"국세청에서 연말정산 환급 안내 알려드립니다."

‍

연말정산 안내를 빌미로 클릭을 유도하는 이메일, 정말 국세청에서 보낸 걸까요?

최근에는 국세청은 물론 택배사, 전자결제 업체 등을 사칭한 피싱 공격이 급증하고 있습니다. 공식 문서와 거의 구별이 어려울 만큼 정교해지면서 개인은 물론 기업까지 큰 피해를 겪고 있는데요. 특히 기업을 겨냥한 ‘스피어 피싱’과 ‘비즈니스 이메일 침해(BEC)’는 단 한 번의 실수로도 수억 원대 손실로 이어질 수 있어 더욱 철저한 대비가 필요합니다.

오늘은 최근 급증하고 있는 피싱 유형을 살펴보고, 피해를 예방하는 방법부터 기업이 반드시 구축해야 할 사고 대응 체계까지 함께 알아보겠습니다.

‍

◼︎ 피싱 공격의 대표적인 수법

‍

출처: Freepik

‍

1) 국세청 환급 사칭 피싱 메일

연말정산 시즌이 되면 어김없이 등장하는 것이 국세청을 사칭한 피싱 메일입니다. "새로운 통지서(간소화자료)가 도착했습니다"라는 제목의 전자문서를 위장한 메일이 대표적인데요. 이 메일은 사용자의 클릭을 유도한 뒤 가짜 로그인 창을 띄워 계정 정보를 탈취하거나 악성코드 설치로 이어지기도 합니다.

가장 큰 문제는 가짜 사이트가 실제 국세청 사이트를 완벽에 가깝게 모방하고 있다는 점입니다. 이는 일반인이 진위를 가리기 어렵고, 공공기관과 유명 플랫폼의 공신력을 악용해 피해자의 의심을 차단합니다.

2) 택배 배송·반품 사칭 피싱

온라인 쇼핑이 일상화되면서 택배를 미끼로 한 피싱 공격도 급증하고 있습니다. 온라인 쇼핑몰로부터 "환불 또는 반품(상품 파손) 요청"이라는 문자와 함께, 자세한 내용을 확인하려면 링크를 클릭해야 하는 형태가 대표적입니다.

택배사를 사칭해 주문하지 않은 택배처럼 꾸며 궁금증을 유발하고, 악성코드 설치 링크를 클릭하도록 유도하는 수법도 빈번하게 사용됩니다.

3) 전자결제·금융기관 위장 공격

전자결제 시스템이나 금융기관을 사칭한 피싱도 지속적으로 발생하고 있습니다. "결제 승인 확인 필요", "카드 사용 내역 확인", "보안 인증서 갱신" 등의 제목으로 긴급한 조치가 필요한 것처럼 위장하는 것이 특징입니다. 링크를 클릭하면 실제 금융기관 홈페이지와 유사한 가짜 사이트로 연결됩니다. 이 과정에서 로그인 정보, 카드 번호, 보안 카드 번호 등을 입력하도록 유도합니다.

가장 주의해야 할 것은 시간 제한을 둔 협박성 메시지입니다. "24시간 내 미확인 시 계정 정지"와 같은 문구는 사용자의 조급함을 유발하여 침착한 판단을 방해합니다. 이는 의심할 겨를 없이 반사적으로 반응하게 만드는 전형적인 사회공학적 공격 수법입니다.

‍

◼︎ 기업을 노리는 피싱! 스피어피싱과 BEC 공격

‍

출처: Freepik

‍

1) 스피어피싱의 위험성

일반적인 피싱이 불특정 다수를 대상으로 한다면, ‘스피어피싱(Spear Phishing)’은 특정 조직이나 개인을 정밀하게 겨냥한 표적 공격입니다. 공격자는 사전에 SNS나 기업 홈페이지, 업무용 메신저 등을 통해 조직 구조와 임직원 정보, 업무 프로세스 등을 수집합니다. 이렇게 확보한 정보를 바탕으로 메시지를 구성하기 때문에 훨씬 속기 쉽다는 특징이 있습니다.

예를 들어 재무팀 직원을 대상으로 "긴급 세무 조사 관련 자료 제출 요청"이라는 제목의 메일을 발송하거나, 개발팀을 대상으로 "보안 취약점 패치 파일"로 위장한 악성코드를 전송하는 것인데요. 업무와 직접 관련된 내용을 다루거나, 실제 상사나 거래처 이름을 사용하기 때문에 의심하기 어렵습니다.

2) 비즈니스 이메일 침해(BEC) 공격

‘비즈니스 이메일 침해(Business Email Compromise, BEC)’는 기업의 고위 임원이나 거래처를 사칭해 금전적 피해를 노리는 고도화된 공격입니다. CEO나 CFO의 이메일 계정을 해킹하거나 유사한 도메인을 사용해 위장한 뒤, 재무 담당자에게 "긴급 송금 요청"을 보내는 방식이죠.

"해외 인수합병 건으로 비밀 유지가 필요하니 즉시 송금해달라"거나 "거래처 계좌가 변경되었으니 새로운 계좌로 대금을 입금하라"는 식의 메일이 대표적입니다. 실제로 CEO가 출장 중이거나 회의 중일 때 피싱 메일을 받는 경우, 즉각적인 사실 확인이 어렵습니다. 이로 인해 한 번의 실수로 수억 원이 해외로 송금되는 심각한 피해로 이어질 수 있습니다.

FBI가 발표한 침해사고 보고서에 따르면, BEC 공격으로 인한 전 세계 피해액은 연간 수조 원 규모에 달하며, 국내에서도 중견기업과 대기업을 중심으로 피해 사례가 지속적으로 보고되고 있습니다. 기업의 평판 손상은 물론 재정적 타격이 크기 때문에 사전 예방이 무엇보다 중요합니다.

‍

◼︎ 일상 속 피싱 예방법과 대응 프로세스

‍

피싱 메일은 찰나의 빈틈을 노리지만, 올바른 대응법을 숙지하고 있다면 충분히 예방할 수 있습니다. 발신자 확인부터 첨부파일 검증, 그리고 신속한 신고 절차까지, 의심스러운 메일이 도착했을 때 당황하지 않고 대처할 수 있는 구체적인 행동 요령을 알아보겠습니다.

‍

출처: Freepik

‍

1) 평소 메일을 수신할 때

피싱메일로 인한 피해를 미리 예방하기 위해서는 수신한 메일을 꼼꼼히 확인하는 습관이 필수입니다. 공식 기관이나 기업을 사칭하더라도 이메일 도메인을 자세히 보면 철자가 미묘하게 다르거나 무료 이메일 서비스를 사용하는 경우가 많기 때문에, 발신자 이메일 주소를 정확히 확인해야 합니다.

또한 메일 내용의 긴급성이나 위협적인 문구를 경계해야 합니다. "24시간 이내 확인 필요", "즉시 조치하지 않으면 계정 정지" 등의 표현은 전형적인 피싱 메일의 특징입니다.

맞춤법이나 어색한 표현도 주의 깊게 살펴봐야 합니다. 공식 기관에서 발송하는 메일은 문법적으로 정확하지만, 피싱 메일은 번역기를 사용하거나 급하게 제작되어 부자연스러운 경우가 많습니다. 마지막으로, 국세청과 같은 공공기관은 절대로 이메일로 계정 정보나 비밀번호를 요구하지 않는다는 점을 명심하세요.

2) 수상한 링크나 첨부파일을 받았을 때

첨부파일과 링크는 피싱 공격의 주요 경로입니다. 출처가 불분명한 메일의 첨부파일은 절대 실행해서는 안 됩니다. 특히 EXE, SCR, BAT 같은 실행 파일 형식은 각별히 주의를 기울여야 하죠. ZIP이나 RAR 같은 압축 파일도 내부에 실행 파일이 숨어 있을 수 있으므로 의심스러우면 열지 않는 것이 안전합니다.

링크나 첨부파일이 포함된 경우 클릭하기 전에 URL을 마우스로 가리켜 실제 연결 주소를 확인해야 합니다. 화면에 표시된 주소와 실제 연결되는 주소가 다를 수 있기 때문이죠.

업무상 필요한 첨부파일이라도 발신자에게 전화나 메신저로 직접 확인하는 습관도 필요합니다. 특히 거래처나 상사로부터 온 것처럼 보이는 메일이라도 평소 사용하지 않던 형식의 파일이거나 예상하지 못한 내용이라면 반드시 본인 확인을 거쳐야 합니다.

3) 의심스러운 메일을 회사 계정으로 받았을 때

의심스러운 메일을 발견하면 즉시 기업의 보안팀이나 IT 부서에 신고해야 합니다. 신고 프로세스는 다음과 같이 진행됩니다.

첫째, 의심 메일을 열어보거나 클릭하지 않은 상태에서 보안팀에 전달합니다. 이때, 메일 원본을 첨부 파일 형태로 보내거나 스크린샷과 함께 상세 내용을 공유해야 합니다.

둘째, 보안팀은 해당 메일을 분석하고, 피싱 메일로 판단되면 전사적으로 주의 공지를 발송합니다. 동일한 공격이 다른 직원들에게도 발송되었을 가능성이 크기 때문에 신속한 공유가 중요합니다. 셋째, 만약 링크를 클릭하거나 첨부파일을 실행했다면 즉시 보안팀에 알리고 해당 PC의 네트워크 연결을 차단하는 것이 중요합니다.

‍

◼︎ 급증하는 피싱 위험을 방어하는 SK쉴더스 사이버가드!

‍

출처: Freepik

‍

보안의 첫걸음은 개인의 주의와 노력이지만, 날로 교묘해지는 피싱 공격을 개개인의 경계심만으로 완벽히 막아 내기엔 한계가 있습니다. 특히 기업을 노리는 정교한 공격은 랜섬웨어 감염이나 대규모 정보 유출이라는 치명적인 결과로 이어질 수 있기에, 더욱 체계적인 방어 전략이 필수인데요.

전문 보안 인력이 부족한 기업이라면, 피싱을 포함한 다양한 보안 위협을 상시적으로 점검하고 대응하기가 쉽지 않습니다. 이처럼 비용 부담이나 전문인력의 부재 등으로 보안 체계 구축에 어려움을 겪는 기업을 위해, SK쉴더스는 기업 환경에 필요한 보안 기능만 선택해 활용할 수 있는 맞춤형 정보보안 서비스 ‘사이버가드’를 제공합니다. 사이버가드는 기업을 노리는 피싱 위협을 예방하고 관리할 수 있도록 설계된 구독형 서비스입니다. 복잡한 보안 운영 부담을 줄이면서도, 고도화된 위협에 대응할 수 있도록 돕습니다.

‍

‍

1) 피싱 대응의 출발점, 이메일 보안

기업을 노리는 피싱 공격은 이메일을 통해 시작되는 경우가 많습니다. SK쉴더스의 사이버가드는 메일로 유입되는 악성코드와 해킹 시도를 차단하는 이메일 보안 서비스를 제공해, 보다 안전한 업무 환경 구축을 지원합니다.

스팸 메일은 물론, 악성코드가 포함된 이메일과 교묘하게 위·변조된 파일까지 정밀하게 탐지·차단해 외부와 이메일 소통이 잦은 기업 환경에서도 피싱 위협을 효과적으로 낮출 수 있습니다.

2) 보안 강화를 위한 네트워크 보안과 문서 보안

이메일 보안으로 피싱의 유입을 차단했다면, 네트워크와 문서 영역까지 보안을 확장해 2차 피해를 막는 것이 중요합니다.

통합 네트워크 보안(UTM)은 인터넷을 기반으로 업무가 이루어지는 기업에 필수적인 보안 체계로, 다양한 외부 위협을 하나의 시스템에서 필터링해 해킹 시도와 외부 공격으로부터 네트워크를 보호할 수 있습니다.

또한 문서 보안 서비스는 피싱 메일을 통한 중요 정보 탈취를 방지하기 위한 서비스로, 문서 자체를 암호화해 관리합니다. 설령 원치 않는 유출이 발생하더라도, 승인되지 않은 사용자는 파일을 열람할 수 없어 정보 노출로 인한 피해를 최소화할 수 있습니다.

3) 필요한 서비스만 선택 유연한 보안 구성

사이버가드는 기업의 보안 환경과 운영 여건에 맞춰 이메일 보안, 네트워크 보안, 문서 보안 등 필요한 기능한 선택해 구성할 수 있는 선택형 보안 서비스입니다. 이를 통해 불필요한 비용 부담을 줄이면서도, 피싱을 비롯한 다양한 보안 위협에 보다 효율적으로 대응할 수 있습니다.

‍

피싱 공격은 기술의 발전과 함께 갈수록 정교해지고 있습니다. 하지만 올바른 확인 절차와 체계적인 대응 프로세스, 그리고 적절한 예방과 관리 환경이 구성된다면 충분히 예방하고 대응할 수 있습니다. SK쉴더스 사이버가드와 함께 안전한 비즈니스 환경을 만들어 보세요!

‍

‍

‍

‍

‍

‍

‍