)
온라인 등 기사에 이메일 주소가 노출돼 있는 기자들은 종종 이상한 메일을 받는다. 알 수 없는 중국어와 영어로 된 메일부터 읽기조차 부끄러운 내용의 메일까지도 받아 본 적이 있다. 대부분 스팸메일로 자동으로 분류되지만 종종 ‘받은메일함’에 그대로 남는 경우도 적지 않다.
“안녕하세요. 국세청 전자세금계산서입니다. 다운로드 내용을 확인하기 위해서는 첨부파일을 클릭하십시오”
국세청에 출입하고 있는 기자는 11월 국세청으로 위장한 메일을 받았다. 겉보기에는 진짜 국세청이 보낸 것처럼 꾸며져 있었다. 뻔뻔하게도 “본 메일은 ‘보안 메일’입니다”라는 문구와 함께였다. 국세청에서 보도자료나 인사 정보가 아닌 메일이 온 것은 그게 처음이었던 데다 연말정산 등 세금 관련 이벤트가 많은 연말을 앞두고 그런 메일을 받아 자칫 첨부파일을 클릭할 뻔했다.
보안 관련 세미나 등에서 보안 전문가들은 공통적으로 의심되는 메일을 확인하지 말라고 거듭 강조한다. 이에 평소 습관적으로 메일 발송자 및 발송 주소를 확인하다 보니 발송자명은 국세청이지만 메일 주소가 애플의 아이클라우드(iCloud)인 것을 확인하고 피싱 메일임을 직감했다.
이처럼 국세청 등 공공기관을 사칭해 개인의 정보를 탈취하려는 시도가 최근 급증하고 있다. 안랩은 “부가가치세 세금 신고 기간만 되면 국세청 사칭 메일이 급증한다”며 “피싱 메일 유포 추세는 올해 크게 늘었다”고 밝혔다.
기자가 받은 국세청 피싱 메일은 악성 HTML 파일로 보인다. 카드사나 보험사 등에서 내역서 등을 HTML 파일로 전송하는 점을 악용한 것으로 보인다. 대부분 내역서 같은 경우 암호화된 보안 메일 형식으로 보내지기 때문에 이 형식도 악용한 것으로 풀이된다.
이런 피싱 메일에 첨부된 악성 HTML 파일의 경우 악성 스크립트 등을 삽입해 악성 프로그램을 실행시키거나, 포털 사이트 등으로 위장한 화면을 표시해 계정정보 등을 입력하도록 유도한다. 여기서 정보가 한 번 유출되면 금융기관이나 다른 포털사이트 등에 접근해 확보한 계정정보를 대입해 보고 더 많은 정보를 빼 갈 우려가 있다.
이렇게 탈취한 정보를 바탕으로 “○○○에 거주하시는 ○○○씨죠?”라고 전화를 걸어 보이스피싱을 시도할 수도 있고 중요한 비밀번호 등을 탈취해 금전적인 피해가 발생할 수도 있다. 피싱 메일을 한 번 잘못 클릭했다가 벌어지는 무서운 일이다.
더욱이 피싱 공격자들이 사용자의 관심 분야를 더 쉽게 파악하고 이런 주제를 지속적으로 악용하고 있다는 점이다. 연말이 되면 국세청 사칭 피싱 시도가 늘어나는 것처럼 말이다.
최근엔 인공지능(AI)의 발달로 더욱 정교하게 피싱 메일을 제작하고 속기 쉽게 제작해 유포하기 때문에 더욱 주의가 필요하다. 예컨대 한국어에 서투른 외국 해커도 챗GPT 등 생성형 AI를 활용해 보다 쉽고 자연스러운 한국어 피싱 메일을 제작할 수 있고 딥페이크 등 현실과 더욱 분간하기 어렵게 만든 새로운 피싱 시도도 있을 수 있다.
실제로 안랩·SK쉴더스 등 보안 업체들도 내년 사이버 위협으로 가장 먼저 AI 기술을 악용한 공격 시도를 꼽았다. 한국인터넷진흥원(KISA)도 11일 사이버보안의 주요 쟁점으로 ‘생성형 AI’를 꼽았다.
피싱 범죄는 개인·기업·기관 모두에게 경제적·정신적 피해를 입힐 수 있는 중차대한 문제다. 따라서 정부와 KISA가 앞장서 무고한 국민이 억울하게 정보를 탈취당하는 일이 없도록 선제적인 대응에 나서야 할 것이다.
후원하기
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요0
좋아요2
감동이에요0
화나요0
슬퍼요0
기사제보 
