[디지털데일리 이종현기자] 암호화폐 투자자를 대상으로 국세청 세무조사 신고 통지문을 가장한 해킹 시도가 발견됐다. 메일 속 PDF 파일을 내려받으려 하면 한국의 특정 웹사이트와 연결, 네이버 계정을 탈취하려는 시도가 이어진다. 경유지로 사용된 공격자 서버에는 특정인의 개인정보가 함께 발견됐는데, 실제 피해 사례가 있는 것으로 추정된다.

17일 사이버보안 기업 이스트시큐리티는 비트코인 등 가상 자산 분야 투자자들 상대로 사이버 공격이 포착되고 있다며 각별한 주의를 당부했다.

이번 공격은 지난 12일 국세청 공식 홈페이지 공지 사항을 통해 알려진 ‘국세청 사칭 세무조사 출석요구 안내통지문 해킹메일 주의 안내’ 내용을 통해 수행된 해킹 공격의 일환인 것으로 밝혀졌다. 공격자는 ‘[국세청] 세무조사 출석요구 안내통지문’라는 제목의 이메일을 발송했는데, 발신자 주소를 진짜처럼 보이도록 정교하게 조작했다.

이스트시큐리티는 이번 공격이 실제 국세청 홈택스의 세무조사 신고 통지문처럼 본문을 담고 있다고 전했다. ‘세무조사 신고서류안내.pdf’ 문서 파일이 첨부된 것처럼 보여지는데, 이는 실제 메일에 첨부된 상태가 아니다. 한국의 특정 웹사이트와 통신한 후 네이버 계정 피싱용 서버로 연결해 계정 탈취를 시도했다.

이스트시큐리티 시큐리티대응센터(이하 ESRC)에 따르면 해킹 경유지로 사용된 공격자 서버에는 특정인의 주민등록증, 운전면허증, 사업자등록증 등도 함께 발견됐다. ESRC는 암호화폐 투자자 일부가 피싱 공격을 입은 후 이메일에 저장된 개인정보가 추가 유출됐을 가능성에 무게를 두고 후속 분석 작업을 진행 중이다.

만약 피싱 공격에 속아 수신자가 암호를 입력해 유출될 경우 실제 국세청 출석 시 필요한 세무조사 신고 안내 PDF 문서를 보여주는 등 나름 치밀하게 공격을 진행하기 때문에 피해자는 해킹 공격에 노출된 사실을 인지하는데 다소 시간이 걸릴 수 있다.

이처럼 북한 소행으로 지목된 사이버 위협이 공신력 있는 국세청을 사칭해 연초부터 해킹 공격을 시도하고 있다는 점이 주목할 만하다는 것이 ESRC의 설명이다. 일각에서는 통일분야 문서를 사칭한 공격도 보고되고 있다. ESRC는 외화벌이 목적으로 진행된 북한 배후 사이버공격으로 추정하고 있다.

이스트시큐리티 ESRC 센터장 문종현 이사는 “금번 국세청 문서처럼 위장한 포털 계정 피싱 공격뿐만 아니라, 세무조사 신고 서류 안내와 출석 요구처럼 위장한 악성 파일도 다수 보고된 바 있는데, 해당 공격은 일명 ‘코니’ 캠페인으로 분류돼 있다”며 “탈륨(김수키) 공격과 코니 캠페인 간의 연관성을 면밀히 조사 중”이라고 말했다.