기업 전년도 결산기간 노렸다! 회계법인 사칭한 스피어피싱 주의보

본문에 회계와 관련해 구체적이고 상세한 내용 담아 수신자 속여
악성파일 실행시 웹 브라우저, FTP, 이메일 계정정보, 사용자 PC 정보 등 탈취

[보안뉴스 이상우 기자] 회계법인 회사를 사칭해 특정 기업을 겨냥한 스피어피싱이 이뤄지고 있어 주의가 필요하다. 해당 문서는 △2020년 결산이 완료돼 재무상태표와 손익계산서를 보낸다는 내용 △주식변동명세서 확인 후 문제없는지 사인해 달라는 내용 △부가세가 포함된 결산수수료가 442,750원이라는 내용 △법인세산출 파일에 정리내역과 계좌번호로 입금을 요청하라는 내용 등 구체적이고 상세한 내용을 포함해 메일 수신자가 큰 의심 없이 첨부파일을 실행할 가능성이 크다.

▲악성 이메일 본문[자료=하우리]

첨부파일인 ‘OOOOO내셔널_법인세 산출_2020.IMG’ 디스크 이미지 파일의 압축을 풀어 여기에 포함된 EXE 파일을 실행할 경우 악성코드에 감염이 된다. 해당 악성코드는 웹 브라우저, FTP, 이메일 계정정보, 사용자 PC 정보 등을 탈취한다.

▲악성코드 감염 시 탈취하는 정보[자료=하우리]

하우리 김정수 보안대응센터장은 “해당 악성 메일은 대부분의 기업이 1분기 내에 지난해 결산을 완료한다는 점을 노려 공격을 시도한 것으로 보인다. 최근 악성 메일은 목표로 삼은 기업과 기관의 정보를 사전에 충분히 수집한 후 수신자가 의심하지 못하도록 지능적이고 고도화되고 있다. 이 때문에 수신자는 계정이나 첨부파일이 이상한 점은 없는지 꼼꼼히 확인해야 한다”고 말했다.

또한, “의심스러운 메일을 받으면 우선 발송자가 보낸 메일이 맞는지 진위 여부를 파악하고, 첨부파일을 백신 프로그램으로 돌려보거나 해당 메일을 보안업체를 통해 점검 받는 방법이 필요하다”고 말했다.
[이상우 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)