기업ㆍ기관 `타깃 메일`… 클릭하고도 `깜깜이`
정상 메일과 분별 어렵고 첨부파일 통해 감염
APT 공격 시발점으로 내부 정보ㆍ시스템 노출
보안패치 업데이트ㆍ맞춤형 솔루션 설계 필요
정상 메일과 분별 어렵고 첨부파일 통해 감염
APT 공격 시발점으로 내부 정보ㆍ시스템 노출
보안패치 업데이트ㆍ맞춤형 솔루션 설계 필요
올해 직장생활 6년차인 정기수(가명)씨는 최근 일을 하던 중 이메일로 `연봉 협상 결과 통지서`를 받았습니다. 파일을 열자 연봉협상결과에 대한 회사 문서가 열렸습니다. 연봉 결과는 정씨의 기대를 벗어났고, 고민 끝에 인사과에 문의를 했더니 뜻밖의 답이 돌아왔습니다. 그런 메일을 정씨에게 보낸 적이 없다는 것입니다.
국방 관련 연구소에 근무하는 서조연 박사(가명)는 국방부에서 보낸 `북한 동향 관련 문서 검토 요망'이라는 이메일을 받았습니다. 서 박사는 해당 문서를 다운로드받아 읽어봤는데 북한에 대한 내용을 담은 보고서이긴 했으나 색다른 내용은 없었습니다. 하지만 이 역시 국방부에서 보낸 메일이 아니었습니다.
과거 악성공격은 불특정 다수에게 악성코드를 심은 일반적인 메일을 보내는 경우가 많았습니다. 하지만 최근 공격은 특정인을 겨냥해 해당인이 속아 넘어 갈 만한 공신력 있는 단체나 인물을 사칭하고, 그럴듯한 문서까지 위조해 악성코드에 감염시키는 방식으로 진행되고 있습니다.
이를 스피어피싱(Spear phishing)이라고 합니다. 스피어피싱이 일반적인 스팸 메일과 구별되는 점은 △불특정 다수를 노리는 것이 아니라 특정 기관 및 기업을 노리는 `표적성' △일반적인 광고, 애드웨어보다 훨씬 심각한 정보유출 등을 노리는 악성코드의 `심각성' △정상파일을 보여주거나 내용을 의심할 수 없을 정도로 정상 메일과 유사한 `정교성' 등을 들 수 있습니다.
해외 통계에 따르면 지금까지 밝혀진 APT 성 표적형 공격의 90% 이상이 스피어피싱으로 유발됐거나 공격에 사용됐다고 합니다. 대부분 스피어피싱에는 첨부파일이 있었지요.
안랩은 최근 이러한 첨부파일이 사람들의 의심을 피하고 개봉률을 높이기 위해 .exe나 .dll등의 실행파일에서 doc, pdf, hwp, xls등의 문서파일, .zip 등 압축 파일과 같은 비 실행형 파일로 변하는 추세라고 합니다.
해커들은 공격을 할 표적을 정하면, 페이스북, 트위터와 같은 SNS나 인터넷에 퍼져 있는 상대방의 정보를 수집합니다. 자주 가는 웹사이트, 취미, 소속된 조직 등 표적 대상에 대한 정보를 수집한 후, 피싱 메일을 전송합니다. 클릭하는 순간 악성코드에 감염이 되어 공격의 희생양이 되는 것입니다.
그렇다면 스피어피싱은 왜 위험할까요? 스피어피싱이 지능형지속위협(APT)공격의 시작점이자 내부 시스템 파악의 첫 발판이 되기 때문입니다. APT 공격의 가장 큰 특징은 특정 기관이나 기업을 노려 지능적, 조직적으로 성공할 때까지 노린다는 점입니다.
스피어피싱이 특히 위험한 이유는 대상자가 자신이 받은 이메일이 정상메일인지, 악성메일인지 구분하기가 어렵다는 데 있습니다. 해커가 특정 조직을 목표로 삼으면 해커는 장기간에 걸쳐 목표 조직의 거의 모든 것을 파악합니다. 앞서 언급한 직장인 정씨의 사례처럼 조직 내부 부서를 사칭하거나, 연구원 서 박사처럼 정부 부처를 사칭하고 맞춤화된 내용의 메일 및 첨부파일을 보내 감염을 시도합니다. 이런 사회공학적(Social Engineering) 기법의 공격에 노출되면 개인이 이를 구별해 내기란 쉽지 않습니다.
또 첨부파일로는 문서파일과 같은 비실행형 파일이 자주 사용되는 추세입니다. 이는 당연히 수신자의 의심을 피하기 위해서인데요, 무심코 첨부된 문서파일을 열어도 표면적으로는 정상적인 문서를 보여주고, 사용자 몰래 뒤에서 감염을 시도하기 때문에 사용자는 그냥 지나치기 쉽습니다. 이 때 설치되는 악성코드는 광범위하게 사용되는 것이 아니라 특정 조직 침투만을 목적으로 만들어진 `맞춤형 소량 제작 악성코드'로, 이미 알려진 악성코드에 대응하는 `시그니처' 방식의 백신만으로 막아내기엔 어려움이 있습니다.
자신이 속해있는 조직에 대한 큰 피해로 이어질 수 있다는 것도 스피어피싱이 위험한 이유입니다. 국내 및 해외 보안전문가들은 최초에 악성코드가 한번 시스템에 침투하기만 하면 이후 들키지 않고 내부망을 돌아다니며 취약점을 찾아내고, 이를 기반으로 시스템 장악 후 기밀정보를 유출하거나 피해를 입히는 것은 어려운 일이 아니라고 지적하고 있습니다.
스피어피싱을 예방하려면 먼저 조직의 경우 스피어피싱의 심각성에 대해 충분히 인지하고 전체적인 관점에서 이 스피어피싱이 APT공격과 어떻게 연관될 수 있는지 맥락을 파악하는 것이 중요합니다. 특히 스피어 피싱에 사용되는 악성코드는 맞춤형 소량 제작 악성코드이기 때문에, 알려진 악성코드에 대응하는 백신은 물론 다계층적인 보안 솔루션을 조직의 특성에 맞게 설계하는 것이 필요합니다. 솔루션 도입으로만 그치지 말고 정기적인 직원 보안교육, 내부 보안 인재 육성 등의 노력도 동시에 진행돼야 합니다.
개인의 경우엔 조금이라도 수상한 메일의 첨부파일이나 URL을 실행하지 않는 것이 스피어피싱을 막기 위한 가장 확실한 방법입니다. 사용하고 있는 SW 프로그램 제공사에서 보안 패치를 발표하면 이를 꼭 업데이트 해야 하며 혹시 (조금 내용이 엉성하거나 모르는 사람에게서 받은)파일을 열었을 때는 즉시 사내 보안 담당자에 연락해 후속 조치를 취하는 것이 좋습니다.
강은성기자 esther@
도움말=안랩
국방 관련 연구소에 근무하는 서조연 박사(가명)는 국방부에서 보낸 `북한 동향 관련 문서 검토 요망'이라는 이메일을 받았습니다. 서 박사는 해당 문서를 다운로드받아 읽어봤는데 북한에 대한 내용을 담은 보고서이긴 했으나 색다른 내용은 없었습니다. 하지만 이 역시 국방부에서 보낸 메일이 아니었습니다.
과거 악성공격은 불특정 다수에게 악성코드를 심은 일반적인 메일을 보내는 경우가 많았습니다. 하지만 최근 공격은 특정인을 겨냥해 해당인이 속아 넘어 갈 만한 공신력 있는 단체나 인물을 사칭하고, 그럴듯한 문서까지 위조해 악성코드에 감염시키는 방식으로 진행되고 있습니다.
이를 스피어피싱(Spear phishing)이라고 합니다. 스피어피싱이 일반적인 스팸 메일과 구별되는 점은 △불특정 다수를 노리는 것이 아니라 특정 기관 및 기업을 노리는 `표적성' △일반적인 광고, 애드웨어보다 훨씬 심각한 정보유출 등을 노리는 악성코드의 `심각성' △정상파일을 보여주거나 내용을 의심할 수 없을 정도로 정상 메일과 유사한 `정교성' 등을 들 수 있습니다.
해외 통계에 따르면 지금까지 밝혀진 APT 성 표적형 공격의 90% 이상이 스피어피싱으로 유발됐거나 공격에 사용됐다고 합니다. 대부분 스피어피싱에는 첨부파일이 있었지요.
안랩은 최근 이러한 첨부파일이 사람들의 의심을 피하고 개봉률을 높이기 위해 .exe나 .dll등의 실행파일에서 doc, pdf, hwp, xls등의 문서파일, .zip 등 압축 파일과 같은 비 실행형 파일로 변하는 추세라고 합니다.
해커들은 공격을 할 표적을 정하면, 페이스북, 트위터와 같은 SNS나 인터넷에 퍼져 있는 상대방의 정보를 수집합니다. 자주 가는 웹사이트, 취미, 소속된 조직 등 표적 대상에 대한 정보를 수집한 후, 피싱 메일을 전송합니다. 클릭하는 순간 악성코드에 감염이 되어 공격의 희생양이 되는 것입니다.
그렇다면 스피어피싱은 왜 위험할까요? 스피어피싱이 지능형지속위협(APT)공격의 시작점이자 내부 시스템 파악의 첫 발판이 되기 때문입니다. APT 공격의 가장 큰 특징은 특정 기관이나 기업을 노려 지능적, 조직적으로 성공할 때까지 노린다는 점입니다.
스피어피싱이 특히 위험한 이유는 대상자가 자신이 받은 이메일이 정상메일인지, 악성메일인지 구분하기가 어렵다는 데 있습니다. 해커가 특정 조직을 목표로 삼으면 해커는 장기간에 걸쳐 목표 조직의 거의 모든 것을 파악합니다. 앞서 언급한 직장인 정씨의 사례처럼 조직 내부 부서를 사칭하거나, 연구원 서 박사처럼 정부 부처를 사칭하고 맞춤화된 내용의 메일 및 첨부파일을 보내 감염을 시도합니다. 이런 사회공학적(Social Engineering) 기법의 공격에 노출되면 개인이 이를 구별해 내기란 쉽지 않습니다.
또 첨부파일로는 문서파일과 같은 비실행형 파일이 자주 사용되는 추세입니다. 이는 당연히 수신자의 의심을 피하기 위해서인데요, 무심코 첨부된 문서파일을 열어도 표면적으로는 정상적인 문서를 보여주고, 사용자 몰래 뒤에서 감염을 시도하기 때문에 사용자는 그냥 지나치기 쉽습니다. 이 때 설치되는 악성코드는 광범위하게 사용되는 것이 아니라 특정 조직 침투만을 목적으로 만들어진 `맞춤형 소량 제작 악성코드'로, 이미 알려진 악성코드에 대응하는 `시그니처' 방식의 백신만으로 막아내기엔 어려움이 있습니다.
자신이 속해있는 조직에 대한 큰 피해로 이어질 수 있다는 것도 스피어피싱이 위험한 이유입니다. 국내 및 해외 보안전문가들은 최초에 악성코드가 한번 시스템에 침투하기만 하면 이후 들키지 않고 내부망을 돌아다니며 취약점을 찾아내고, 이를 기반으로 시스템 장악 후 기밀정보를 유출하거나 피해를 입히는 것은 어려운 일이 아니라고 지적하고 있습니다.
스피어피싱을 예방하려면 먼저 조직의 경우 스피어피싱의 심각성에 대해 충분히 인지하고 전체적인 관점에서 이 스피어피싱이 APT공격과 어떻게 연관될 수 있는지 맥락을 파악하는 것이 중요합니다. 특히 스피어 피싱에 사용되는 악성코드는 맞춤형 소량 제작 악성코드이기 때문에, 알려진 악성코드에 대응하는 백신은 물론 다계층적인 보안 솔루션을 조직의 특성에 맞게 설계하는 것이 필요합니다. 솔루션 도입으로만 그치지 말고 정기적인 직원 보안교육, 내부 보안 인재 육성 등의 노력도 동시에 진행돼야 합니다.
개인의 경우엔 조금이라도 수상한 메일의 첨부파일이나 URL을 실행하지 않는 것이 스피어피싱을 막기 위한 가장 확실한 방법입니다. 사용하고 있는 SW 프로그램 제공사에서 보안 패치를 발표하면 이를 꼭 업데이트 해야 하며 혹시 (조금 내용이 엉성하거나 모르는 사람에게서 받은)파일을 열었을 때는 즉시 사내 보안 담당자에 연락해 후속 조치를 취하는 것이 좋습니다.
강은성기자 esther@
도움말=안랩
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
