세무조사 출석요구 안내문으로 위장한 해킹 공격이 발생해 주의가 요구된다.
통합 보안 기업 이스트시큐리티는 17일 비트코인 등 가상 자산 분야 투자자들 상대로 사이버 공격이 포착되고 있다고 경고했다.
이번 공격은 12일 국세청 공식 홈페이지 공지 사항을 통해 알려진 ‘국세청 사칭 「세무조사 출석요구 안내통지문」 해킹메일 주의 안내’ 내용을 통해 수행된 해킹 공격의 일환인 것으로 밝혀졌다.
보통 해킹 메일을 구분하는 방법 중 하나는 발신자의 이메일 주소를 확인하는 것인데, 공격자는 이메일 발송 서버를 구축하거나 별도의 설정을 통해 실제 주소처럼 보이게 조작할 수 있다.
이스트시큐리티 측은 "실제 주소를 도용하는 경우도 있으므로 발신지 주소를 100% 신뢰해서는 안된다"고 말했다.
이번 공격은 실제 국세청 홈택스의 세무조사 신고 통지문처럼 본문을 담고 있으며, ‘세무조사 신고서류안내.pdf’ 문서 파일이 첨부된 것처럼 보여진다.
하지만 ‘세무조사 신고서류안내.pdf’ 파일은 실제 메일에 첨부된 상태가 아니고, 한국의 특정 경제문화교류협회 사이트와 통신한 후, 네이버 계정 피싱용 ▶‘navearcorps[.]help’, ▶‘mybox-naves[.]com’ 서버로 연결해 계정 탈취를 시도한 것으로 확인됐다.
이스트시큐리티 시큐리티대응센터(ESRC)에 따르면, 해킹 경유지로 사용된 공격자 서버에는 특정인의 주민등록증, 운전면허증, 사업자등록증 등도 함께 발견됐다.
이스트시큐리티는 "북한 소행으로 지목된 사이버 위협이 공신력 있는 국세청을 사칭해 연초부터 해킹 공격을 시도하고 있다는 점이 주목할 만하며, 일각에선 통일분야 문서를 사칭한 공격도 보고되고 있다"고 말했다.
이어 "확인된 피해 대상자가 주로 비트코인 등 가상 자산 분야 투자자라는 흥미로운 공통점이 발견되고 있어, 외화벌이 목적으로 진행된 북한 배후 사이버 공격으로 추정하고 있다"고 말했다.
이스트시큐리티 ESRC 센터장 문종현 이사는 "금번 국세청 문서처럼 위장한 포털 계정 피싱 공격뿐만 아니라, 세무조사 신고 서류 안내와 출석 요구처럼 위장한 악성 파일도 다수 보고된 바 있는데, 해당 공격은 일명 ‘코니(Konni)’ 캠페인으로 분류돼 있다"며 "탈륨(김수키) 공격과 코니 캠페인 간의 연관성을 면밀히 조사 중이다"라고 덧붙였다.
이스트시큐리티는 연관 악성 파일의 탐지 기능을 자사 알약(ALYac) 제품에 긴급 업데이트했으며, 피해 확산 방지를 위해 국가사이버안보협력센터(NCCC)와 한국인터넷진흥원(KISA) 등 관련 부처와 긴밀하게 협력하고 있다고 밝혔다.
이유정 기자 uzzoni@chosunbiz.com