[긴급] ‘임금 수령 통지서’로 위장한 큐싱 메일 유포

공격자 발신인 ‘ahnlab.com’으로 위장...메일 헤더에서 실제 발신인 확인 가능
금전적인 피해 및 2차 피해로 이어질 수 있어, 메일 확인에 각별한 주의 요구돼

[보안뉴스 박은주 기자] 최근 중화인민공화국 재정부를 사칭한 큐싱 메일이 유포돼 주의가 요구된다. 큐싱(Qshing)이란 QR 코드와 피싱(Phishing)의 합성어로 QR 코드를 스캔하면 악성 앱 설치 또는 피싱 사이트에 접속되는 공격 유형 중 하나다.

▲(왼쪽부터) 유포메일 원문, 번역본[이미지=ASEC]

▲알림창 버튼 클릭 유도[이미지=ASEC]

안랩 시큐리티 인텔리전스 센터(ASEC)에 따르면 유포 중인 메일은 2024년 1분기 임금 수령 통지서를 위장하고 있다. 본문에는 임금 보조금을 받기 위해서는 휴대폰을 이용해 QR 코드를 스캔하도록 유도하는 문구가 포함돼 있다. 공격자는 발신자 메일 주소를 ‘ahnlab.com’으로 위장했는데, 메일 헤더를 통해 실제 발신자 메일 주소를 확인할 수 있다. 다만, 메일 헤더를 확인하는 사용자는 드물어 메일 주소가 위조됐다는 사실을 알아차리기 어렵다.

사용자가 메일 본문의 QR 코드를 스캔할 때, 최종 피싱 사이트로 리다이렉트되는 구조다. 리다이렉트된 페이지에서는 브라우저 가로 넓이를 확인해 996보다 큰 경우 PC 환경으로 판단하고 모바일 접속을 유도하고 있다.

해당 사이트에는 이미지와 같이 보조금 수령 관련 문구를 포함한 알림창이 뜬다. 알림창의 버튼을 클릭하면, 개인정보 입력을 유도하는 페이지로 연결된다. 지원금 신청을 위한 사용자 이름, 아이디 번호 입력 및 카드·휴대폰 번호와 비밀번호 등 추가 입력을 요구하고, 입력된 사용자 정보는 별도의 주소로 전송된다.

이처럼 공격자는 큐싱, 발신자 위조 등 다양한 기법을 사용해 공격을 시도하고 있다. 또한 유출된 정보를 이용해 금전적인 피해 및 2차 피해로 이어질 수 있어 사용자는 메일 열람에 각별한 주의가 필요하다.
[박은주 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)