 심각성을 강조했다.

어브노멀에 따르면 이 공격은 지난 9월 15일 처음 발견됐으며, 이후 한달 간 약 200여 건의 공격이 확인됐다.

레이첼 슈이나르는 “퀴싱 공격을 방지하기 위해서는 알려진 연락처에서 온 것처럼 보이더라도 예기치 않은 메시지에 표시되는 QR 코드를 스캔하는 것을 조심해야 한다”며 “중요한 서비스의 경우 암호 외에도 추가 보안 정책을 반드시 적용해야 한다”고 강조했다.