핵심 POINT
탈취된 기업 메일 계정으로 발신자 인증을 우회하는 피싱 공격과, 이메일을 열기만 해도 감염되는 제로클릭 공격까지 확인되고 있습니다. 이제 발신자 주소 확인만으로는 이메일 피싱을 막기 어렵습니다.
한 번 탈취된 메일 계정은 내부 시스템 침투, 거래처 사칭 송금 요청(BEC), 악성코드 유포 등 연쇄적인 2차 피해의 출발점이 됩니다. 발신자 인증과 계정 자체의 보안을 함께 관리하는 통합적인 이메일 보안 체계가 필요합니다.
SK쉴더스의 중소/중견기업을 위한 구독형 정보보안서비스 사이버가드는 기업 환경에 맞춰 필요한 보안서비스만 선택해 사용할 수 있고, 보안 담당자가 없는 기업도 이용할 수 있습니다.
이메일 해킹·피싱 대응법, 발신자 확인만으로는 부족한 이유
거래처에서 보낸 세금계산서 메일, 신뢰할 수 있는 동료의 회신, 공공기관의 안내문. 매일 확인하는 업무 메일 가운데 어느 것이 진짜인지 구분할 수 있으신가요?
이메일 피싱은 여전히 사이버 공격의 가장 대표적인 진입 경로입니다. 마이크로소프트 위협 인텔리전스의 보고서에 따르면, 2026년 1분기에만 약 83억 건의 이메일 기반 피싱 공격이 탐지되었으며, 자격 증명 탈취가 주요 공격 목적이었습니다. 악성 페이로드 중 자격 증명 피싱 비중은 1월 89%에서 2월 95%까지 높아졌습니다. 과거에는 낯선 발신자 주소나 어색한 한국어 표현으로 피싱메일을 식별할 수 있었지만, 최근에는 탈취된 실제 기업 메일 계정에서 발송되거나 이메일을 열기만 해도 악성코드가 실행되는 제로클릭 공격까지 등장하면서 개인 차원의 주의만으로는 방어하기 어려운 상황이 되었습니다.
이번 글에서는 진화하는 이메일 해킹과 피싱의 최신 수법을 살펴보고, 기업이 점검해야 할 정보보안 요령과 사이버보안 대응 수칙을 정리합니다.
■ 발신자 인증도 무력화하는 이메일 피싱, 어떻게 진화했나
출처: Magnific
❶ 탈취된 기업 메일함을 악용한 발신자 인증 우회 공격
최근 글로벌 보안 기업 젠 디지털(Gen Digital)이 2026년 상반기에 이미 공격자에게 장악된 실제 기업 메일함을 활용해 발신자 인증 시스템을 우회하는 공격 사례를 발표했습니다. 기업이 이메일 위·변조를 막기 위해 도입한 SPF, DKIM 같은 발신자 인증 체계를 정면으로 뚫는 것이 아니라, 실제 기업의 메일 서버에서 발송하기 때문에 인증을 정상적으로 통과하는 방식입니다.
이런 메일에 포함된 첨부파일을 열게 되면 자바스크립트와 파워셸 단계를 거쳐 악성코드가 실행됩니다. 이후 피해 PC의 프록시 설정을 조작하고 브라우저 확장 프로그램을 설치해 웹뱅킹 세션에 직접 침투하는 구조여서, 발신자 주소 확인 같은 기존 보안 수칙만으로는 피싱 공격에 대응하기 어려워졌습니다.
❷ 이메일을 열기만 해도 감염되는 제로클릭 공격
또 다른 사례로 최근 러시아 배후 해킹 조직 ‘런드리 베어(Laundry Bear)’가 오픈소스 웹메일 플랫폼 짐브라 콜라보레이션 스위트(Zimbra Collaboration Suite)의 취약점(CVE-2025-66376)을 악용한 공격이 확인되었습니다. 공격자는 사전에 탈취한 이메일 계정으로 악성 자바스크립트를 숨긴 메일을 발송했으며, 수신자가 메일을 열기만 해도 시스템이 장악되는 제로클릭 기법을 사용했습니다.
이 공격으로 최근 90일치 이메일 내역, 비밀번호, 연락처 목록, 2단계 인증(2FA) 토큰 등 민감한 인증 정보가 유출되었습니다. 보안 패치가 적용되지 않은 웹메일 시스템을 사용하는 기업이라면, 사용자의 주의만으로는 차단할 수 없는 시스템 차원의 위협에 노출되어 있는 셈입니다.
❸ 채용·기부를 가장한 피싱 메일과 워터링홀 공격
국내에서도 이메일 피싱 위협이 커지고 있습니다. 2026년 7월, 국가정보원·경찰청·KISA·금융보안원이 합동으로 발표한 사이버보안 권고문에 따르면, 북한 등 특정 국가 배후로 추정되는 해킹 조직이 채용 지원이나 기부 제안을 가장한 피싱 메일을 유포하고 있습니다. 실제 헤드헌터의 이메일 계정을 탈취해 발신인을 위장하거나, 이력서를 링크로 제공해 접속만으로 악성코드에 감염시키는 수법이 확인되었습니다.
이와 함께 뉴스 사이트, 병원 웹사이트 등 사용자가 자주 방문하는 사이트를 미리 해킹해 악성코드를 심어 두는 ‘워터링홀 공격’도 병행되고 있습니다. 보안 프로그램이 최신 버전으로 업데이트되지 않은 PC에서는 사이트 접속만으로도 감염될 수 있어, 소프트웨어 관리 역시 이메일 보안 못지않게 중요합니다.
■ 이메일 계정이 탈취되면 어떤 일이 벌어질까
출처: Magnific
이메일 피싱의 진짜 위험은 메일 한 통이 아니라, 탈취된 계정을 통해 벌어지는 연쇄적인 2차 공격에 있습니다.
1) 내부 직원을 대상으로 한 2차 악성메일 유포
탈취한 계정으로 동료나 거래처에 악성메일을 발송할 수 있습니다. 내부 직원이 보낸 메일이므로 수신자 입장에서는 의심하기 어렵고, 조직 전체로 감염이 빠르게 확산될 수 있습니다.
2) 내부 시스템 침투의 발판 확보
메일함에 남아 있는 VPN 접속 정보, 인사 시스템 URL, 내부 문서 링크 등을 통해 공격자가 더 깊은 내부 시스템으로 침투할 수 있습니다. 계정 하나가 탈취되면 전체 네트워크 침해로 이어질 수 있습니다.
3) 거래처 사칭 송금 요청(BEC)
경영진이나 재무 담당자의 메일 계정이 탈취되면, 거래처에 위장 송금 요청을 보내거나 급여 계좌 변경을 지시하는 비즈니스 이메일 침해(BEC) 공격으로 이어집니다. 미국 FBI 인터넷범죄신고센터(IC3)의 2025년 연례 보고서에 따르면, 2025년 미국에서 접수된 BEC 신고는 24,768건이며 신고된 피해액은 약 30억 달러로 투자 사기에 이어 두 번째로 큰 피해 유형이었습니다. 국내 기업의 52%가 BEC 공격을 경험했다는 보고도 있습니다.
이처럼 이메일 한 통의 실수가 내부 정보 유출, 금전 피해, 거래처 신뢰 훼손까지 연쇄적으로 이어질 수 있습니다. 이메일 보안은 단순히 스팸을 걸러내는 수준을 넘어, 계정 보호와 이상 행위 탐지까지 아우르는 통합적 대응이 필요한 이유입니다.
■ 기업이 지금 점검해야 할 이메일 보안 대응 수칙
출처: Magnific
기업 이메일 보안, 어디서부터 점검해야 할까요? 이메일 피싱 대응은 한 가지 조치만으로 해결되지 않습니다. 기술적 방어, 계정 보호, 시스템 관리, 인적 대응을 함께 갖춰야 실효성 있는 보안 체계를 구축할 수 있습니다.
1. 발신자 인증 프로토콜 적용
SPF, DKIM, DMARC 등 이메일 발신자 인증 프로토콜을 적용해 위변조 메일을 차단하는 것은 기본입니다. 다만, 앞서 살펴본 것처럼 탈취된 실제 계정에서 발송되는 공격은 이 인증을 정상 통과할 수 있으므로, 발신자 인증만으로는 완벽한 방어가 어렵습니다. 메일 첨부파일 분석, 악성 URL 탐지, 위변조 메일 필터링 기능을 갖춘 이메일 보안 솔루션과 병행해야 합니다.
2. 다중 인증(MFA)과 비정상 로그인 탐지
계정 탈취를 막는 가장 효과적인 방법은 다중 인증(MFA)을 도입하는 것입니다. 비밀번호가 유출되더라도 추가 인증 수단이 있으면 공격자의 로그인을 차단할 수 있습니다. 여기에 평소와 다른 IP, 기기, 시간대에서의 로그인 시도를 자동으로 감지·차단하는 비정상 로그인 탐지 체계를 함께 갖추면 더욱 효과적입니다.
3. 메일 자동전달 규칙 및 접속 권한 점검
공격자가 계정을 탈취한 뒤 흔히 쓰는 수법 중 하나는 메일 자동전달 규칙을 설정해 수신 메일을 외부로 빼돌리는 것입니다. 정기적으로 메일 자동전달 규칙을 점검하고, 불필요한 외부 접근 권한을 제거하는 것이 중요합니다. 특히 퇴사자나 외부 협력업체의 메일 접근 권한이 해지되지 않은 채 방치되는 경우가 많으므로, 주기적인 접속 권한 점검이 필요합니다.
4. 이메일 시스템 보안 업데이트와 악성 행위 모니터링
짐브라 제로클릭 사례에서 확인된 것처럼, 보안 패치가 적용되지 않은 웹메일 시스템은 그 자체가 공격 경로가 됩니다. 이메일 서버와 웹메일 플랫폼의 보안 업데이트를 즉시 적용하고, 대량 메일 발송, 비정상 첨부파일 전송 등 악성 행위를 실시간으로 모니터링하는 체계를 갖춰야 합니다.
5. 악성메일 모의훈련과 보안 인식 교육
기술적 보안 체계를 갖추더라도 직원 한 명이 피싱메일의 링크를 클릭하면 방어선이 무너질 수 있습니다. 정기적인 악성메일 모의훈련을 통해 직원들이 피싱메일을 식별하는 능력을 키우고, 의심 메일을 보안팀에 즉시 신고하는 프로세스를 정착시키는 것이 중요합니다. 특히 BEC 공격은 재무, 인사, 경영진 등 특정 직책을 겨냥하므로 고위험 부서에 대한 집중 교육도 필요합니다.
■ 중소·중견기업의 이메일 보안 체계, SK쉴더스와 함께 구축하세요
많은 중소·중견기업이 보안의 중요성은 알지만, 전담 인력과 예산이 부족해 기업 보안 인프라를 직접 구축하기는 쉽지 않습니다. SK쉴더스는 중소/중견기업을 위한 구독형 정보보안서비스 ‘사이버가드’를 제공하며, 기업 환경에 맞춰 필요한 보안서비스만 선택해 사용할 수 있습니다.
1) 이메일 보안
SK쉴더스 사이버가드 이메일 보안은 메일로 유입되는 악성코드나 해킹 시도를 차단합니다. 스팸메일뿐 아니라 악성코드(랜섬웨어 포함)가 포함된 메일도 필터링해 차단하며, 클라우드 상에서 실시간으로 변종 악성코드와 랜섬웨어를 찾아 차단합니다. 압축된 첨부 파일의 표기 확장자와 실제 확장자를 비교해 서로 다를 경우 위·변조된 파일로 판단해 차단하고, 첨부 문서의 매크로와 스크립트는 자동으로 제거한 뒤 안전하게 발송합니다.
2) 통합 PC 보안(DLP)
이메일 피싱은 기업의 핵심 데이터 탈취로 이어질 수 있습니다. SK쉴더스 사이버가드 통합 PC 보안(DLP)은 기업의 기밀문서와 파일이 외부로 유출되지 않도록 보호하고, 유해사이트 접속을 차단하여 PC를 보호합니다. USB, 메일, 출력물을 차단하고 메신저, FTP, 클라우드, 원격 등 다양한 경로의 파일 전송을 차단하며 관리자 승인으로 유출을 제어합니다. 또한 PC 내 저장·생성·수정되는 파일을 실시간으로 스캔해 개인정보 문서를 감지하고, 검출 시 관리자에게 알립니다.
3) 통합 네트워크 보안과 원격 보안관제
이메일 보안과 더불어 네트워크 보안 강화로 2차 피해를 조기에 막는 것이 중요합니다. SK쉴더스 사이버가드 통합 네트워크 보안(UTM)은 방화벽, 침입 방지 시스템(IPS), VPN 기능을 하나의 장비에서 제공해 해킹 시도와 외부 공격으로부터 기업의 네트워크를 보호합니다. 원격 보안관제 서비스는 AI 기반 분석과 24시간 원격 관제를 통해 사이버 위협을 실시간으로 탐지하고 대응하며, MDR 서비스는 EDR 기반 엔드포인트 행위 분석과 전문가 운영을 통해 내부 위협을 탐지하고 대응합니다.
4) 필요한 서비스만 선택해 구성할 수 있는 합리적인 구독형 모델
SK쉴더스 사이버가드는 구독 서비스로 제공되는 보안 소프트웨어로, 기업 환경에 맞춰 필요한 보안서비스만 선택해 월 단위로 이용할 수 있습니다. 도입 비용과 관리 부담 없이 시작할 수 있으며, 정보보안 담당자가 없는 기업도 이용할 수 있습니다. 이메일 보안, 통합 PC 보안, 통합 네트워크 보안, 원격 보안관제 서비스 등 필요한 서비스를 선택해 구성할 수 있습니다.
발신자 인증 우회부터 제로클릭 공격까지, 이메일 피싱은 개인의 주의만으로 막을 수 있는 수준을 넘어섰습니다. 발신자 인증과 계정 보호, 시스템 업데이트와 보안 교육까지 기업 차원의 통합적인 정보보안 대응이 필요한 시점입니다. SK쉴더스 사이버가드에서 우리 기업에 필요한 보안서비스를 확인해 보시기 바랍니다.
■ 자주 묻는 질문 (FAQ)
Q1. 발신자 주소만 확인하면 이메일 피싱을 막을 수 있나요?
A. 아니요, 발신자 주소 확인만으로는 막기 어렵습니다. 탈취된 실제 기업 메일 계정에서 발송되는 공격은 SPF, DKIM 같은 발신자 인증을 정상적으로 통과할 수 있기 때문입니다. 발신자 인증과 함께 다중 인증(MFA) 적용, 첨부파일·악성 URL 탐지가 가능한 이메일 보안 솔루션, 보안 업데이트, 악성메일 모의훈련을 병행해야 합니다.
Q2. 제로클릭 공격은 어떻게 대비할 수 있나요?
A. 제로클릭 공격은 사용자의 클릭 없이 이메일 열람만으로 감염이 이루어지므로, 개인의 주의만으로는 방어할 수 없습니다. 이메일 서버와 웹메일 플랫폼의 보안 패치를 즉시 적용하고, 사용 중인 보안 소프트웨어를 항상 최신 버전으로 유지하는 것이 핵심입니다. 특히 오픈소스 웹메일을 운영하는 기업은 취약점 공지를 상시 모니터링해야 합니다.
Q3. MFA(다중 인증)를 도입하면 이메일 계정 탈취를 완전히 막을 수 있나요?
A. MFA는 이메일 계정 탈취 방지에 가장 효과적인 수단이지만 완벽하지는 않습니다. 최근에는 인증 요청을 반복 발송해 사용자가 실수로 승인하도록 유도하는 ‘MFA 피로 공격’이나, 세션 토큰을 탈취해 인증을 우회하는 기법도 등장하고 있습니다. MFA와 함께 비정상 로그인 탐지, 접속 IP 제한 등을 병행하는 것이 바람직합니다.
Q4. 전담 보안 인력이 없는 중소기업도 이메일 보안 체계를 구축할 수 있나요?
A. 네, 가능합니다. SK쉴더스 사이버가드는 필요한 보안서비스만 선택해 월 단위로 이용할 수 있는 구독형 정보보안서비스로, 정보보안 담당자가 없는 기업도 이용할 수 있습니다. 이메일 보안은 스팸메일뿐 아니라 악성코드(랜섬웨어 포함)가 포함된 메일도 필터링해 차단합니다. 사이버가드 홈페이지에서 맞춤 견적을 확인하고 상담을 신청할 수 있습니다.
[콘텐츠 내용 출처]
• "믿었던 회사 메일이 함정?" 기업 메일함 활용한 발신자 인증 시스템 우회 공격 기승 (보안뉴스, 2026.08.10.)
• "메일 열기만 했는데 해킹?" 짐브라 제로클릭 취약점 악용 공격 (보안뉴스, 2026.07.)
• 채용·기부 메일로 속이는 해킹 기승...정부 ‘사이버 경보’ (파이낸셜뉴스, 2026.07.30.)
• "악성코드보다 계정 탈취"...QR·캡차 무기로 진화한 이메일 피싱 (MS TODAY, 2026.05.)
• [2026 이메일 보안 솔루션 리포트] 클릭 한 번·발신 한 번에 무너지는 보안 (보안뉴스, 2026.01.)
• [사칭메일 피해 급증] 이메일 한 통에 기업 휘청 (전자신문, 2025.05.)
