청와대 공식계정 이용한 피싱 메일

청와대를 사칭해 탈북자, 대북 전문가 등 북한 관련자에게 피싱 메일이 유포되고 있다. 남북 정상회담 등 핫이슈를 이용한 사회공학적 공격이다.

보안을 위해 인증 절차를 거쳐야 한다는 핑계로, 첨부 파일의 링크를 클릭하게 해서 피싱 사이트로 유인한다. 이는 네이버, 다음 등 대형 포털을 본 뜬 가짜 사이트로 ID와 암호를 훔친다. 탈취한 계정 정보는 또 다른 피싱에 이용될 수 있다.

주목할 부분은 실제 청와대의 공식 계정인 ***@president.go.kr을 이용했다는 점이다. 공식 계정을 이용한 피싱 메일은 2가지 가능성이 있다.

첫째는 그 조직 내의 누군가의 계정을 해킹해서 이용하는 것이다. 여기에는 피싱이나 악성코드가 이용된다.

둘째는 메일 헤더를 조작해서, 실제로는 다른 계정에서 발송된 것이지만 공식 계정에서 온 것처럼 보이게 하는 것이다. 이메일 발신 주소 조작을 방지하려면 메일 서버가 SPF라는 기술표준을 적용해야 하는데, 2017년 6월 기준 kr 도메인의 메일 서버 중 33%는 이를 적용하지 않고 있다.

잘 아는 사람 혹은 공신력 있는 조직으로부터 온 메일의 링크나 첨부파일은 의심 없이 열어볼 가능성이 많으므로 효과적인 공격 수단이라 할 수 있다. 보이는 대로 믿지 말고, 모든 정황을 종합적으로 살펴 판단해야 한다.


관련 자료

• 피싱(phishing) 사기 피하는 방법

참고 자료

• 청와대 사칭해 北관련자에게 사이버 공격