[긴급] 파일공유 사이트 ‘WeTransfer’ 위장한 피싱메일 유포

피싱메일에 파일공유 사이트 WeTransfer 사칭한 피싱 웹페이지 링크 남겨

[보안뉴스 원병철 기자] 최근 파일공유 사이트 WeTransfer를 위장하여 사용자의 개인정보를 유출하는 피싱메일이 유포되고 있어 사용자의 주의가 요구된다. 2월 2일 ASEC 분석팀이 수집한 이메일에 의하면, 공격자는 본문에 악성 링크가 포함된 메일을 수신자 맞춤형으로 개별 발송했다. 본문 내용은 WeTransfer를 통해 새로운 파일이 도착했다는 내용이다. 링크를 클릭할 시 공격자가 미리 준비해둔 피싱 웹페이지로 접속하게 된다. 악성 이메일은 한글 또는 영문 형태가 모두 확인됐다.

▲WeTransfer를 위장한 피싱메일[이미지=안랩]

특징적으로 공격자는 피싱 웹페이지를 구축하기 위해 ‘appdomain.cloud’ 이라는 IBM 클라우드 서비스를 이용하였다. 최근 공격자는 클라우드 기반으로 자유롭게 도메인을 구축할 수 있는 서비스를 악용하여 피싱 공격에 활용하고 있다. 사용자가 접속한 페이지가 인증된 정상 웹사이트가 아닌 클라우드 도메인이라면 특히 의심해볼 필요가 있다.

▲악성 피싱 WeTransfer 접속 화면[자료=안랩]

상단의 이미지는 이메일에 포함된 악성 링크를 클릭했을 때 접속하는 피싱 웹페이지이다. 정상적인 WeTransfer 사이트와 달리 appdomain.cloud 하위 사이트로 접속한다. 접속 화면은 정상 사이트와 매우 유사하게 제작되었기 때문에 접속한 URL 주소를 신경 써서 보지 않는다면, 공격에 이용당할 수 있다.

공격자는 사용자에게 이메일 계정 ID와 패스워드 입력을 요구하며, 이를 입력할시 공격자 서버로 전송된다. C&C 주소를 토대로 보아 해외 온라인 스토어 웹서버를 탈취하여 공격에 이용한 것으로 추정된다.

▲이메일 계정 ID와 패스워드를 입력하면 공격자 서버로 전송된다[자료=안랩]

이메일 본문 내용과 웹페이지 접속 화면만으로는 일반 사용자가 이를 악성임을 확인하기가 매우 어렵다. 따라서 불분명한 사용자가 보낸 이메일일 경우 이를 신뢰하지 않고, 접속 URL 주소를 확인하는 습관이 필요하다. 안랩 V3 제품에서는 사전에 인지하고 있는 악성 피싱 웹페이지로 사용자사 접속할 때 이를 차단한다. 또한 이메일에 첨부되어 있는 악성 실행 파일을 진단한다.
[원병철 기자(boanone@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)