안랩이 최근 한 달간 수집한 피싱 이메일을 분석하고, 최신 위협 동향을 28일 발표했다.

최근 공격자들이 가장 많이 활용한 키워드는 전체의 28.1%를 차지한 '회신(Re)'으로 나타났다. 공격자들은 주로 이메일 제목의 말머리에 이를 붙였다. 다음으로는 주문을 뜻하는 'Order'가 15.6%로 2위였으며, 지불을 뜻하는 'Payment'가 11.8%로 3위를 기록했다.

안랩은 회신의 경우, 수신자가 피싱메일을 이전에 오간 대화의 연장인 것으로 착각할 수 있기 때문에, 공격자가 자주 사용하는 것으로 추정했다. 뒤를 이은 주문과 지불은 온라인 기반 금전거래가 많아지는 최근 동향을 반영해 사용자 관심을 끌기 위한 시도로 해석했다.

분석 결과 피싱 이메일 공격 목적은 정보 탈취 악성코드 '인포스틸러(Infostealer)' 감염을 시도하는 사례가 전체의 33.3%로 가장 높았다. 이어서 첨부파일에 악성 명령어를 포함해 가짜 로그인 페이지로 유도하는 '가짜 페이지(FakePage)'가 23.6%, PC 감염 후 다른 악성코드를 추가로 내려받는 '다운로더(Downloader)'가 17.1% 등으로 나타났다.

인포스틸러의 경우, 사용자가 웹 브라우저에 저장한 로그인 정보, 이메일, 암호화폐 지갑, 파일 등에서 사용자 정보를 광범위하게 탈취하기 때문에 직접적인 금전피해를 불러올 수 있다. 공격자는 인포스틸러나 가짜 페이지 공격으로 탈취한 정보를 2차 공격에 활용할 수 있으며, 다운로더를 통해 랜섬웨어 등 다양한 악성코드를 추가 설치할 수도 있다.

공격자들이 사용하는 첨부파일의 종류로는 '*.zip' 등 압축 파일 유형이 전체 35.3%로 1위를 차지했다. 다음으로는 '*.iso' 등 디스크 이미지 파일이 26.2%, '*.html' 등 스크립트 파일은 24.3%로 집계됐다.

특히 공격자는 최근 메일 시스템이 실행 파일(*.exe) 첨부 메일을 자동 차단하는 점을 파악하고, 파일 은닉을 위해 압축 파일 등 다양한 형식을 이용하고 있다. 스크립트 파일의 경우 가짜 페이지 공격에 자주 쓰이는 것으로 나타났다.

안랩은 피싱 메일로 인한 피해를 예방하기 위해 △이메일 발신자 확인 △의심스러운 첨부파일과 인터넷 주소(URL) 실행 금지 △비밀번호 웹 브라우저 저장 자제와 비밀번호 주기적 변경 △백신 프로그램 최신버전 유지와 피싱 사이트 차단 기능 활성화 △사용 중인 프로그램 최신버전 유지 등 기본 보안수칙을 준수해야 한다고 강조했다.

김건우 안랩 시큐리티대응센터장은 "피싱 메일을 활용한 악성코드 유포나 정보 탈취 시도는 공격자들이 오랫동안 애용하고 있는 방식"이라며 "최근에는 수법이 더욱 고도화되고 있기 때문에 사용자는 출처가 불분명한 메일 속 URL과 첨부파일 실행을 하지 않는 등 보안수칙을 생활화해야 한다"고 강조했다.