“상여금 들어왔다고?”…월급명세서 잘못 눌렀다간 ‘낭패’

생활과 밀접한 피싱 메일 무작위 발송
파일‧링크 누르면 개인‧금융 정보 유출
“출처 불분명한 메일 확인하지 말아야”

‘3월분 급여명세서 및 상여금 내역’이라는 제목으로 발송된 피싱 메일.

# 직장인 정모씨(43)는 ‘3월분 급여명세서 및 상여금 내역’이라는 제목의 메일을 받았다. 순간 ‘3월에 상여금이 지급됐나?’하는 기대감으로 열어본 메일에는 ‘3월 보너스 및 급여 명세서’라고 적힌 PDF 파일이 첨부돼 있었다. 그런데 발송 내역이 평소와 달랐다. 그동안 급여명세서 메일의 작성자는 ‘회사명’이었지만, 해당 메일은 ‘급여’로 돼 있었다. 경영지원팀에 문의한 결과 회사에서 발송한 적이 없는 메일이었다.

최근 개인정보와 금융 정보를 탈취하려는 목적의 ‘피싱 메일’이 무작위로 발송되고 있다. 특히 메일은 급여‧공과금 납부‧지원금 신청 등 일상생활과 밀접한 내용을 담고 있어 더욱 주의가 요구된다.  

정씨가 받은 급여명세서 메일 역시 피싱 메일로 추정된다. 피싱은 개인정보(Private data)와 낚시(Fishing)의 합성어로, 피해자가 링크(인터넷주소)를 누르면 악성 앱을 설치하고 개인정보와 금융 정보를 탈취해 가는 범죄다.

메일에 첨부된 PDF 파일은 악성 URL이 삽입된 문서와 이미지를 조합한 가짜 파일일 확률이 높다. PDF 파일을 확인하기 위해 누르면 PC에 악성 앱이 설치되거나 개인정보를 해킹당할 수 있다.  

실제로 이런 메일을 통해 개인정보를 탈취한 사례가 있었다. 유명 항공사를 사칭해 ‘화물 도착 안내, 주문 배송 일정’이라는 제목으로 발송된 메일이 대표적이다. 메일의 본문에는 ‘물품 수령 가능 여부를 확인해달라’는 내용이 적혀 있었고, 사용자가 배송 정보 조회를 위해 첨부파일을 클릭하자 항공사 웹사이트를 모방한 가짜 로그인 페이지가 실행됐다. 사용자가 계정 정보를 입력하고 ‘명세서 확인하기’를 누르면 메일 발송자의 서버로 정보가 전송됐다. 또 건강 지원금 ‘바로 신청하기’ 버튼을 통해 피싱 사이트로 유도한 사례도 있었다.

개인정보 보안 기업인 ‘안랩’에 따르면 피싱 메일 피해 예방을 위해서는 ▲출처가 불분명한 메일 속 첨부파일과 URL(링크, 인터넷주소) 실행 금지 ▲ URL 접속 시 기업 및 서비스의 공식 사이트 주소와 비교 ▲PC, OS(운영체제), SW, 인터넷 브라우저 등에 대한 최신 보안패치 적용 ▲백신 실시간 감시 기능 실행 ▲계정별 다른 비밀번호 설정 등 기본 보안 수칙을 지켜야 한다.

김동현 안랩 분석팀 주임은 “최근 피싱 사이트 공격은 표적으로 삼은 인물과 조직의 계정을 탈취하기 위해 더욱 정교하게 진화하고 있다”라며 “하나의 계정이 탈취되면 연관된 다른 계정까지 침해당할 가능성이 커 개인과 조직의 철저한 관리기 필요하다”고 당부했다.

건강지원금 신청을 사칭한 피싱 메일. 안랩