[시사프라임 / 박세연 기자] 지난해 4월부터 올해 4월까지 1년간 3천5백만 건, 하루 평균  15만6천 건의 비즈니스 이메일 침해(BEC)시도가 발생한 것으로 파악됐다. 또, 지난해 비즈니스 이메일을 노린 서비스형 사이버 범죄(CaaS)는 2019년 대비 38% 증가했다고 설명했다. 

마이크로소프트(MS)가 사이버 위협 인텔리전스 요약 보고서 사이버 시그널(Cyber Signals) 4번째 에디션을 공개하며 이같이 22일 밝혔다.

많은 공격자들이 사용하는 서비스 중 하나인 BulletProLink는 산업 규모의 악성 이메일 캠페인을 생성하는 플랫폼이다. 비즈니스 이메일 침해를 위한 템플릿, 호스팅, 자동화 서비스 등을 포함한 엔드투엔드(end-to-end) 서비스를 판매하는 것으로 파악됐다.

비즈니스 이메일 침해 공격자들은 매일 쏟아지는 이메일 트래픽과 메시지를 악용한다. 이를 통해 피해자가 금융 정보를 제공하거나, 범죄자의 사기 송금에 활용되는 자금 운반책 계좌로 무의식적인 송금을 하도록 유도한다. 

이러한 위협 행위자의 비즈니스 이메일 침해 시도는 전화, 문자, 이메일, 소셜 미디어(SNS) 메시지 등 여러 형태로 이루어질 수 있다. 

인증 요청 메시지를 스푸핑(임의로 구성된 웹사이트를 통하여 이용자의 정보를 탈취하는 해킹 수법의 하나)하거나 개인이나 회사를 사칭하는 것도 일반적인 수법이다.

위협 행위자들은 주로 고위 간부, 재무 관리자, 직원 기록에 접근이 가능한 인사부서 직원 등 특정 역할을 수행하는 대상을 표적으로 삼는다. 이메일 요청에 대한 신뢰 여부를 확인할 가능성이 낮은 신입사원도 표적이 된다. 

피싱 메일 내용의 주요 유형으로는 낚시성 정보, 급여, 인보이스, 기프트 카드, 비즈니스 정보 등이 있다.

이에 MS는 AI 기능이 탑재된 이메일 클라우드 플랫폼 사용, 지속적인 직원 교육을 통해 잠재적 위험으로부터 대비해야 한다고 강조했다.