핵심 POINT
스피어피싱은 특정 기업과 임직원을 겨냥한 지능화 공격으로, 최근 거래대금 탈취와 이커머스 계정 도용 등 다양한 형태의 기업 피해가 발생하고 있습니다.
스피어피싱을 예방하고 대응하기 위해선 사용자와 기업이 함께 실천하는 예방 수칙과 다층적인 정보보안 체계가 필요합니다.
보안 인력이 부족한 중소·중견기업도 구독형 보안 서비스를 통해 초기 부담 없이 전문가 수준의 정보보안 대응 체계를 갖출 수 있습니다.
"[긴급] 일회용 인증코드(OTP) 반복 발생에 따른 보안 점검 안내"
지난 6월, 이런 제목의 메일이 국내 한 기업에게 발송됐습니다. 발신자명은 글로벌 IT 기업의 계정 관리팀으로 표시돼 있었고, 내용도 계정에 이상 징후가 감지됐으니 확인이 필요하다는 지극히 자연스러운 보안 안내였습니다.
하지만 실제 발신 도메인은 공식 주소가 아니었으며, 첨부파일 역시 문서로 위장한 압축 파일이었습니다. 파일을 실행하면 PC에 원격 제어형 악성코드가 설치돼 키보드 입력과 화면, 마이크 정보까지 탈취할 수 있는 것으로 분석됐습니다.
주목할 점은 이 공격이 불특정 다수를 대상으로 무작위로 이뤄진 것이 아니라는 점입니다. 공격자는 특정 표적을 미리 정한 뒤, 의심을 피할 수 있는 발신자명과 문구를 활용해 접근했습니다. 이처럼 맞춤형 정보로 속인 뒤 민감한 데이터를 탈취하거나 악성코드를 심는 정교한 사이버 공격 기법을 '스피어피싱'이라고 합니다.
■ 스피어피싱이란?
이미지 출처 : Magnific
스피어피싱이라는 이름은 작살낚시(Spear fishing)에서 유래했습니다. 넓은 그물을 던져 걸리는 대로 잡아 올리는 일반 피싱과 달리, 하나의 명확한 목표를 조준해 집중 공격한다는 점에서 붙은 이름입니다.
스피어피싱의 공격은 크게 두 가지 방식으로 진행됩니다. 로그인 정보나 계좌번호, 신용카드 번호 등 주요 정보를 직접 요구해 탈취하거나, 수신자가 악성 첨부파일이나 링크를 실행하도록 유도해 시스템을 악성 코드에 감염시키는 방식입니다. 앞서 살펴본 보안팀 사칭 사례가 후자에 해당합니다.
1) 일반 피싱과 무엇이 다를까?
스피어피싱과 일반 피싱의 핵심적인 차이는 공격 대상을 특정하는지 여부, 그리고 미끼로 쓰이는 정보의 정교함에 있습니다. 스피어피싱은 친숙하고 개인화된 정보를 활용해 맞춤형 함정을 파기 때문에 조직 침투로 이어질 가능성이 훨씬 높습니다.
| 구분 | 일반 피싱 | 스피어피싱 |
|---|---|---|
| 대상 | 불특정 다수 | 특정 개인, 기업, 특정 직책 보유자 |
| 내용 | 은행, 택배, 공공기관 등을 사칭한 광범위하고 획일적인 메시지 | 대상의 업무, 관심사, 내부 조직도 등을 철저히 조사해 만든 맞춤형 이메일 |
| 목적 | 불특정 다수의 계정 및 금융 정보 탈취 | 기업 내부망 침투, 핵심 기밀 및 자금 탈취 |
[표] 일반 피싱과 스피어피싱 비교
2) 스피어피싱은 이렇게 진행됩니다
스피어피싱은 메일 한 통으로 끝나는 단발성 공격이 아니라, 사전 조사부터 2차 확산까지 단계적으로 설계된 공격입니다.
① 정보 수집 공격자는 대상 기업의 조직도와 거래 관계, 담당자 업무를 파악합니다. 홈페이지와 보도자료, 링크드인 등 공개된 정보만으로도 상당한 프로파일링이 가능합니다.
② 미끼 제작 '발주서 확인', '세금계산서 발행'처럼 담당자가 열어볼 만한 업무 메일로 위장합니다. 이때 발신 주소를 실제 거래처와 유사하게 변조(스푸핑)합니다.
③ 공격 발송 .LNK(바로가기), .EXE, 압축 파일(.ZIP) 형태의 악성 코드를 첨부하거나 계정 재인증을 유도하는 가짜 로그인 페이지 링크를 삽입하여 피싱 메일을 발송합니다. 최근에는 정상 클라우드 공유 링크나 QR코드를 활용하는 수법도 쓰입니다.
④ 침투 및 권한 확보 수신자가 첨부파일을 실행하거나 가짜 페이지에 정보를 입력하면 본격적인 공격이 시작됩니다. 사내망 계정 정보를 가로채거나 시스템 내부로 진입하는 백도어를 확보합니다.
⑤ 유출 및 2차 공격 탈취한 권한으로 사내 기밀을 수집하거나 가짜 송금을 유도합니다. 나아가 감염된 내부 계정을 악용해 사내 다른 임직원이나 거래처로 피싱 메일을 재발송하며 피해를 연쇄적으로 확산시킵니다.
■ 진화하는 스피어피싱의 최신 피해 사례
스피어피싱은 공격자가 어떤 가면을 쓰느냐에 따라 다양한 형태로 나타납니다. 최근 국내에서 실제로 확인된 대표적인 피해 사례를 유형별로 살펴보겠습니다.
이미지 출처 : Magnific
#1. 비즈니스 메일을 사칭한 거래대금 탈취
기업은 사업 제안과 업무 협의, 자료 전달은 물론 거래대금 청구까지 이메일로 처리하는 경우가 많습니다. 공격자는 이러한 업무 방식을 악용해 실제 거래 메일과 유사한 형식으로 위조 메일을 발송합니다. 발신자 주소나 도메인을 거래처와 비슷하게 꾸며 의심을 피하고, 메일 본문에는 공격자가 관리하는 계좌번호를 기재합니다. 이후 기존 입금 계좌가 변경됐다는 등의 자연스러운 안내를 덧붙여 해당 계좌로 송금하도록 유도합니다.
#2. 이커머스 계정 탈취를 통한 상품 정보 조작
스피어피싱은 기업이 운영하는 이커머스 계정을 노리기도 합니다. 공격자는 거래 문의나 업무 요청으로 위장한 피싱 메일을 보내 로그인 ID와 비밀번호 등 계정 정보를 탈취한 뒤, 이를 이용해 이커머스 시스템에 무단 접속합니다. 이후 등록된 상품 정보나 판매 가격을 임의로 변경해 소비자가 조작된 정보를 바탕으로 상품을 구매하도록 유도합니다. 이 과정에서 반품과 환불 요청이 잇따를 수 있으며, 피해 기업은 금전적 손실은 물론 소비자 신뢰도 하락까지 겪게 됩니다.
#3. 고객으로 위장한 보안 담당자 기만 시도
최근에는 공격자가 보안 담당자에게 직접 접근한 사례도 확인됐습니다. 해당 케이스에서 공격자는 개인정보 유출이 의심된다는 고객 문의로 위장해 담당자와 여러 차례 메일을 주고받으며 신뢰를 쌓았습니다. 중간에 첨부파일을 의심받자 "자체 보안팀 검사 결과 오탐으로 확인되었다"며 담당자를 속인 뒤, 악성 코드를 암호화된 ZIP 파일로 재전송해 침투를 시도했습니다. 보안 솔루션이 암호화된 압축 파일 내부를 검사하기 어렵다는 점을 악용한 것입니다.
■ 스피어피싱, 어떻게 예방해야 할까?
이처럼 스피어피싱은 실제 업무 환경을 정교하게 파고드는 방식으로 진화하고 있습니다. 피해를 예방하려면 임직원 차원에서 예방 수칙을 숙지하는 것도 중요하지만, 조직 차원에서도 체계적인 대응이 함께 이뤄져야 합니다. 지금부터 개인과 기업이 각각 실천할 수 있는 대응 방안을 살펴보겠습니다.
1) 임직원 개인
✔ 의심스러운 메일 확인
출처가 불분명하거나 평소와 다른 내용으로 파일 열람을 재촉하는 메일은 주의해야 합니다. 발신자 주소가 실제 거래처나 기관의 공식 도메인과 일치하는지도 확인합니다.
✔ 첨부파일 및 링크 주의
스크립트 파일(JS, VBS 등)이나 실행 파일(EXE, SCR 등) 등 확장자를 확인하고, 의심스러운 파일은 백신으로 먼저 검사해야 합니다. 본문에 포함된 링크도 클릭 전 마우스를 올려 실제 연결 주소를 확인하는 습관이 필요합니다.
✔ 보안 프로그램 최신 유지
운영체제와 백신, 응용 프로그램의 보안 패치를 항상 최신 상태로 유지하고, 백신의 실시간 감시 기능을 활성화해야 합니다.
✔ 비정상 송금 요청 확인
평소와 다른 계좌나 긴급 송금을 요구하는 메일·메신저는 피싱일 가능성이 높습니다. 거래처를 사칭한 공격자가 메신저 음성 통화로 송금을 요청하는 사례도 확인되므로, 통화 시에도 상대방의 신원을 확인해야 합니다.
✔ 메일 계정 보안 강화
비밀번호는 복잡하게 설정하고 주기적으로 변경합니다. 로그인 기록을 확인해 의심스러운 접속이 발견되면 즉시 비밀번호를 변경하고 해외 로그인 차단 기능을 활성화합니다.
2) 기업 및 기관
✔ 2단계 인증(MFA) 도입
기업과 기관은 메일 계정에 일회용 비밀번호(OTP), 인증 앱, 보안키 등 추가 인증 수단을 적용해야 합니다. 계정 정보가 유출되더라도 공격자의 무단 접속을 차단하거나 피해 가능성을 낮출 수 있습니다.
✔ 메일 보안 솔루션 도입
발신자 정책 프레임워크(SPF)와 도메인키 식별 메일(DKIM)을 설정하고, 도메인 기반 메시지 인증·보고·정책(DMARC)을 적용해 위조 메일을 차단해야 합니다. 정책 위반 로그를 주기적으로 점검하고, 의심 메일은 격리해 검토하며 반복적으로 위반하는 발신 도메인은 차단해야 합니다.
✔ 해킹 메일 대응 모의훈련
스피어피싱은 사람의 심리적 약점을 노리는 사회공학 기법을 활용하므로, 직원 교육이 예방의 핵심입니다. 정기적인 메일 보안 교육을 실시하고 최신 침해사고 사례와 대응법을 꾸준히 공유해야 합니다. 실제와 유사한 피싱 메일을 활용한 모의훈련은 임직원의 경각심과 대응 역량을 높일 수 있습니다.
✔ 보안관제 체계 운영
이메일을 통해 유입된 위협이 내부 시스템으로 확산되지 않도록 상시 탐지·대응 체계를 운영해야 합니다. 자체 운영이 어렵다면 전문 보안관제 서비스를 활용해 24시간 위협을 모니터링하고 보안 담당자의 대응 공백을 줄일 수 있습니다.
■ 보안 사각지대에 놓인 중소기업, SK쉴더스가 함께합니다
이미지 출처 : Magnific
최근 스피어피싱은 생성형 AI와 자동화 기술을 활용해 더욱 정교해지고 있습니다. 비즈니스 이메일 침해(BEC), 임원 사칭, 계정 탈취, 클라우드 업무 계정 침해 등으로 피해가 확산될 가능성도 커지고 있습니다.
스피어피싱에 특히 취약한 곳은 전담 보안 인력과 예산이 부족한 중소기업입니다. 이메일과 네트워크, 문서 보안은 물론 임직원 훈련까지 여러 방어 체계를 동시에 구축하고 운영하기가 쉽지 않기 때문입니다.
자체 보안 체계 구축이 부담스러운 중견·중소기업이라면 큰 초기 비용 투자 없이 바로 이용할 수 있는 구독형 보안 서비스가 대안이 될 수 있습니다. SK쉴더스의 '사이버가드'는 이메일과 네트워크, 문서 보안 등 피싱 방지에 필요한 서비스만 선택해 월 구독 형태로 이용할 수 있습니다. 또한, 24시간 이상 징후를 탐지하고 실제 침해 사고 발생 시 보안 전문가가 직접 대응하는 관리형 탐지·대응(MDR) 서비스 역시 구독 형태로 제공하고 있습니다.
이와 함께 SK쉴더스는 기업의 보안 수준을 진단하는 정보보안 컨설팅부터 실제 공격자의 관점에서 취약점을 점검하는 모의해킹까지 폭넓게 지원하여 위협에 노출된 기업들의 자산을 안전하게 보호하고 있습니다.
어쩌면, 오늘 받은 메일 한 통이 우리 회사의 보안 수준을 시험하는 계기가 될 수 있습니다. SK쉴더스와 함께 기업 환경에 맞는 정보보안 체계를 점검해 보시기 바랍니다.
■ 자주 묻는 질문 (FAQ)
Q. 스피어피싱 메일은 어떻게 구별하나요?
A. 발신자 주소를 한 글자씩 확인하는 것이 가장 확실합니다. 공격자는 공식 도메인과 비슷하게 철자를 바꾸거나 유사한 문자를 섞는 경우가 많습니다. 평소와 다른 긴급한 요청이나 계좌 변경 안내는 유선으로 확인하고, 문서처럼 보이는 첨부파일도 실제 확장자를 확인해야 합니다.
Q. 첨부파일을 열지 않고 메일만 확인했는데도 위험한가요?
A. 메일 열람만으로 감염될 가능성은 낮지만 안전하지는 않습니다. 본문 이미지가 외부 서버에서 로딩되는 방식이라면 열람 사실 자체가 공격자에게 전달돼, 활성 계정이라는 신호가 됩니다. 의심스러운 메일은 열지 말고, 실수로 열었더라도 링크 클릭과 첨부파일 실행만큼은 피해야 합니다.
Q. 보안 인력이 없는 중소기업은 어떻게 대비해야 하나요?
A. 전문 기업의 구독형 보안 서비스를 활용하는 것이 현실적입니다. 초기 비용 부담 없이 필요한 기능만 골라 적용할 수 있습니다. SK쉴더스 사이버가드는 이메일 보안과 네트워크 보안, 문서 보안 등 중소기업에게 필요한 기능을 맞춤형으로 제공합니다.
[콘텐츠 출처]
"MS 보안팀입니다"…첨부파일 열었더니 PC 통째로 털렸다
MS 사칭 피싱과 Dead-drop C2 기반 APT37 NarwhalRAT 분석
개인정보 유출 의심 문의로 위장한 Kimsuky 스피어피싱 사례 분석
