국세청 ‘세무조사 출석요구 안내문’ 사칭한 해킹공격 발견 ‘주의보’

비트코인 등 가상자산 분야 투자자를 대상으로 한 사이버공격이 발견돼 주의가 요구된다. 외화벌이를 목적으로 진행된 북한 배후 사이버공격으로 추정된다.

17일 이스트시큐리티에 따르면, 이달 12일 국세청 공식 홈페이지 공지 사항을 통해 알려진 ‘국세청 사칭 「세무조사 출석요구 안내통지문」 해킹메일 주의 안내’ 내용을 통해 수행된 해킹공격의 일환으로 알려졌다.

이 공격은 12일 마치 국세청에서 발송된 안내문으로 위장한 것으로 ‘[국세청] 세무조사 출석요구 안내통지문’ 제목을 담고 있다. 발신자는 ‘국세청<hometaxadmin@nts.go.kr>’ 주소로 진짜처럼 보이게 조작 후 공격을 수행했다.

해킹 메일을 구분하는 방법 중 하나는 발신지의 공식 주소 여부를 확인하는 것인데 공격자가 이메일 발송 서버를 구축하거나 별도의 설정을 통해 실제 주소처럼 보이게 조작할 수 있고, 실제 주소를 도용하는 경우도 있다.

이번 공격은 실제 국세청 홈택스의 세무조사 신고 통지문처럼 본문을 담고 있으며, ‘세무조사 신고서류안내.pdf’ 문서 파일이 첨부된 것처럼 보여진다.

이 파일은 실제 메일에 첨부된 상태가 아니고 한국의 특정 경제문화교류협회 사이트와 통신한 후 네이버 계정 피싱용 서버(navearcorps[.]help, mybox-naves[.]com)로 연결해 계정 탈취를 시도했다.

이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 해킹 경유지로 사용된 공격자 서버에는 특정인의 주민등록증, 운전면허증, 사업자등록증 등도 함께 발견됐다.

ESRC는 가상자산 투자자 일부가 피싱공격을 입은 후 이메일에 저장된 개인정보가 추가 유출됐을 가능성에 무게를 두고 후속 분석 작업을 진행 중이다.

피싱 공격에 속아 수신자가 암호를 입력해 유출되면 실제 국세청 출석 시 필요한 세무조사 신고 안내 PDF 문서를 보여주는 등 나름 치밀하게 공격을 진행하기 때문에 피해자는 공격에 노출된 사실을 인지하기 어렵다.

공격에 악용된 ‘navearcorps[.]help’ 서버는 ‘27.102.101.26’ 아이피 주소로 연결된다. 이 주소는 지난해 4월경 주소 사용 이력이 있는데, 함께 분류된 다수의 도메인은 당시 북한 연계 해킹그룹(탈륨/김수키)에서 사용한 것으로 보고된 바 있다.

이스트시큐리티는 확인된 피해 대상자가 주로 비트코인 등 가상자산 분야 투자자라는 공통점이 발견되고 있어 외화벌이 목적으로 진행된 북한 배후 사이버공격으로 추정하고 있다.

이스트시큐리티 ESRC 센터장 문종현 이사는 “국세청 문서처럼 위장한 포털 계정 피싱공격뿐만 아니라 세무조사 신고 서류 안내와 출석요구처럼 위장한 악성파일도 다수 보고된 바 있는데, 이 공격은 일명 코니(Konni) 캠페인으로 분류돼 있다”며 “탈륨(김수키) 공격과 코니 캠페인 간의 연관성을 면밀히 조사 중”이라고 말했다.