"이력서인 척, 후원 문의인 척"…국가배후 해킹조직 주의보, 나도 노려질 수 있다

혹시 최근에 "채용 제안"이나 "기부금 문의"라는 제목의 메일을 받아본 적 있나요? 별생각 없이 첨부파일을 열었다면, 지금 이 글을 꼭 끝까지 읽어보시길 권합니다. 지난주 국정원, 경찰청, 한국인터넷진흥원(KISA), 금융보안원이 민간 보안업체들과 손잡고 국가배후 해킹조직의 공격에 대비하라는 합동 권고문을 발표했는데, 그 방식이 생각보다 우리 일상 깊숙이 들어와 있었습니다.

왜 갑자기 '민관 합동' 권고문이 나왔을까?

이번 권고문이 눈에 띄는 이유는 국가 기관과 민간 보안 전문가들이 함께 이름을 올렸다는 점입니다. 그만큼 사이버 공격이 특정 기업이나 기관만의 문제가 아니라, 사회 전반에 걸친 위협으로 커졌다는 뜻이겠죠. 특히 국가배후 해킹조직은 단발성 범죄와 달리 장기간 은밀하게 정보를 빼가는 데 특화되어 있어, 피해를 당해도 한참 뒤에야 알아차리는 경우가 많다고 합니다.

'워터링홀' 공격, 도대체 뭐길래?

이번 권고문에서 특히 강조된 것이 '워터링홀(Watering Hole)' 공격입니다. 맹수가 물웅덩이 근처에서 먹잇감을 기다리듯, 해커가 우리가 자주 방문하는 언론사·병원·소규모 웹사이트에 몰래 악성코드를 심어두고 방문자를 낚는 방식입니다. 평소처럼 뉴스를 보거나 병원 홈페이지에 들어갔다가 아무것도 모른 채 감염되는 셈이니, 개인이 조심한다고 100% 막을 수 있는 게 아니라는 점이 더 무섭습니다.

AI 생성 삽화

이력서, 채용 제안, 기부금 문의… 피싱 메일의 진화

또 하나 주목할 부분은 사회공학적 피싱 메일입니다. "귀사에 지원하고 싶습니다"라는 이력서 메일, "좋은 조건으로 이직 제안드립니다"라는 채용 메일, 심지어 "이런 취지로 기부하고 싶은데 문의드립니다"라는 메일까지, 받는 사람이 경계심을 풀 만한 상황을 정교하게 노립니다. 실제로 사람 인사 담당자나 채용 관계자가 아니더라도 누구나 이런 메일을 받을 수 있다는 점에서, 더 이상 "나와는 상관없는 일"이라고 생각하기 어렵습니다.

AI 생성 삽화

그래서 우리가 할 수 있는 건 뭘까?

거창한 보안 지식이 없어도 실천할 수 있는 습관들이 있습니다. 출처가 불분명한 메일의 첨부파일이나 링크는 열기 전에 발신자를 다시 확인하고, 회사·기관을 사칭한 메일이라면 공식 홈페이지나 대표 전화로 별도 확인하는 것이 좋습니다. 또한 자주 쓰는 사이트라도 브라우저와 백신 프로그램을 최신 상태로 유지하면 워터링홀 공격으로 인한 감염 위험을 크게 줄일 수 있습니다. 작은 습관이지만, 이런 것들이 쌓이면 나와 내 주변을 지키는 든든한 방어선이 됩니다.

마무리하며

사이버 보안은 더 이상 전문가나 특정 기업만의 이야기가 아니라, 이력서를 보내거나 뉴스를 읽는 평범한 우리 모두의 이야기가 되었습니다. 이번 합동 권고문이 강조하듯, 익숙하고 평범해 보이는 메일과 웹사이트일수록 한 번 더 의심하는 습관이 필요한 시기입니다. 오늘 소개한 내용을 계기로 나의 이메일과 인터넷 습관을 한 번쯃 점검해보시길 바랍니다.

참고 자료
IT동아, "[주간보안동향] '국가배후 해킹조직 해킹 주의'…민관 합동 사이버보안 권고문 발표 外", 김예지 기자