당신의 답장을 도둑에게 직송하는 이메일 헤더

미국 기업에 랜섬웨어, 악성코드, 데이터 유출을 합친 것보다 더 많은 피해를 주는 사기가 있다. 대부분 악성코드를 포함하지 않는다. 악의적인 링크도 없다. 감염된 첨부파일도 없다. 안티바이러스가 잡아낼 게 아무것도 없다. 단지 당신의 최고재무책임자에게서 온 것처럼 보이는 이메일, 그리고 조용히 다른 곳으로 가는 답장일 뿐이다.

그 어딘가가 바로 핵심이다. 그리고 그건 거의 모든 이메일 클라이언트가 당신에게 보여주지 않는 헤더 필드에 숨어 있다.

그 필드를 Reply-To라고 한다. 인터넷 메일 표준의 처음부터 있어왔으며 — RFC 5322는 이를 From 주소와는 별개로 응답이 "가야 할" 주소로 정의한다. 정당한 용도로는 지루하고 유용하다. 뉴스레터는 noreply@company.com에서 발송되지만 Reply-To를 support@company.com으로 설정해서 당신의 질문이 사람에게 닿도록 한다. 그게 다다. 그게 정직한 역할이다.

비즈니스 이메일 손상은 그 편의성을 무기로 만든다. From 주소를 위장하는 어렵고 기술적인 작업 대신 — SPF, DKIM, DMARC 경보를 촉발하고 차단 표시되는 — 공격자는 그냥 비슷한 도메인을 등록하거나 일회용 Gmail을 만든다. 그다음 표시 이름을 "Karen Vasquez, CFO"로 설정해서 당신의 받은편지함에 굵은 글씨로 익숙한 이름을 보여준다. 실제 From 주소는 karen.vasquez.finance@gmail.com일 수 있지만, 당신은 그걸 보지 못한다. 당신은 "Karen Vasquez"를 본다. 그리고 중요하게도, 그들은 Reply-To를 자신이 통제하는 주소로 설정한다.

그래서 당신은 그 이메일을 읽는다. 짧고, 그럴듯하고, 조금 긴급하다. "지금 자리에 있어? 은행 닫기 전에 송금 처리를 해줘야 한다." 당신은 답장을 누른다. 당신의 클라이언트는 친절하게도 당신의 응답을 From이 아니라 Reply-To로 주소 지정한다. 이제 당신은 공격자와 대화하고 있으며, 당신이 보내는 모든 메시지는 당신이 미끼에 걸렸음을 확인해준다.

여기 규모는 반올림 오류가 아니다. FBI의 인터넷 범죄 불평 센터는 2023년 한 해만 $2.9 billion의 보고된 BEC 손실을 기록했으며, 21,000건이 넘는 불평이 있었다. 이건 보고된 숫자인데, 눈치챈 사람들이 제출한 것이다. 실제 수치는 더 크다. 왜냐하면 통과한 송금은 결산 시점까지 평범한 화요일처럼 보이기 때문이다.

이걸 답답하게 만드는 건 방어책이 바로 거기 숨어 있다는 거다. 모든 메일 클라이언트는 Reply-To 값을 알고 있다. 거의 어느 것도 그걸 표시하지 않는다. Gmail은 발신자를 표시 이름과 당신이 클릭해야 하는 작은 캐럿으로 축약한다. Outlook은 실제 주소를 "View source" 또는 대부분의 사람들이 열어본 적 없는 속성 대화창 아래에 숨긴다. 사기를 드러내는 바로 그 필드는 인터페이스가 쓰레기로 취급하는 필드다.

그래서 습관을 들이자. 돈, 변경된 은행 세부정보, 또는 긴급성이 관련된 뭔가에 답장하기 전에, 헤더를 펼쳐라. Gmail에서 발신자 이름 옆의 아래쪽 화살표를 클릭하고 실제 "reply-to" 줄을 읽어라. From이 한 가지를 말하고 Reply-To가 다른 사서함을 가리킨다면, 멈춰라. 그 불일치는 재무 이메일에서 거의 무고하지 않다.

더 나은 것은, 답장을 하지 말고 그냥 그 사람을 위해 이미 저장해둔 주소로 새 메시지를 시작하거나, 이메일에서 받지 않은 번호로 전화를 걸어라. 공격자는 당신이 그들이 만든 스레드 안에 머물러 있기를 바란다.

이 사기의 음울한 우아함은 어떤 규칙도 깨지 않음으로써 모든 자동화된 검사를 통과한다는 거다. From 주소는 기술적으로 실제다. 도메인은 잘 인증된다. 아무것도 위조되지 않는다. 거짓은 배관에 있지 않다 — 당신의 소프트웨어가 당신이 볼 필요가 없다고 결정한 바로 그 줄에 있다.