신입직원도 노린다…'진화하는 이메일 피싱'

[ 김경림 기자 ]

마이크로소프트는 22일 사이버 위협의 한 방식으로 비즈니스 이메일을 활용하는 경우가 늘고 있다고 설명했다.

MS 위협 인텔리전스 디지털범죄팀은 지난해 비즈니스 이메일을 노린 ‘서비스형 사이버 범죄(CaaS)’가 지난 2019년 대비 38% 증가한 것을 관찰했다. 특히, 많은 공격자들이 사용하는 서비스 중 하나인 BulletProftLink는 산업 규모의 악성 이메일 캠페인을 생성하는 플랫폼으로, BEC를 위한 템플릿, 호스팅, 자동화 서비스 등을 포함한 엔드투엔드 서비스를 판매한다.

BEC 공격자들은 매일 쏟아지는 이메일 트래픽과 메시지를 악용한다. 이를 통해 피해자가 금융 정보를 제공하거나, 범죄자의 사기 송금에 활용되는 자금 운반책 계좌로 무의식적인 송금을 하도록 유도한다.

이러한 위협 행위자의 BEC 시도는 전화, 문자, 이메일, 소셜 미디어 메시지 등 여러 형태로 이루어질 수 있다. 인증 요청 메시지를 스푸핑하거나 개인이나 회사를 사칭하는 것도 일반적인 수법이다.

특히 이메일 요청에 대한 신뢰 여부를 확인할 가능성이 낮은 신입사원도 표적이 된다. BEC 피싱 메일 내용의 주요 유형으로는 낚시성 정보, 급여, 인보이스, 기프트 카드, 비즈니스 정보 등이 있다.

MS는 기업이 BEC 공격을 미연에 방지하고 위험을 완화할 수 있는 방법으로 AI 기능이 탑재된 이메일 클라우드 플랫폼을 사용 및 지속적인 직원 교육 등을 언급했다.

김경림 키즈맘 기자 limkim@kizmom.com