[주간보안동향] ‘MS 보안팀’ 사칭 이메일 주의보 外

사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

‘MS 보안팀’ 사칭 이메일 주의보

공격 흐름도 / 출처=지니언스

마이크로소프트(MS) 보안팀을 사칭한 스피어피싱(특정 개인이나 기업, 조직을 표적으로 하는 사기 공격) 이메일로 한국 사용자 PC에 침투하는 신종 악성코드가 발견됐다. 국내 보안 기업 지니언스에 따르면, 최근 북한 연계 해킹 조직인 ‘APT37’의 소행으로 의심되는 신종 원격제어 악성코드(RAT) ‘나왈랫(NarwhalRAT)’이 국내 PC 사용자들 사이에서 유포되고 있는 것으로 확인됐다.해커는 마이크로소프트의 공식 계정을 사칭해 메일을 발송하지만, 실제 도메인은 MS 공식 도메인이 아닌 것으로 드러났다. 계정 탈취 가능성을 언급하며 첨부 파일 확인을 유도하는 전형적인 사회공학적 기법이다. 수신자가 첨부된 압축 파일을 풀면 한글 문서처럼 보이는 악성 바로가기(.lnk) 파일이 나타나며, 이를 실행하면 겉으로는 정상적인 보안 안내 문서가 열리지만 뒤에서는 다단계 악성코드에 감염된다.

지니언스가 명명한 나왈랫은 국산 브라우저 네이버 웨일의 정상적인 폴더처럼 교묘하게 위장해 보안 백신 프로그램의 탐지를 따돌린다. 공격자의 원격 명령에 따라 키보드 입력 기록, 화면 캡처, 마이크 녹음, USB 저장장치 파일 수집 등 30종 이상의 기능을 선택적으로 활성화할 수 있다. 피해자가 어떤 프로그램에 접속하는지 실시간 파악하는 셈이다. 카카오톡 관련 프로세스 창을 식별해 정보를 수집할 수도 있다. 실시간 탐지를 우회하기 위해 수집된 데이터는 즉시 외부로 전송되지 않고, 작업 디렉터리에 임시 저장됐다가 일괄 전송된다.

지니언스는 이번 공격이 지난해 5월 공개된 APT37의 파이썬 기반 백도어 사례와 구조 및 수법 면에서 상당 부분 일치한다고 밝혔다. 스피어피싱에 사용된 미끼 문서의 최종 저장자명이 ‘Lailey’로 동일하고, 배치 파일 난독화 방식, 윈도우 작업 스케줄러 기반 지속성 확보 방식 등이 유사하다는 분석이다. 지니언스는 향후 변종 생성에 대비해 전통적인 파일 시그니처 기반 탐지뿐만 아니라 비정상 행위를 모니터링하는 행위 기반 보안 체계를 확충해야 한다고 권고했다.

앤트로픽 페이블 5 차단…보안 업계 반발

앤트로픽 성명문 / 출처=앤트로픽

앤트로픽이 지난 9일 공개한 최신 AI 모델 ‘페이블 5(Fable 5)’를 둘러싼 접근 제한 논쟁이 뜨겁다. 미국 정부가 이 모델에 수출 통제 지침을 내린 것을 계기로, 사이버 보안 업계 전문가 130여 명이 규제 철회를 촉구하는 연명 서한을 전달하며 정면 반박에 나선 것이다.

앞서 미국 정부는 국가 안보를 이유로 미국 내외를 막론하고 모든 외국인의 페이블 5 및 미토스(Mythos) 5 모델 접근을 전면 중단하도록 조치했다. 외신에 따르면, 규제의 발단은 아마존 보안 연구자가 페이블5에 일련의 프롬프트를 입력해 몇 가지 보안 취약점 관련 정보를 추출할 수 있었다는 연구에서 비롯된 것으로 알려졌다.

그러나 보안 전문가들은 이에 강하게 반발했다. 이들은 미국 정부의 이번 조치가 오히려 사이버 방어 전선에 타격을 입히는 ‘방어자들의 손발을 묶는 위험한 조치’라며 공개 서한을 통해 규탄했다. 이들은 “아마존 보안 팀의 연구로 밝혀진 취약점 개념증명(PoC) 코드 생성 능력은 안전한 코드를 작성하기 위해 모든 AI 모델에 필요한 기능”이라고 주장했다. 또한 “완전한 자율형 공격 체인 생성은 일부 정제된 모델에만 가능한 기능인데, 정부가 방어용 핵심 도구까지 차단했다”고 지적했다. 페이블 5에 나타난 문제는 GPT-5.5나 오푸스 등 다른 AI 모델에서도 나타난다는 점도 언급했다.

이들이 전달한 서한에는 “정부의 조치는 최신 모델을 방어자에게서 빼앗고, 시장 불확실성을 키우며, 미국의 AI 주도권을 위험에 빠뜨린다”고 경고했다. 한편, 이번 사태로 인해 독자적인 AI 모델이 부재한 국가들을 중심으로, 국가가 직접 인프라와 데이터를 통제하는 ‘소버린 AI’에 대한 설득력이 힘을 얻고 있다.

쓴 적도 없는 챗GPT 결제…다크웹 유출 정보 도용 의혹

챗GPT 요금제 / 출처=챗GPT

최근 온라인 커뮤니티에서 챗GPT 프로 요금제(월 29만 9000원)가 본인 동의 없이 결제되는 사례가 잇따르고 있다. 피해자들은 공통적으로 서비스에 본인이 가입하거나 승인한 적이 없음에도 결제가 강제로 실행됐다고 말했다. 이들의 카드 전표를 추적한 결과, 국내 전자결제 대행업체(PG)인 나이스정보통신을 통해 승인 처리가 완료된 것으로 나타났다.

이에 전문가들은 범죄 조직이 다크웹을 통해 거래된 카드 정보를 악용해 결제한 것으로 추정하고 있다. 입수한 실명과 이메일 주소를 활용해 오픈AI에 유령 계정들을 생성한 뒤, 유출된 신용카드 정보를 매크로 시스템으로 무단 대입했다는 설명이다. 특히 해외 결제의 경우 카드번호, 유효기간, CVC 번호 조합이 일치하면 자동 승인이 이뤄지는 구조적 취약점이 악용된 것으로 보인다.

오픈AI 측은 이번 사안을 도난된 카드 정보가 무단 사용된 금융 범죄로 규정하고, 부정 결제 건에 대해 환불 조치에 나섰다. 금융당국과 카드업계도 대응에 착수했다. 만약 카드 명세서에서 의심 결제 내역을 발견했다면, 카드사에 즉시 이의 신청을 하고 해당 카드를 정지시키는 것이 최우선이다. 카드 정보가 어디서 유출됐는지 특정하기 어려운 만큼, 평소 결제 알림 서비스를 켜두고 정기적으로 명세서를 확인하는 습관을 들이는 것이 피해 예방의 기본이다.

삼성전자, 갤럭시 보안 ‘사전 차단’ 고도화

삼성전자가 설치된 악성 앱 실행도 막는다 / 출처=삼성전자

삼성전자가 갤럭시 스마트폰의 보안 체계를 한 단계 끌어올린다. 악성 앱 설치를 막는 수준을 넘어, 이미 설치된 앱의 실행까지 차단하는 방식이다. 올해 하반기 출시될 갤럭시 신제품에 탑재될 One UI 9.0부터 ‘피싱앱 위험 알림’이 강화된다.

One UI 9.0에서는 앱 설치 시점에 갤럭시 스토어 평판 데이터를 조회해 피싱 앱 여부를 실시간으로 판별한다. 피싱 앱으로 확인되면 앱 실행 자체를 차단하고, 사용자에게 삭제를 유도한다. 또한 보이스피싱 의심 통화 직후 설치됐거나 원격 제어로 깔린 앱을 실행할 때 경고 알림이 뜨는 기능도 도입될 계획이다.

한편, 삼성전자는 경찰청과 협력해 사기 앱 목록을 공유받아 설치 단계에서 막는 기능을 2024년부터 One UI 6.1 이상 기기에 적용해 왔다. 또한 방송통신위원회·KISA와 협업해 ‘악성 메시지 차단’ 기능을 꾸준히 고도화하고 있다. KISA가 제공하는 월평균 약 50만 건의 데이터를 AI가 학습해 불법 도박·대출·주식·스미싱 관련 메시지를 자동 분류 및 차단하는 방식이다.

이외에 One UI 8.0 이상 기기의 ‘보이스피싱 의심 전화 알림’ 기능은 통화 중 AI가 위험도를 실시간 분석해 의심과 경고 단계로 안내한다. 갤럭시 S26 시리즈부터는 수신 전화를 AI가 대신 받아 발신자 정보와 통화 내용을 요약해 사용자에게 보여주는 통화 스크리닝 기능도 탑재됐다.

로크웰 오토메이션, 산업 현장 사이버보안 신제품 3종 발표

로크웰 오토메이션 로고 / 출처=로크웰 오토메이션

산업 자동화 전문기업 로크웰 오토메이션이 통합 사이버보안 솔루션 ‘SecureOT’ 제품군에 신규 솔루션 3종을 추가했다고 지난 10일 밝혔다. 이번에 선보인 신제품은 ▲OT 사이버보안 평가 스위트 ▲SecureOT Platform 관리형 서비스 ▲관리형 보안 원격 접속 서비스(MSRA) 등이다.

OT 사이버보안 평가 스위트는 산업 현장의 운영 환경에 맞춰 보안 현황을 진단하고 개선 방향을 수립할 수 있도록 지원한다. 로크웰 오토메이션 전문가들이 개발한 AI·머신러닝 모델을 활용해 분석을 간소화하고 평가 기준을 표준화하는 것이 특징이다. SecureOT Platform 관리형 서비스는 위험 우선순위 관리와 지속적인 자산 파악·재고 관리 기능을 제공하며, 담당자가 고객과 체계적으로 협의해 가동 중단을 최소화하면서 보안 리스크에 대응할 수 있도록 돕는다. 관리형 보안 원격 접속 서비스는 특정 공급업체에 종속되지 않는 방식으로 OT 자산을 신원 기반 환경에서 안전하게 연결한다.

마리아 엘스 로크웰 오토메이션 사이버보안 프로젝트 부문 수석 글로벌 제품 관리자는 “현재 제조업체들은 생산을 늦추지 않으면서 사이버보안을 강화해야 하는 이중 과제에 직면해 있다”며, ”SecureOT는 명확한 진단, 우선순위가 지정된 실행 계획, 전문 관리형 솔루션을 결합해 핵심 자산을 보호하면서도 공장을 안전하게 가동할 수 있도록 지원한다”고 밝혔다.

IT동아 김예지 기자 (yj@itdonga.com)