[데이터넷] 피싱으로 개인정보를 탈취당한 피해자를 대상으로 한 사이버 공격이 포착됐다. 이스트시큐리티(대표 정진일)는 국세청을 사칭한 악성메일을 분석한 결과, 해킹 경유지로 사용된 공격자 서버에서 피해자 정보가 발견됐는데, 가상자산 투자자 일부가 피싱 공격을 당한 후 이메일에 저장된 개인정보들이 추가 유출돼 다시 악성메일 공격을 당한 것으로 분석됐다. 공격자 서버에 저장된 정보는 특정인의 주민등록증, 운전면허증, 사업자등록증 등이다.

이스트시큐리티가 분석한 결과를 설명하면, 공격에 사용된 악성메일은 국세청에서 발송된 안내문으로 위장했으며, ‘국세청 <hometaxadmin@nts.go.kr>’라는 이메일 주소에서 발송돼 실제 국세청 안내 메일인 것 처럼 보이게 했다.

보통 해킹 메일을 구분하는 방법 중 하나가 발신지의 공식 주소 여부를 확인하는 것인데, 공격자가 이메일 발송 서버를 구축하거나 별도의 설정을 통해 실제 주소처럼 보이게 조작이 가능하다. 더불어 실제 주소를 도용하는 경우도 있으므로 발신지 주소만으로 100% 신뢰해서는 안된다.

이번에 발견된 공격은 국세청 홈택스의 세무조사 신고 통지문처럼 본문을 담고 있으며, ‘세무조사 신고서류안내.pdf’ 문서 파일이 첨부된 것처럼 보이게 했다. 이 파일은 실제 메일에 첨부된 상태가 아니고, 한국의 특정 경제문화교류협회 사이트와 통신한 후, 네이버 계정 피싱용 ‘navearcorps[.]help’, ‘mybox-naves[.]com’ 서버로 연결해 계정 탈취를 시도했다.

피싱 공격에 속아 수신자가 암호를 입력해 유출되면, 실제 국세청 출석 시 필요한 세무조사 신고 안내 PDF 문서를 보여주는 등 치밀하게 공격을 진행하기 때문에 피해자는 해킹 공격에 노출된 사실을 인지하는데 다소 시간이 걸릴 수 있다.

공격에 악용된 ‘navearcorps[.]help’ 서버는 ‘27.102.101.26’ IP 주소로 연결되어 있는데, 작년 4월 경 ‘goooglesecurity[.]com’ 주소를 포함해 ‘naaverascorp[.]com’, ‘naversinfo[.]help’, ‘nidnavesecorp[.]help’, ‘ninavaracorp[.]site’, ‘mybox-navers[.]com’, ‘infonavera[.]com’, ‘nidnaavers[.]com’ 주소 사용 이력이 존재한다. 당시 일부 도메인이 북한 연계 해킹 그룹인 ‘탈륨’ 또는 ‘김수키’에서 사용한 것으로 보고된 바 있다.

이스트시큐리티 ESRC 센터장인 문종현 이사는 “금번 국세청 문서처럼 위장한 포털 계정 피싱 공격뿐만 아니라, 세무조사 신고 서류 안내와 출석 요구처럼 위장한 악성 파일도 다수 보고된 바 있는데, 해당 공격은 일명 ‘코니(Konni)’ 캠페인으로 분류되어 있다”며 “탈륨(김수키) 공격과 코니 캠페인 간의 연관성을 면밀히 조사 중이다”라고 덧붙였다.

이스트시큐리티는 연관 악성 파일의 탐지 기능을 자사 알약(ALYac) 제품에 긴급 업데이트 했으며, 피해 확산 방지를 위해 국가사이버안보협력센터(NCCC)와 한국인터넷진흥원(KISA) 등 관련 부처와 긴밀하게 협력하고 있다.

김선애 기자 다른기사 보기