일본산업뉴스요약

사이버 사기, 개인이 타깃
IPA, 사기 수법을 숙지하여 회피

개인을 표적으로 한 사이버 사기가 횡행하고 있다. 경제산업성 산하 정보처리추진기구(IPA)가 정리한, 2018년에 영향이 컸던 사이버 시큐리티의 10대 위협에서는 개인을 타깃으로 한 사기 수법이 상위에 올랐다. 아시아에서는 개인을 표적으로 한 구글 등의 지도서비스를 악용하는 사기 피해가 확대되고 있어 관계자가 주의를 호소하고 있다.

IPA가 정리한 ‘정보 시큐리티 10대 위협 2019’에서 눈에 띄는 것은 개인을 대상으로 한 위협이다. 피싱 사기로 개인정보 등을 사취하는 방법이 2위, 메일이나 SNS를 사용한 협박∙사기가 4위에 올랐다. 18년에는 라쿠텐이나 미쓰비시UFJ니코스 등으로 위장한 피싱 사기 메일이 이어졌고, 사가와큐빈(佐川急便)을 가장한 메일을 스마트폰으로 보내는 수법도 다수 발생하였다.

6위에는 가짜 경고에 의한 인터넷 사기가 올랐다. ‘바이러스에 감염되었다’ 등의 메시지를 스마트폰 화면에 표시하여 부정 앱을 다운로드 받도록 한다거나 부정한 사이트로 유도하는 수법이다.

기업을 대상으로 한 위협에서도 사이버 사기는 존재감이 커지고 있다. 상사 등으로 위장하여 메일로 금전이나 정보를 요구하는 ‘비즈니스 메일 사기’에 의한 피해가 2위에 올랐다. 이전에는 영문 사기 메일이 대부분이었지만 IPA가 일본어로 된 사기 메일을 발견했다고 18년 8월에 발표하였다. 한편, 2018년 개인 대상 10대 위협에서 상위에 올랐던 인터넷서비스에 대한 부정 침입이나 몸값 요구 바이러스에 의한 피해는 각각 8위, 9위로 순위가 내려갔다.

IPA는 이들 위협에 대한 대책으로 “개인 이용자가 구체적인 사기 수법을 아는 것이 중요하다”라고 지적한다. 정보를 수집하여 사이버 사기에는 어떤 위험이 있는가를 이해하는 것이 중요하다.

●정보 시큐리티 10대 위협 2019

-- 구글 지도의 악용 사기 확대 --
미국 구글 등의 지도서비스를 악용한, 전화 등 음성을 이용하는 보이스피싱 사기의 일종인 ‘리버스 비싱(Reverse Vishing)’이 아시아태평양 지역에서 확대되고 있다. 미국 델 테크놀로지 산하 스토리지(외부기억장치)업체 EMC재팬(도쿄)의 시큐리티 부문이 경종을 울리고 있다.

일반적인 비싱은 범죄자 측에서 전화를 걸지만 리버스 비싱은 반대로 피해자가 전화를 거는 것이 특징이다. 구글 지도서비스 ‘구글맵’이 보유한, 지도에 표시되는 정보가 잘못되었을 때 이용자가 정정 정보를 제안하는 시스템을 악용하여 은행 등의 전화번호를 무단으로 수정한다. 수정된 것을 알아차리지 못한 이용자가 전화를 걸면 범죄자와 연결되는 구조다.

범죄자가 은행 비밀번호 등을 빼내려고 한다는 점은 일반적인 사기와 같다. 그러나 이용자가 정확한 번호로 전화를 걸었다고 오인하고 통화하는 만큼 통상의 보이스피싱 사기보다 걸려들기 쉽다고 한다.

EMC재팬에 따르면 구글맵을 악용하는 리버스 비싱은 주로 인도에서 횡행하고 있으며, 최근에는 아시아태평양지역으로도 확대되기 시작했다고 한다. 델 테크놀로지 산하의 시큐리티 부문 담당자는 “이용자는 어디에 위험이 잠재해 있는가를 알기 위해 항상 안테나를 세워둘 필요가 있다”라고 지적하였다.

AI로 메일 사기 검출
Trend Micro, 문장 작성 방식을 통해 본인 인증

사이버 시큐리티 기업인 Trend Micro는 상사 등으로 위장한 메일로 금전이나 정보를 사취하는 ‘비즈니스 이메일 사기(BEC)’를 검출하는 인공지능(AI)을 개발하였다. 문장 작성 방식을 바탕으로 발신인이 본인인지 여부를 AI가 판정한다. 기존의 시큐리티 대책 소프트로 식별하기 어려웠던 BEC 피해를 방지할 수 있다고 한다.

트렌드 마이크로가 개발한 AI ‘Writing Style DNA’는 500~800통의 메일을 바탕으로, 한 문장의 길이나 공백의 출현 빈도, 쉼표나 마침표 등 문장에 나타나는 약 7,000개의 특징을 AI가 학습. 사이버 범죄자가 상사 등의 이름을 사칭하여 메일을 보내 오면 문장 작성 방식을 바탕으로 본인인지 여부를 판정한다. BEC로 의심이 가는 경우는 메일 내용이나 제목에 경고를 추가하여 수신자에게 보낸다. 상사에게는 해당 메일을 발신했는지 여부를 확인한다고 한다. 또한 메일 본문 내용은 AI는 학습하지 않고 데이터도 보관하지 않는다고 한다.

일본항공(JAL)이 2017년에 약 3억 8,000만엔을 사취당한 사건이 상징하듯이 BEC는 고액의 금전 피해가 발생하기 쉽다. 게다가 기존의 시큐리티 대책 소프트는 BEC를 식별하기 어려웠다. 바이러스 메일과 달리 첨부파일이 없고, 피싱 사기처럼 부정 웹사이트로 유도하는 링크도 없기 때문이다. 트렌드 마이크로는 AI에게 판정하도록 함으로써 이를 해결한다.

마이크로소프트나 구글의 클라우드용 시큐리티 서비스인 ‘트렌드 마이크로 클라우드 업 시큐리티’ 등에서 이용할 수 있도록 한다. 마이크로소프트의 ‘오피스365’는 2월 15일, 구글의 ‘G메일’은 6월까지 대응한다. 요금은 클라우드 업 시큐리티 계약자라면 필요 없다. 처음에는 영문 메일에만 대응한다. 일본어는 19년 중에 판정할 수 있도록 할 계획이다.

 -- 끝 --