기업 이메일 침해

기업 이메일 침해는 기업의 이메일 시스템을 악용하여 경제적 이득을 노리는 표적형 공격이다. 공격자는 기업 내부의 회계, 인사, 경영진 등을 주요 표적으로 삼으며, 신뢰 관계를 위장하여 송금이나 정보 유출을 유도한다. 이는 단순한 스팸 메일보다 훨씬 정교하며, 피해 기업이 사기임을 인지하기 어렵게 설계된다.

공격자는 다음과 같은 다양한 기술적, 심리적 수단을 동원한다.

• 이메일 스푸핑(Email Spoofing): 실제 담당자의 이메일 주소와 매우 유사한 주소를 생성하여 발신자를 위장한다.
• 이메일 계정 탈취: 피싱이나 악성코드를 통해 실제 직원의 계정 로그인 정보를 획득한 후 직접 메일을 보낸다.
• 내부자 사칭: CEO나 CFO 등 고위 경영진을 사칭하여 긴급한 송금이나 기밀 자료를 요청한다.
• 회신 체인 하이재킹: 실제 진행 중인 이메일 대화 흐름에 끼어들어 자연스럽게 계좌 변경 등을 요구한다.
• 도메인 스푸핑: 기업의 공식 도메인과 철자가 유사한 도메인을 등록하여 신뢰를 유도한다.

주요 공격 대상은 자금 집행 권한이 있는 회계 및 재무팀, 경영진 및 비서, 공급망 관련 부서 등이다.

1. 송금 유도: CFO로 위장하여 재무 담당자에게 긴급 자금 이체를 지시한다.
2. 인보이스 조작: 거래처를 사칭하여 물품 대금 결제 계좌가 변경되었다는 허위 인보이스를 발송한다.
3. 데이터 유출: CEO를 가장하여 인사팀에 직원들의 개인정보나 급여 명세서, 지적 재산권 관련 자료를 요구한다.

기업 이메일 침해는 사이버 공격 중 회복 비용이 가장 많이 발생하는 유형 중 하나이다. 2022년 통계에 따르면 미국 내 피해액은 약 27억 달러에 달하며, 침해 사고당 평균 비용은 약 489만 달러로 집계되었다. 특히 자금력이 부족한 소규모 기업은 단 한 번의 공격으로도 회복 불가능한 타격을 입기도 한다.

기술적 보안 조치와 더불어 조직적인 절차 마련이 필수적이다.

• 다중 인증(MFA) 적용: 계정 탈취를 방지하기 위해 로그인 시 추가 인증 수단을 사용한다. 다만, 최근에는 이를 우회하는 정교한 피싱 도구도 등장하고 있어 주의가 필요하다.
• 이메일 보안 설정: SPF, DKIM, DMARC 등 이메일 인증 표준을 강화하여 스푸핑 메일을 차단한다.
• 이중 확인 절차: 송금 계좌 변경 등 민감한 요청이 올 경우, 이메일 외에 전화나 별도 채널을 통해 실제 담당자에게 사실 여부를 확인한다.
• 보안 교육: 임직원을 대상으로 의심스러운 링크나 첨부파일 클릭 금지, 사회공학적 공격 수법에 대한 정기 교육을 실시한다.