Daum 사칭 ‘카카오와 계정 병합’ 이슈로 위장한 피싱메일 퍼진다

어색한 본문 내용과 개인 이메일 계정으로 발송...쉽게 인지 가능
‘지금 이메일 병합’ 버튼 누르면 사전 제작된 피싱 페이지로 접속
이메일 수신 시 발신자 계정 확인 후 웹페이지 접속 때도 URL 확인 필수

[보안뉴스 김영명 기자] 최근 다음(Daum)과 카카오(Kakao)의 계정 통합 이슈를 악용한 피싱 메일이 발견돼 사용자들의 각별한 주의가 필요하다. 국내 최초로 웹 메일 서비스를 제공한 다음(Daum)은 2014년 10월 카카오와 합병했다.

▲다음카카오 계정 통합을 위장한 피싱 메일[이미지=ESRC]

합병 이후에도 계정 로그인은 다음 또는 카카오 계정 두 가지 방식으로 모두 가능했지만, 다음카카오 측은 접속 방식의 일원화를 이유로 다음 계정 사용자들에게 카카오 계정으로의 통합을 지속해서 공지해왔다. 처음에 계정 통합 기한은 10월 1일까지였지만, 여러 가지 사유로 현재는 연말까지 연기됐다.

이번에 발견된 피싱 메일은 ‘긴급공지 : Daum 계정 병합에 대해’라는 제목으로 유포됐다. 해당 메일의 본문에는 다음 메일이 카카오 메일로 병합하지 않아 발송된 메일이라며 즉시 계정병합을 요구하고 있다.

▲다음 위장 피싱 페이지 화면[이미지=ESRC]

이스트시큐리티 시큐리티대응센터(ESRC)는 어색한 본문 내용과 개인 이메일 계정으로 발송됐기 때문에 쉽게 피싱 메일임을 인지할 수 있다면서도 주의를 요구했다. 만약 사용자가 실제 메일로 오인해 ‘지금 이메일 병합’ 버튼을 누른다면 공격자가 만들어 놓은 피싱 페이지로 접속하게 된다.

피싱 페이지는 다음 로그인 페이지를 위장하고 있지만, 완성도가 매우 떨어지는 것을 알 수 있다. 이러한 이메일들은 정교하게 제작되지 않아 대부분의 사용자가 조금만 관심을 기울인다면 쉽게 피싱 메일임을 인지할 수 있다. 다만, 공격자들이 사용자들의 정보 탈취를 위해 공격에 사용할 다양한 주제를 찾고, 실제로 이슈가 되고 있는 주제를 공격에 악용하고 있다는 것이 특징이다.

이스트시큐리티 ESRC 관계자는 다음카카오 계정에서 이메일을 수신하면 반드시 발신자의 계정을 확인하고, 웹 페이지 접속 시에도 URL을 확인할 것을 권고했다.
[김영명 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)