국립외교원 구글 설문지 위장 피싱 메일 공격

 

 

이제 어느 정도 피싱 메일이라는 개념이 널리 퍼졌기 때문인지, IT를 전공하지 않은 분들도 메일을 읽을 때 이게 피싱인지 아닌지 한번 더 의심하는 습관이 생긴 것 같습니다. 그런데 최근에는 일반인들을 대상으로 하는 것이 아닌 외교, 국방, 안보 전문가를 겨냥한 피싱 공격이 기승이라고 합니다.

 

사실 이런 분들이 오히려 자신이 하고 있는 업무를 대상으로 피싱 메일을 받을 거라는 예상을 잘 못하는데요. 어느 해커가 굳이 어려운 용어를 써가면서 까지 이런 피싱 메일을 보낼까라는 합리적인 의심 때문이죠. 그래서 오늘은 구글 설문지로 위장한 공격에 대해 설명드리도록 하겠습니다.

이번 공격은 북한에서 국립외교원 외교안보연구소를 사칭하여 보낸 메일이라고 합니다. 아마 많은 기업들에서 편의성 때문에 설문을 할 때 구글 폼(Google Forms)을 사용하여 설문을 진행하는 경우가 많은데요. 이젠 하다하다 구글 폼의 화면을 똑같이 만들어서 공격을 하는 것을 보니 기가 찰 노릇이죠.

 

이는 일종의 사회공학적 기법을 사용한 것처럼 보이는데, 해당 피싱 메일에서는 각 전문가를 초대하는 것처럼해서 구글 설문지를 작성하도록 하는 수법을 썼기 때문에 생각보다 많은 분들이 속을 수 있을 것 같습니다.

 

국립외교원 사칭 피싱 메일 화면, 출처: 이스트시큐리티

해커들이 만든 구글 설문지로 위장한 사이트에서는 작성 항목에서 피해자의 이름, 소속, 직위, 이메일, 연락처와 같은 개인정보를 직접 입력하도록 유도하고 있는데요. 해당 피싱 사이트에서 설문지 작성을 완료되면 구글 로그인 피싱 사이트로 리다이렉션 시켜서, 구글의 메일인 Gmail의 계정 아이디와 비밀번호를 입력하도록 합니다.

 

아마 위와 같이 정보를 먼저 입력하도록 유도하는 이유가 아무래도 최근 2차 인증을 설정해 놓은 사용자가 많아짐에 따라 스마트폰 번호와 같은 기본적인 정보를 먼저 수집하고 계정을 탈취한 후, 추가적인 스미싱 공격으로 OTP 번호를 탈취하려는 목적이 아닐까 싶습니다.

 

국립외교원의 구글 설문지로 둔갑한 북한 연계 해킹 공격 발견

 

 

특히 피싱 메일인지 아닌지 구분하는 방법들 중 가장 좋은 방법은 특정 사이트로 유도하는 링크의 주소를 복사해서 도메인을 확인하는 건데요. 이번 피싱 메일에서는 도메인 부분이 epizy.com으로 되어 있는데, 이는 해외의 웹 호스팅 주소 입니다.

 

실제 구글이라면 뒤에 google.com으로 끝나기 때문에, 도메인 같은 부분을 주의 깊게 살펴보신다면 웬만해서는 피싱 메일에 당하지 않을 것을 보입니다. 그럼 이것으로 이번 글은 이만 줄이도록 하죠. 읽어주셔서 감사합니다.