이메일은 사기꾼과 해커들이 가장 즐겨 사용하는 공격 경로입니다. 하지만 이메일이 악성코드 유포, 피싱, 나이지리아 선급금 사기에만 쓰인다고 생각한다면 다시 생각해 볼 필요가 있습니다. 최근에는 공격자가 당신의 상사로 위장해 수천 달러 규모의 회사 자금을 자신이 관리하는 계좌로 송금하도록 유도하는 새로운 이메일 기반 사기가 등장했습니다.
이 사기의 이름은 바로 'CEO 사기(CEO Fraud)', 또는 '내부 스푸핑(Insider Spoofing)'입니다.
공격 방식 이해하기
그렇다면 이 공격은 어떻게 이루어질까요? 공격자가 성공적으로 사기를 치려면 표적이 되는 회사에 대한 방대한 정보가 필요합니다.
핵심 정보 대부분은 표적 회사나 기관의 조직 구조와 관련이 있습니다. 먼저 공격자는 누구를 사칭할지 알아야 합니다. 'CEO 사기'라는 이름 때문에 최고경영자만 노리는 것처럼 보이지만, 실제로는 지불을 개시할 권한이 있는 모든 고위 임원이 표적이 될 수 있습니다. 공격자는 그 사람의 이름과 이메일 주소를 파악해야 하며, 출장이나 휴가 일정까지 알아내면 더욱 좋습니다.
마지막으로, 회사에서 송금 업무를 담당하는 사람, 예컨대 회계사나 재무 부서 직원이 누구인지도 알아야 합니다.
이런 정보의 상당 부분은 해당 회사 웹사이트에서 무료로 얻을 수 있습니다. 중소기업들은 '회사 소개' 페이지에 직원들의 이름, 직책과 역할, 연락처를 공개하는 경우가 많습니다.
개인 일정을 알아내는 것은 조금 더 어렵습니다. 대부분의 사람은 자신의 일정을 온라인에 공개하지 않기 때문입니다. 하지만 많은 사람들이 트위터, 페이스북, 스웜(Swarm, 구 포스퀘어) 같은 소셜 미디어에 자신의 동선을 올립니다. 공격자는 그 사람이 사무실을 떠날 때까지 기다렸다가 움직이면 됩니다.
공격에 필요한 퍼즐 조각을 모두 모으면, 공격자는 CEO를 사칭해 재무 담당 직원에게 이메일을 보내고, 자신이 관리하는 계좌로 송금을 요청합니다.
이 사기가 성공하려면 이메일이 진짜처럼 보여야 합니다. 공격자는 '합법적'으로 보이는 이메일 계정(예: 이름.성.임의숫자@gmail.com)을 사용하거나, CEO의 실제 이메일을 '스푸핑'합니다. 스푸핑이란 메일 헤더를 변조해 '보낸 사람' 필드에 CEO의 실제 이메일 주소가 표시되도록 하는 기법입니다. 끈기 있는 공격자는 CEO가 자신에게 메일을 보내도록 유도한 뒤, 그 이메일의 문체와 디자인까지 흉내 내기도 합니다.
공격자는 재무 직원이 표적 임원에게 확인하지 않은 채 압박감에 못 이겨 송금해 버리기를 바랍니다. 아이러니하게도 이런 도박은 자주 성공해서, 일부 회사는 수십만 달러를 모르고 넘겨준 적도 있습니다. BBC가 보도한 프랑스의 한 회사는 10만 유로를 잃었습니다. 공격자는 50만 유로를 노렸지만, 은행이 사기를 의심해 나머지 송금을 모두 차단했기에 피해가 줄어든 경우입니다.
소셜 엔지니어링 공격의 작동 원리
전통적인 컴퓨터 보안 위협은 대체로 기술적인 성격을 띱니다. 따라서 기술적 대응책으로 막을 수 있습니다. 악성코드에 감염됐다면 백신 프로그램을 설치하면 되고, 웹 서버 해킹 시도가 있었다면 침투 테스트 전문가를 고용해 시스템을 강화하는 방법을 조언받으면 됩니다.
그러나 CEO 사기를 포함한 소셜 엔지니어링 공격은 훨씬 대응하기 어렵습니다. 시스템이나 하드웨어를 공격하는 것이 아니라 사람을 공격하기 때문입니다. 코드의 취약점을 찾는 대신, 인간 본능과 타인을 신뢰하려는 생물학적 본능을 역이용합니다. 이 공격에 대한 가장 흥미로운 설명 중 하나는 2013년 DEFCON 컨퍼런스에서 발표되었습니다.
역사상 가장 감탄을 자아내는 대담한 해킹들 상당수가 소셜 엔지니어링의 산물이었습니다.
2012년, 전(前) 와이어드(Wired) 기자 맷 호넌(Mat Honan)은 자신의 디지털 삶을 통째로 무너뜨리려는 사이버 범죄 집단의 표적이 되었습니다. 범죄자들은 소셜 엔지니어링 기법으로 아마존과 애플을 설득해 필요한 정보를 얻어냈고, 그 결과 그의 맥북 에어와 아이폰을 원격 초기화하고, 이메일 계정을 삭제하고, 영향력 있는 트위터 계정을 탈취해 인종차별 및 혐오 발언을 게시하는 데 성공했습니다.
소셜 엔지니어링 공격은 결코 새로운 발명품이 아닙니다. 해커들은 수십 년간 시스템, 건물, 정보에 접근하기 위해 이 기법을 사용해 왔습니다. 가장 악명 높은 소셜 엔지니어 중 한 명은 케빈 미트닉(Kevin Mitnick)입니다. 그는 1990년대 중반 일련의 컴퓨터 범죄를 저지른 뒤 수년간 경찰을 피해 도피 생활을 했고, 결국 5년형을 살았으며 2003년까지 컴퓨터 사용이 금지되었습니다. 해커계에서 미트닉만큼 록스타에 가까운 인물도 드뭅니다. 인터넷 사용이 허용됐을 때 그 장면은 리오 라포르테(Leo Laporte)의 The Screen Savers에서 TV로 생중계될 정도였습니다.
그는 결국 합법적인 길로 돌아섰습니다. 현재 자신의 컴퓨터 보안 컨설팅 회사를 운영하며 소셜 엔지니어링과 해킹에 관한 여러 책을 저술했습니다. 그중 가장 평가가 좋은 책은 '디셉션의 기술(The Art of Deception)'입니다. 이 책은 소셜 엔지니어링 공격이 어떻게 실행되는지, 그리고 어떻게 방어할 수 있는지를 짧은 사례 이야기 형식으로 담은 안솔로지로, 아마존에서 구매할 수 있습니다.
CEO 사기, 어떻게 대응해야 할까?
정리해 보겠습니다. CEO 사기는 끔찍한 범죄이고, 이미 수많은 회사에 막대한 금전적 손실을 안겼으며, 사람을 공격 대상으로 삼기 때문에 방어가 극도로 어렵다는 점을 우리는 알고 있습니다. 이제 남은 질문은 '어떻게 막을 것인가'입니다.
말처럼 쉽지는 않습니다. 만약 당신이 직원이라면, 상사나 회사로부터 의심스러운 송금 요청을 받았을 때 이메일이 아닌 다른 방법으로 직접 확인해 보는 것이 좋습니다. 상사가 귀찮아할 수 있지만, 회사 자금 10만 달러를 해외 계좌로 잘못 보냈다면 그보다 훨씬 화를 내실 겁니다.
기술적 해결책도 있습니다. 마이크로소프트의 Office 365 업데이트에는 각 이메일의 출처를 검증해 신뢰할 수 있는 연락처에서 온 것인지 확인하는 방어 기능이 포함되어 있습니다. 마이크로소프트는 이를 통해 Office 365가 위조·스푸핑된 이메일을 식별하는 능력이 500% 향상되었다고 밝혔습니다.
사기의 먹이가 되지 마세요
이런 공격으로부터 자신을 지키는 가장 확실한 방법은 회의적인 태도입니다. 큰 금액의 송금을 요청하는 이메일을 받으면, 반드시 상사에게 전화를 걸어 진위를 확인하세요. IT 부서에 영향력이 있다면 CEO 사기 방어 분야에서 선두를 달리고 있는 Office 365 도입을 제안해 보는 것도 좋습니다.
말리지 않겠지만, 혹시 금전을 노린 이메일 사기를 당해 본 적이 있으신가요? 그렇다면 경험을 들려주세요. 아래 댓글로 어떤 일이 있었는지 알려주세요.