모든 스팸 테스트를 통과한 위조 송장

십 번 이상 결제한 적 있는 공급업체에서 새 송장이 담긴 이메일이 온다. 같은 로고, 같은 담당 계정 관리자, 같은 정중한 인사말. 유일한 차이는 이메일 헤더 깊숙이 묻혀 있는 한 줄뿐인데, 그 줄이 $48,000 결제를 다른 나라의 낯선 사람에게로 리디렉션해 버렸다.

이것이 받은편지함 사기에서 아무도 경고하지 않는 부분이다. 위험한 송장은 엉성한 것들이 아니다. 깔끔한 송장들이다. 정당한 회사의 이메일 계정에 침투한 사기꾼은 아무것도 위조할 필요가 없다. 메일은 진정한 도메인에서 진정한 키로 서명되어 나간다. SPF 통과. DKIM 통과. DMARC 통과. 스팸 필터는 어깨를 으쓱하고 통과시킨다. 수학적으로 봤을 때 이것은 정당한 메일이기 때문이다. 맞다. 다만 잘못된 사람이 보냈을 뿐이다.

이것이 비즈니스 이메일 손상(BEC)이 가장 비싼 사기이고, 근처에 다른 것도 없는 이유다. FBI의 인터넷 범죄 신고 센터는 2023년 한 해만 해도 대략 $2.9 billion의 BEC 손실을 기록했다. 자동화된 모든 척도로 보아 완전히 괜찮아 보이는 이메일의 힘으로 나간 송금 이체들이다. 악성코드 없음. 의심스러운 링크 없음. 조용히 탈취된 받은편지함에서 보낸, 결제 세부정보 업데이트를 요청하는 그럴듯한 요청일 뿐이다.

그렇다면 스팸 점수가 당신을 구해주지 못한다면, 무엇이 당신을 구할 것인가?

일 분 안에 읽을 수 있는 두 개의 헤더 줄이다: Reply-To와 Return-Path.

평범한 용어로 그 차이를 설명하자면 이렇다. From 주소는 봉투 앞면에 보이는 것이다. Return-Path는 배달에 실패하면 반송 메시지가 가는 곳이다. 받는 서버가 실제로 신경 쓰는 기술적인 "발신자"다. 그리고 Reply-To는 당신이 버튼을 눌렀을 때 답장이 조용히 전송되는 주소다. DMARC.org에서 설명하듯이, 이들은 정당하게 다를 수 있으며, 이것이 정확히 그들을 증거로서 유용하게 만드는 것이다. 공급업체에서 온 정당한 메일에서는 이 세 가지 모두 일반적으로 같은 도메인 아래에 정렬된다. 탈취된 계정 사기에서는 공격자가 From을 건드리지 않은 채로 두는 경우가 많다. 진짜처럼 보여야 하기 때문이다. 하지만 Reply-To를 다른 곳으로 향하도록 몰래 끼워 넣는다. 앞면에는 accounts@yourvendor.com이고, 답장은 accounts.yourvendor@gmail.com으로. 도메인이 다르다. 때로는 단 한 글자 차이다.

공격자가 이렇게 하는 이유는 간단하다. 지금은 탈취된 사서함을 제어하고 있을 수도 있지만, 당신의 답장이 진정한 소유자의 받은편지함에 다시 도착하는 것을 원하지 않는다. 진정한 직원이 자신이 보낸 적 없는 송장을 발견할 수도 있기 때문이다. 그래서 그들은 대화를 완전히 통제하는 주소로 리디렉션한다. 그 리디렉션이 지문이다.

그것을 찾는 데는 약 20초가 걸린다. Outlook에서 메시지를 열고 File → Properties를 사용해 인터넷 헤더를 본다. 모든 줄을 읽고 싶다면 Microsoft에서 전체 헤더 형식을 문서화했다. Gmail에서는 세 점 메뉴를 누르고 Show original을 선택한다. Reply-To:와 Return-Path:를 스캔한다. 둘 중 하나가 발신자의 도메인이 아닌 곳을 가리키거나, 회사 계정이 예상되는 곳에 무료 웹메일 계정을 가리킨다면 멈춘다. 이메일에 답장하지 마라. 메시지에 인쇄된 번호가 아닌 이미 가지고 있는 번호로 공급업체에 전화한다.

이것은 모두 기술적일 필요가 없다. 알람을 울리지 않는 이메일을 정확히 의심할 필요가 있다. 필터에서 나온 녹색 체크마크는 메시지가 위조되지 않았다는 뜻이다. 그것을 보낸 계정의 키를 누가 쥐고 있는지에 대해서는 아무것도 말해주지 않는다.

2024년에 계정을 비우는 사기는 사기처럼 보이지 않는다. 화요일처럼 보인다. 헤더는 거짓이 여전히 살아가야 하는 곳이다.