한국인터넷진흥원(KISA)은 2024년 5월 29일 보호나라에 「정부기관 사칭 피싱메일 주의 및 도메인 보안설정 권고」를 올렸습니다. 국세청이나 행정안전부를 사칭한 해킹메일이 불특정 다수에게 계속 유포되고 있다며 사용자의 주의를 당부했고, 수신자가 발신자 진위를 판단할 수 있도록 도메인을 운영하는 DNS에 메일보안 표준기술인 SPF(Sender Policy Framework)·DKIM(DomainKeys Identified Mail)·DMARC(Domain-based Message Authentication, Reporting and Conformance)를 적용하라고 권고했습니다.
무엇이 발표되었나
공지에 따르면 최근 해커가 메일 발신자를 정부기관으로 사칭하거나 해킹메일을 유포하는 사례가 계속 발생하고 있습니다. 이런 메일은 '본인 확인'을 내세워 사용자가 악성 링크를 누르도록 유도합니다.
- 보낸 사람은 국세청, 행정안전부 같은 정부기관으로 표시되지만, 실제로는 해당 기관의 이메일 계정이 아닌 다른 계정에서 보낸 메일입니다.
- 공지에 실린 사칭 사례는
@mois.go.kr(행정안전부)와@hometax.go.kr(홈택스)입니다.
KISA는 이와 관련해 발신자의 진위 여부를 판단할 수 있도록 메일보안 표준기술을 적용해야 한다고 밝혔습니다.
영향 범위
- 일반 이메일 사용자: 정부기관 명의로 보이는 메일을 받는 사람은 누구나 대상이 될 수 있습니다.
- 도메인 운영 기관·기업: 공지는 도메인을 서비스하는 DNS에 SPF·DKIM·DMARC를 적용하라고 권고합니다. 이 설정이 없는 도메인은 수신 측에서 메일이 정당한 발신지에서 왔는지 검증하기 어렵습니다.
운영자가 할 일
KISA가 제시한 대응방안은 다음과 같습니다.
사용자 대상
- 송신자를 정확히 확인하고, 모르는 이메일과 첨부파일은 열지 않습니다.
- 출처가 불분명한 사이트 주소는 클릭하지 않습니다.
- 이메일에서 연결된 사이트는 일단 의심하고, 주소가 정상 사이트 주소와 같은지 반드시 확인합니다.
- 운영체제와 자주 쓰는 문서 프로그램(아래한글 등)을 최신으로 업데이트합니다.
- 백신을 업데이트하고 수시로 검사합니다.
DNS·메일 운영자 대상
- 운영하는 도메인의 DNS에 SPF·DKIM·DMARC를 적용합니다.
SPF·DKIM·DMARC는 모두 DNS의 TXT 레코드로 게시합니다. 적용할 때는 아래 사항을 함께 확인하는 것이 좋습니다.
- SPF 레코드에 실제로 메일을 보내는 서버와 외부 발송 서비스가 빠짐없이 들어 있는지
- DKIM 공개키가 메일 서버에 설정한 선택자(selector) 이름으로 게시되어 있는지
- DMARC 정책을 처음부터 강하게 적용하기보다, 보고서로 발송 현황을 확인한 뒤 단계적으로 높일지
- 메일을 보내지 않는 도메인에도 발신을 막는 설정이 필요한지
침해사고와 관련한 문의는 KISA 인터넷침해대응센터(국번 없이 118)로 하면 되고, 사고가 발생하면 보호나라(boho.or.kr) > 침해사고 신고 > 신고하기에서 신고할 수 있습니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.