은행, 아마존, 혹은 지인을 사칭하는 피싱 메일은 이제 눈에 잘 띄게 되었습니다. 낯선 사람이 보낸 사기 메일이라면 더더욱 쉽게 걸러낼 수 있겠죠.
정말 그럴까요?
현재 영국을 중심으로 빠르게 퍼지고 있고, 미국과 캐나다 등지로도 확산될 조짐을 보이는 새로운 이메일 사기는 그 단순함만큼이나 교활합니다. 핵심은 이 사기 메일이 여러분과 거래 관계가 있는 기업이나 기관을 사칭하지 않는다는 점입니다. 친구나 가족인 척하는 메일도 아니고요.
오히려 발신자가 여러분에 대한 정보를 갖고 있다는 사실을 솔직하게 밝힙니다. 함정은 바로 '표현 방식'과 '첨부 파일'에 숨어 있습니다.
내 집 주소를 아는 사기 메일
며칠 전, 필자의 받은 편지함에 평범하지 않은 메일 한 통이 도착했습니다. 메일 검사 도구에 걸리지도 않았고 스팸으로 분류되지도 않았으며, 마치 선의로 도움을 주려는 개인이 보낸 것처럼 보였습니다.
안녕하세요 크리스천 님! 아주 심각한 이유로 연락드립니다. 저와 면식은 없지만, 귀하에 대한 상당한 양의 데이터를 보유하고 있습니다. 아마도 실수로 귀하의 계정 정보가 제게 전송된 것 같습니다. 예를 들어, 귀하의 주소는 다음과 같습니다. [실제 주소, 일부 삭제됨] 저는 법을 준수하는 시민이기에 개인 정보가 해킹되었을 가능성을 알려드리고자 합니다. 제가 받은 파일(Cawley.dot)을 첨부했으니 어떤 정보가 사기꾼들에게 노출되었는지 확인하시기 바랍니다. 문서 비밀번호는 6096입니다. 행운을 빕니다. 노린 리아노 드림
흥미롭게 읽히지 않나요? 언뜻 보면 노린 리아노(아마 가짜 이름이거나 봇넷에 감염된 계정일 것입니다)라는 인물이 여러분의 개인 데이터를 보내주며 사기를 당하지 않도록 배려하는 고마운 메일처럼 보입니다.
참으로 친절하네요!
그러나 자세히 들여다보면 다른 무언가가 숨어 있습니다. 바로 이것이 정교한 사기임을 드러내는 단서입니다.
물론 이건 사기입니다!
필자가 이 메일을 처음 받았을 때는 외출 중이었기 때문에 안드로이드 기기의 지메일 앱으로 확인했습니다. 명백한 사기입니다. 누군가 내 데이터를 '보내준다'는 발상 자체가 이미 수상하니까요. 하지만 메일에 실제 거주 주소가 적혀 있었다는 점은 다소 불안했습니다.
다만 조사해 보면 내 주소를 찾을 수 있는 곳은 생각보다 많습니다. 진짜 우려되는 부분은 이메일 주소와 우편 주소가 함께 묶여 있다는 점입니다. 이는 내가 소비자 관계를 맺은 온라인 쇼핑몰, 은행, 공공요금 업체 또는 다른 기업이 해킹당했다는 의미일 수 있습니다.
수년간 수많은 해킹 사건이 발생했기 때문에 어느 곳인지 좁히기는 어렵지만, 이 단계에서는 이베이(eBay)를 의심해 볼 만합니다. 내 주소를 보관하고 있는 몇 안 되는 온라인 계정 중 하나이며, 최근 몇 년간 대형 해킹의 표적이 되어 왔습니다. 보안이 너무 허술해서 한때 온라인 경매 사이트 사용을 아예 포기하라고 권고한 적도 있었습니다.
내 정보가 유출되었는지 확인하는 방법
주소 데이터의 출처는 여전히 궁금증을 자아냅니다. 영국 선거인 명부나 자선단체를 지목하는 의견도 있었지만, 이들 기관과 관련된 최근 해킹 보고가 없다는 점에서 필자는 여전히 이베이를 의심합니다.
그리고 이는 이 사기가 영국에만 머물지 않으리라는 뜻이기도 합니다. 조만간 캐나다, 미국, 유럽, 호주를 거쳐 전 세계로 확산될 것입니다.
데이터가 이베이 해킹에서 나왔든 아니든, 'Have I Been Pwned?' 웹사이트를 확인해 보시기 바랍니다. 이메일 주소를 입력하면 내 데이터가 포함된 유출 사건을 조회할 수 있습니다.
유출 기록이 발견된다면 반드시 비밀번호를 변경하세요.
첨부 파일의 함정
사실 우편 주소의 존재는 수신자를 끌어들이기 위한 미끼에 불과합니다. 낯선 사람에게서 내 우편 주소가 적힌 메일을 받았다면, 어떤 정보가 더 유출되었는지 궁금해지지 않겠습니까?
이 메일에 첨부된 파일은 마이크로소프트 워드 템플릿 문서에 쓰이는 DOT 형식입니다. DOT은 표준 문서 서식(예: 편지지 양식)을 만들어 반복해서 재사용할 때 유용한 파일 형식이지만, 매크로 실행도 가능합니다.
매크로 스크립트는 과거 수많은 보안 사고의 원인이 되어 왔고, 그래서 기본적으로 비활성화되어 있습니다. 일부 보안 연구자들은 매크로 위협 때문에 마이크로소프트 오피스 사용 자체를 피할 것을 권하기도 합니다.
첨부 파일을 열면 PC에 워드가 설치되어 있는 경우 메일에 적힌 비밀번호(필자의 경우 6096)를 입력하라는 창이 뜹니다. 입력하면 '이 문서는 보호되어 있습니다!'라는 화면이 나타나며 매크로 활성화를 요구합니다. 이때 콘텐츠 사용(Enable Content) 버튼을 누르게 됩니다.
절대 누르지 마세요!
바로 이 지점에서 함정이 작동합니다. 매크로를 활성화하는 순간 트로이 목마형 좀비 악성코드 'Troj/Agent-AURH'에 감염됩니다. 이것은 봇웨어(botware)로, 악성코드는 명령·제어(C&C) 네트워크와 통신하며 지시를 기다립니다. 감염된 컴퓨터는 DDoS 공격에 동원될 수도 있고, 웜부터 데이터를 암호화하는 랜섬웨어까지 다른 악성 소프트웨어를 추가로 내려받을 수도 있습니다.
수상한 이메일 첨부 파일은 절대 열지 마세요
이즈음이면 이메일 검사 도구들이 이 사기 패턴을 갱신했을 것입니다. 그렇지 않더라도 이제 무엇을 조심해야 하는지 아셨을 겁니다. 온라인·컴퓨터 보안에 늘 경계를 늦추지 말고, 요청하지 않은 이메일 첨부 파일은 열지 않기를 권합니다.
특히 낯선 확장자를 가진 첨부 파일은 모두 피하세요. 클라우드 저장소 시대에 굳이 문서를 파일로 보낼 이유는 없습니다. 클라우드 링크로 공유하면 되니까요.
헷갈리는 메일을 받았다면 최선은 믿을 수 있는 지인의 의견을 구할 때까지 미루는 것입니다. 그 사람이 자신보다 IT에 밝다면 더욱 좋습니다. 단, 발신자에게 물어보지는 마세요. 첨부 파일을 열라고 권할 테니까요!
의심스러우면 삭제하세요. 이메일로 돈을 보내주는 사람은 없습니다. 무시한다고 손해 볼 일도 없습니다.
이런 유형의 메일을 받아 본 적이 있나요? 열어보셨습니까, 삭제하셨습니까? 댓글로 경험을 들려주세요.