Attackers abuse legitimate platforms to deliver phishing emails that pass authentication checks

핵심 요약

공격자들이 델(Dell)과 같은 합법적인 기업의 주문 도메인을 악용하여 DKIM 및 DMARC 인증을 통과하는 고도로 정교한 콜백 피싱 이메일을 발송하고 있습니다. 이러한 공격은 MITRE ATT&CK의 Phishing(T1566) 및 Spearphishing via Service(T1566.003) 전술에 해당하며, 합법적인 발신자를 가장하여 기존 이메일 보안 시스템을 우회합니다. IT 감사인은 조직의 이메일 보안 통제가 이러한 우회 공격 기법에 효과적으로 대응할 수 있는지 점검하고, 사용자 보안 인식 교육에 최신 공격 트렌드를 반영하여 사회공학적 공격에 대한 방어 역량을 강화해야 하는 시사점을 얻을 수 있습니다.

개선 권고안

• ✔기술적 조치이메일 보안 게이트웨이(ESG) 및 클라우드 이메일 보안 서비스의 탐지 규칙을 고도화하여, DKIM/DMARC 인증을 통과하더라도 내용 기반의 이상 징후(예: 비정상적인 주문 확인, 낯선 헬프라인 번호 포함)를 탐지하고 차단할 수 있도록 정책을 강화할 것을 권고함.
• ✔기술적 조치이메일 발신 도메인에 대한 DMARC 정책을 'reject' 또는 'quarantine'으로 설정하고, 관련 보고서를 지속적으로 모니터링하여 도메인 스푸핑 및 악용 시도를 조기에 식별하고 대응할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 하는 보안 인식 교육 프로그램에 합법적인 플랫폼을 악용하는 콜백 피싱 등 최신 사회공학적 공격 기법에 대한 구체적인 사례와 대응 요령을 포함하여 교육을 강화할 것을 권고함.
• ✔관리적 조치주요 외부 서비스 제공업체와의 계약 시 보안 요구사항에 이메일 발송 시스템의 보안 통제 및 악용 방지 조치에 대한 내용을 명시하고, 정기적인 보안 점검을 통해 공급망 전반의 이메일 보안 취약점을 관리할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기