[K Voice Today=김선엽 기자] 최근 생성형 인공지능(AI) 기술과 정교한 사회공학 기법을 결합한 이메일 스팸 및 피싱 공격이 급증하면서 직장인과 지역 주민들의 각별한 주의가 요구된다. 과거에는 서툰 문장이나 오탈자로 피싱 메일을 쉽게 식별할 수 있었으나, 최근 유포되는 메일은 지인 사칭 및 구글 보안 인증을 정교하게 모방하여 상당한 실질적 피해를 야기하고 있다.
실제로 최근 미주 한인 사회와 현지 기업에서는 기존 연락처를 악용해 연쇄적으로 피싱 메일을 유포하는 피해 사례가 발생했다.
조지아주에 거주하는 한인 제임스 김(James Kim) 씨는 최근 평소 친분이 있던 목사님으로부터 이메일 초대장을 받았다. 해당 메일을 확인하기 위해 연결 링크를 클릭하자 구글 보안 검증(Verify) 화면이 등장했다. 김 씨는 이를 구글의 정상적인 보안 절차로 판단하고 인증을 진행했다. 그러나 인증을 마친 직후, 김 씨의 이메일 계정은 본인도 모르게 악용됐다. 기존에 김 씨와 단 한 번이라도 이메일을 주고받았던 모든 수신자들에게 김 씨의 이름(James Kim)으로 동일한 가짜 초대장이 일시에 대량 발송된 것이다.
전문가들은 이 같은 ‘계정 접근 권한(OAuth) 탈취’ 수법을 방치할 경우 단순 메일 유포를 넘어 치명적인 2차·3차 피해로 이어진다고 경고한다.
첫째, 금전 갈취 피해다. 공격자는 피해자의 이메일을 점유한 뒤 주소록에 등록된 교인이나 지인들에게 “급한 사고가 생겼다”며 금전 입금을 요구하거나, 기업 계정의 경우 거래처에 “입금 계좌가 변경됐다”는 거짓 메일을 보내 거래 대금을 갈취한다.
둘째, 명의 도용 및 금융 피해다. 이메일함이나 구글 드라이브에 보관된 운전면허증, 여권, 세금 보고서, 통장 사본 등 민감한 개인정보가 유출되어 피해자 명의로 가짜 신용카드가 발급되거나 불법 대출이 실행되는 대형 명의 도용 사고로 이어진다.
셋째, 사회적 신뢰 파괴 및 명예 실추다. 피해자의 이름으로 대량 유포된 악성 메일로 인해 친지나 거래처로부터 피싱 유포자로 오해를 받거나, 영업망 전체가 마비되는 등 심각한 평판 손상을 입게 된다.
미국 연방수사국(FBI) 인터넷범죄신고센터(IC3) 발표에 따르면, 이와 같은 계정 탈취 및 비즈니스 이메일 침해(BEC) 사기로 인한 연간 피해액은 30억 달러를 넘어섰으며 해마다 가파르게 증가하는 추세다.
지인 사칭 피싱 이메일 예방 및 대처 가이드
지인의 메일이라도 인증·로그인 요구 시 재확인: 아는 사람이 보낸 메일이라도 구글/마이크로소프트 로그인이나 보안 인증(Verify)을 유도할 경우, 클릭을 멈추고 전화나 문자 등 별도 채널로 실제 발송 여부를 확인해야 한다.
구글 계정 연결 앱 권한 즉시 취소: 유사한 피해를 입었거나 의심스러운 인증을 진행한 경우, 구글 계정 설정의 ‘계정 액세스 권한이 있는 타사 앱’ 메뉴로 이동하여 최근 승인된 수상한 앱의 접근 권한을 즉시 삭제해야 한다.
비밀번호 변경 및 연결된 모든 기기 로그아웃: 계정 권한이 유출되었다고 판단되면 즉시 비밀번호를 변경하고, 계정에 연결된 모든 기기에서 전체 로그아웃을 실행해야 한다.
주소록 지인들에게 피싱 피해 사실 알림: 자신의 계정으로 타인에게 피싱 메일이 발송된 것을 확인했다면, 즉시 주소록에 등록된 이메일 수신자들에게 해당 메일이 피싱임을 알리고 링크를 클릭하지 말 것을 안내해야 한다.
다중 인증(MFA) 및 보안 진단 실시: 구글 2단계 인증(MFA)을 활성화하고, 구글 보안 진단(Security Checkup) 기능을 통해 최근 로그인 기록 및 계정 활동을 정기적으로 점검해야 한다.
