구매 주문 및 최저가 견적 이메일 사기

사이버 범죄자들은 끊임없이 전략을 다듬어 신뢰와 긴박감을 이용해 의심치 않는 피해자를 속입니다. 그러한 사기성 계획 중 하나가 '구매 주문서 및 최고 가격 견적' 이메일 사기입니다. 이 사기성 메시지는 비즈니스 문의로 위장하여 피싱 웹사이트를 통해 수신자를 속여 민감한 정보를 공개하게 합니다. 이러한 전략의 메커니즘을 이해하는 것은 개인 및 전문 데이터를 보호하는 데 중요합니다.

전술이 작동하는 방식

사기성 이메일은 '중요 공지: 수신 메시지 전달 지연'과 같은 제목과 함께 도착합니다. Brite Recruitment Ltd.의 영업 관리자로부터 온 것으로 주장하며, 수신자에게 첨부된 구매 주문서를 검토하고 최상의 가격에 대한 견적을 제출해 달라고 요청합니다. 메시지는 전문적으로 보이므로 수신자(특히 영업 또는 조달 부서)가 사기에 속을 가능성이 커집니다.

이 사기의 핵심 요소는 "PDF 역전 구매 주문-6890"이라는 라벨이 붙은 첨부 파일인데, 실제로는 합법적인 구매 주문이 들어 있지 않습니다. 대신 '다운로드' 링크를 클릭하면 피해자는 위조된 Google 로그인 페이지로 리디렉션됩니다. 가짜 페이지는 사용자의 세션이 만료되었다고 주장하며, 이메일과 비밀번호를 입력하라고 합니다.

자격 증명을 입력한 후에는 어떻게 되나요?

피해자가 자격 증명을 입력하면 해당 정보가 즉시 사기꾼에게 전송되어 이메일 계정에 대한 무단 액세스가 허용됩니다. 이 액세스로 사이버 범죄자는 다음을 수행할 수 있습니다.

• 과거 이메일에서 금융 정보와 개인 정보를 포함한 민감한 데이터를 수집합니다.
• 손상된 계정에서 피싱 이메일을 보내서 새로운 대상에게 해당 전술이 더욱 합법적인 것처럼 보이도록 만듭니다.
• 수집된 비밀번호를 이용해 은행 계좌, 소셜 미디어, 클라우드 저장 서비스 등 다른 계정에 접근하는 자격 증명 채우기 시도.
• 손상된 계정을 다크웹 마켓플레이스에 판매하여 사이버범죄를 더욱 부추깁니다.

이 이메일이 왜 그렇게 설득력이 있는가

이와 같은 사기성 이메일은 합법적인 비즈니스 커뮤니케이션을 모방하여 의심을 피하기 위해 설계되었습니다. 사이버 범죄자는 다음을 활용합니다.

• 브랜드 사칭 – 신뢰할 만한 회사 이름을 사용하여 신뢰성을 얻는 것.
• 긴박감과 권위 – 성급한 행동을 촉구하여 중요성의식을 조성합니다.

• 가짜 링크 – 사용자를 실제 로그인 페이지와 거의 똑같은 사기성 로그인 페이지로 리디렉션합니다.

이러한 전술 중 다수는 이메일 스푸핑 기술을 사용하여 메시지가 평판 좋은 회사에서 보낸 것처럼 보이게 합니다. 일부 버전에는 공식 로고, 서식, 심지어 가짜 서명이 포함되어 진정성을 강화할 수 있습니다.

피싱을 넘어선 숨겨진 위험

이 전술의 주요 목적은 자격 증명 도용이지만 위험은 손상된 이메일 계정을 넘어 확장됩니다. 공격자는 다음에 대한 액세스를 악용할 수 있습니다.

• 기밀 문서를 검색하기 위한 클라우드 저장 서비스(Google Drive, OneDrive)
• 이메일이 직원의 소유인 경우 기업 네트워크에서 데이터 침해가 발생할 가능성이 있습니다.
• 추가적인 사기성 이메일을 통해 악성 소프트웨어를 퍼뜨리기 위한 개인적 또는 업무 관련 연락처.

사기꾼은 또한 비슷한 피싱 캠페인에서 맬웨어가 포함된 첨부 파일을 배포합니다. 위장된 PDF, ISO 또는 ZIP 파일을 클릭하면 다음을 위해 설계된 유해한 소프트웨어가 설치될 수 있습니다.

• 키 입력을 기록하여(키로거) 비밀번호를 수집합니다.
• 랜섬웨어 공격의 일환으로 파일을 암호화합니다.
• 허가받지 않은 감시를 위한 원격 접속을 설정합니다.

넘어지는 사람을 식별하고 피하는 방법

이러한 전술을 방지하려면 사전 예방적 접근 방식을 채택하는 것이 필수적입니다.

• 발신자 확인 : 이메일이 알려진 회사에서 보낸 것이라고 주장하는 경우, 링크를 클릭하는 대신 공식 웹사이트를 방문하여 다시 확인하세요.
• 클릭하기 전에 링크를 검사하세요 . 링크 위에 마우스를 올려놓고 어디로 연결되는지 확인하세요. 합법적인 회사 도메인이 아니라면 클릭하지 마세요.
• 첨부 파일에 주의하세요 . 예상치 못한 파일, 특히 알 수 없는 연락처에서 온 파일은 확인 없이 절대 열지 마세요.
• 2단계 인증(2FA) 사용 : 자격 증명이 도용되더라도 2FA를 통해 계정에 대한 무단 액세스를 방지할 수 있습니다.
• 의심스러운 이메일 신고 : 피싱 시도를 이메일 제공업체나 사이버보안 팀에 전달하여 추가 공격을 방지하세요.

마지막 생각

'구매 주문서 및 최저가 견적' 피싱 이메일과 같은 전술은 신뢰와 긴급성을 이용하도록 설계되어 사용자가 주의를 기울이는 것이 필수적입니다. 사기성 이메일의 징후를 인식하고, 요청을 독립적으로 확인하고, 강력한 보안 관행을 구현함으로써 개인과 기업은 사이버 범죄자보다 앞서 나갈 수 있습니다. 경계는 위협이 계속 적응하는 끊임없이 진화하는 디지털 환경에서 가장 좋은 방어책입니다.