연차 점검 사칭 메일에 털린 사내 계정, 스팸 규칙 다시 짠 공공기관

철자 하나 바꾼 도메인에 뚫린 단순 필터

사칭 메일 한 통에 걸려 넘어간 직원은 4명이었다. 전국 16개 지역 본부와 연구소를 둔 공공 연구지원기관 A사의 최근 보안 점검에서 드러난 구멍이다. 현장 파견과 출장이 잦아 임직원 절반 가까이가 사외에서 모바일이나 웹메일로 결재를 처리하던 근무 환경이 화를 불렀다.

발송자는 인사팀을 참칭해 '유연근무제 및 연차 사용 실태 점검'이라는 제목을 달았다. 본문에는 출퇴근 기록 정정을 유도하는 외부 인터넷 주소(URL)를 심었다. 일상적인 업무 안내로 여긴 분소 직원들이 링크를 눌러 사내 계정 정보를 넘겨줬다. 본부 관제팀이 비정상 IP 접속을 포착해 추가 유출은 끊어냈지만, 단순 금칙어와 블랙리스트에만 의존하던 기존 스팸 필터는 작동하지 않았다.

사칭범은 정상 공공기관 주소와 철자 몇 개만 다른 변조 도메인을 썼다. 본문 역시 '출퇴근', '연차', '전자결재' 같은 통상적인 근태 단어만 나열해 스팸망을 그대로 지나쳤다. A사 전산보안팀장은 "지사별로 근무 환경이 흩어져 있다 보니 근태 정정 메일에 경계심을 품기 어려웠던 점을 파고들었다"고 말했다.

발신처 셋 묶고 민감 키워드 검역

지역 분소마다 개별 발송하던 근태 공지는 단일 인증 계정으로 묶었다. 도메인 위·변조를 걸러내기 위해 메일서버 등록제(SPF)와 도메인키 인증(DKIM), 도메인 기반 메시지 인증(DMARC) 등 3대 발신자 검증 기술을 한꺼번에 통과하지 못하면 시스템 유입 즉시 반송하도록 필터 규칙을 바꿨다.

점검 항목	사고 발생 전 상태	개선 후 조치 기준
발신자 검증	단순 블랙리스트 기반 차단	SPF·DKIM·DMARC 인증 실패 시 격리
스팸 규칙 조건	제목 내 단순 금칙어 매칭	근태 키워드와 외부 링크 동시 포함 시 검역
거점별 권한	지역 분소 개별 공지 발송	전사 공지 전용 발신 계정 단일화 및 인증
이상 징후 감지	비정상 로그인 후 사후 차단	사외 접속 단말의 연속 인증 실패 시 즉시 잠금

외부에서 유입되는 메일 가운데 연차, 출퇴근, 급여 같은 민감 키워드와 외부 링크가 동시에 들어있는 건은 예외 없이 1차 검역함으로 격리하도록 조합 규칙도 새로 짰다. 사내 인사 시스템에서 정식으로 나가는 메일에는 위변조 방지 디지털 서명을 붙여 외부 수신물과 겉모습부터 가르도록 했다.

분산 조직일수록 잦아지는 관리 공백

다거점 조직은 현장 대응에 유리하지만 관리해야 할 네트워크 접점이 늘어난다는 약점을 안고 있다. 일상적인 근태 알림이나 정정 메일이 사내 인증 체계를 거치지 않고 외부망과 뒤섞이면 직원들은 의심 없이 개인 식별 정보를 내주기 쉽다는 게 현장의 설명이다.

기술적 차단 규칙도 정적인 목록 관리로는 한계가 따른다. 발신자 서명 인증과 본문 복합 검역을 맞물려 돌리는 동시에, 계정 연속 실패 시 즉각 단말 접속을 잠그는 식의 다층 방어선이 뒤따라야 유사 수법을 막아낼 수 있다는 지적이 나온다.