“클릭하게 되네”…사회 이슈 악용한 사회공학적 공격 주의

사회 이슈를 악용한 사회공학적 사이버 공격이 끊이질 않고 있다. 비상계엄, 여객기 사고 등과 같이 국민적 관심이 쏠리는 사건·사고가 발생하면 관련 키워드를 주제로 한 피싱 메일이 다량으로 유포돼 주의가 요구된다.

한국인터넷진흥원(KISA)이 운영하는 '보호나라'를 보면, KISA는 지난해 하반기에만 각종 이슈를 악용한 사이버 공격에 대해 주의를 권고하는 내용의 보안 공지를 4차례 발표했다.

먼저 지난해 7월 일명 '죽음의 블루스크린' 현상을 악용한 사이버 공격이 벌어졌다. 미국 보안업체 크라우드스트라이크가 보안 소프트웨어를 업데이트하는 과정에서 마이크로소프트 운용체계(OS) 윈도와 충돌이 일어나, 미국 등 전 세계 곳곳에서 정보기술(IT) 대란이 발생했다. 해커는 이 틈을 놓치지 않고 시스템을 복구해준다며 악성코드를 유포하거나 크라우드스트라이크를 사칭해 복구를 지원한다는 피싱 이메일을 통해 개인정보 입력을 유도했다. 또 같은 달 위메프·티몬 등 이커머스 환불 사태를 악용해 '즉시 환불', '상품 배송'을 키워드로 스미싱 문자가 배포됐다. 스미싱 문자 내부 인터넷주소(URL) 클릭 시 연결되는 피싱페이지에서 악성 애플리케이션 다운로드를 유도하는 식으로 공격이 이어졌다.

이처럼 공격자는 성공률을 끌어올리기 위해 클릭할 확률이 높은 키워드로 사이버 공격을 일삼는다. 시스템이 아닌 사람의 취약점을 공략하는 사회공학적 공격기법으로, 사람 심리적 요인을 이용하기 때문에 기술적·관리적 예방은 물론 탐지 역시 쉽지 않다.

이에 KISA는 전국을 휩쓰는 이슈가 생기면 선제적으로 주의보를 내리고 있다. KISA는 지난달 12·3 비상계엄과 무안공항 여객기 추락 등 키워드를 악용한 사이버 공격에 대한 주의를 권고했다.

이번 설명절도 예외가 아니다. 과학기술정보통신부와 KISA 등은 관계 부처 합동으로 설명절 선물, 세뱃돈 송금 등 국민이 쉽게 속을 수 있는 키워드를 악용한 사이버 공격에 주의를 당부했다.

공격자가 꾸준히 애용하는 키워드도 있다. '업무협조', '결제', '주문' 등이 대표적이다. 이스트시큐리티에 따르면, 최근 '업무협조 문의메일'이라는 제목으로 피싱 메일이 유포되고 있다. 메일에 포함된 악성코드가 실행되면 스크린샷, 로그인 정보 등을 수집하면 공격자 명령에 따라 다양한 악성행위를 수행할 수 있다.

사회공학적 공격에 따른 위협은 갈수록 커질 전망이다. 국가정보원이 발간한 '2024 국가정보보호백서'는 포털·메신저 등 이용자가 많은 서비스를 정교하게 사칭해 이용자 개인정보를 노리는 사회공학적 기법의 피싱 공격이 날로 진화하고 있다고 진단했다. 그러면서 딥페이크 기술과 자연어 처리 기술의 발전은 사회공학 공격을 더욱 정교하게 만들 것이라고 우려했다.

한 사이버보안 전문가는 “아무리 인공지능(AI) 등 신기술을 접목해 보안 솔루션를 고도화해도 '사람'이 가장 약한 고리”라며 “계정 관리 강화 등 개인의 보안 인식 제고가 선행돼야 한다”고 말했다.

조재학 기자 2jh@etnews.com