[AhnLab] 조직 구성원 겨냥한 온라인 스캠, 어떤 것들이 있을까?

https://www.ahnlab.com/ko/contents/content-center/35594

AhnLab | 콘텐츠 센터

---

타켓형 스캠

• 사회공학적 기법을 이용해 치밀하게 설계된 공격 시나리오로 진행됨
• 사전에 수집한 공격 대상 정보를 바탕으로 맞춤형 피싱 시나리오를 구성함
• 대표적인 타겟형 스캠
  • 비즈니스 이메일 사기(Business Email Compromise, BEC)
  • 스피어 피싱

 

BEC(Business Email Compromise)

• 이메일을 활용해 주로 기업이나 정부 기관 등의 조직 구성원(특히 고위 임원진, 재무·인사 담당자) 표적
• 공격 대상에게 업무적으로 연관성 있는 인물로 위장해 기밀 정보 전송을 유도
  • 링크드인(LinkedIn)이나 공개된 웹 사이트를 통해 공격 대상에 대한 사전 정보를 수집
  • 발신 주소 도메인을 스푸핑(Spoofing)하거나 신뢰할 만한 기관을 사칭해 이메일 발송
  • 공격 대상과 신뢰 관계를 쌓은 뒤, 심리적 압박을 가하는 사회공학 기법을 활용해 송금이나 정보 전송을 요구

 

스푸핑(Spoofing):

직접적으로 시스템에 침입을 시도하지 않고 피해자가 공격자의 악의적인 시도에 의한 잘못된 정보 혹은 연결을 신뢰하게끔 만드는 일련의 기법

 

BEC 사례

1. 홍콩의 한 다국적 기업에서 발생한 사고
   • 공격자들은 AI 딥페이크 기술을 활용해 회사 CFO 사칭하는 이메일을 전송
   • 직원이 의심을 품고 화상 회의를 추가로 진행했지만, CFO 및 임직원들의 모습이 딥페이크로 조작되어 있었음
   • 재무 담당 직원이 이에 속아 2,500달러를 송금
   • AI 기술의 발전으로 인해 딥페이크 등을 이용한 사칭이 더욱 수월해져 BEC 공격의 성공률 또한 높아질 것으로 예상

 

스피어 피싱 

• 타겟이 악성 파일을 실행하거나, 민감한 데이터를 입력하도록 유도하는 교묘한 방식과 시나리오를 구성

 

스피어 피싱 사례

1. 내부 직원 사칭
   • 안랩 직원을 대상으로, 이메일 주소 도메인 역시 'ahnlab.com'으로 전송된 메일
   • 음성 메시지 수신을 알리는 내용과 함께 첨부된 파일이 안랩 서비스로 위장한 피싱 페이지로 연결되는 형태
     • 피싱 페이지에는 이메일 수신인의 이름과 이메일 주소가 미리 입력되어 있어 수신인이 로그인을 시도할 시 입력한 계정 정보가 공격자에게 전달됨
2. 이메일 스레드 연결을 통한 신뢰감 형성
   • 이메일 스레드를 연결해 마치 이전에 여러 차례 소통을 했던 것처럼 사용자를 속임
   • 이메일 제목도 'RE:'로 시작해 이전 대화의 연장선상의 것으로 위장
   • 기업 이메일 작성 관행을 모방해 발신자 서명을 포함하고, 다수의 수신인과 참조인을 지정
   • 본문에는 첨부 파일을 신속히 확인해야 한다고 요구하고 며칠 간격으로 후속 이메일을 전송해 수신인을 재촉
3. 링크 클릭 유도를 통한 정보 탈취 시도
   • 외부와 빈번히 이메일을 주고받는 직원을 겨냥한 공격
   • 기업의 비즈니스에 관심 있는 척하며 수신인이 특정 링크를 클릭하도록 유도
     • 악성 피싱 페이지로 연결, 첫 번째 사례와 동일한 구조
4. 타겟의 사회적 관계 악용
   • 공격 대상의 사회적 관계를 사전에 파악해 실제 친분이 있는 인물을 사칭
   • 이메일 발신자 주소의 스펠링을 약간 변경해 실제 주소와 유사하게 위장
   • 사회공학적 기법을 교묘히 활용한 사례
5. 보안 연구원 대상 스피어 피싱
   • 보안 연구원들의 관심사와 연구 분야를 파악하고 이를 바탕으로 맞춤형 피싱 이메일을 보내 공격을 시도
   • 관심 가질 만한 주제로 블로그를 운영하거나 SNS 통해 친밀도 형성
   • 최신 보안 이슈에 대한 분석 자료라며 악성 코드 포함된 문서 보내거나, 흥미로운 취약점 발견했다며 악성 링크 포함된 이메일 보내는 등의 공격
6. 채용 제안 사칭
   • 링크드인을 통해 가짜 체용 제안을 보내 보안 리서처들을 공격
   • 채용 담당자로 위장해 접근한 뒤, 왓츠앱(WhatsApp)으로 대화 이어가며 악성코드 포함된 문서 전송하는 수법 사용