올해 1분기 이메일 피싱 83억건…MS "사이버 공격, 계정 장악형으로 진화"

[경제일보] 이메일 기반 사이버 공격이 악성코드 유포보다 계정 탈취 중심으로 빠르게 재편되고 있는 것으로 나타났다. QR 코드와 캡차(CAPTCHA), 다중인증(MFA) 우회 기술 등을 활용한 탐지 회피형 공격이 급증하면서 기업 보안 전략 역시 네트워크 보호 중심에서 인증·사용자 계정 보호 중심으로 전환되고 있는 것으로 분석된다.

14일 마이크로소프트 위협 인텔리전스가 발표한 '2026년 1분기 이메일 위협 환경 분석 보고서'에 따르면 올해 1분기 탐지된 이메일 기반 피싱 공격은 약 83억건에 달한 것으로 집계됐다. 월별 공격 규모는 지난 1월 29억건에서 지난 3월 26억건 수준으로 소폭 감소했지만 공격 방식은 더욱 정교해지고 있는 것으로 나타났다.

특히 전체 이메일 위협 가운데 78%가 링크 기반 공격으로 이뤄졌고 전통적인 악성코드 배포 비중은 감소세를 이어갔다. 악성 페이로드 비중은 지난 1월 19%에서 지난 2·3월에는 13% 수준으로 낮아졌으며 자격 증명 탈취 목적 공격이 전체의 대부분을 차지한 것으로 조사됐다.

최근 공격자들이 악성 파일 설치보다 로그인 정보 탈취를 통한 계정 장악에 집중하고 있다. 기업 업무 환경이 클라우드와 SaaS 기반으로 전환되면서 이메일 계정과 협업 툴 계정 탈취만으로도 내부 시스템 접근이 가능해진 영향으로 분석된다.

이번 보고서는 QR 코드 기반 피싱 공격 증가세를 주요 위협으로 지목했다. 올해 1분기 QR 코드 피싱 공격은 전분기 대비 146% 증가했다. 지난 1월 약 760만건 수준이던 공격은 지난 3월 1870만건까지 늘며 최근 1년 내 최대 규모를 기록했다.
공격자들은 이미지 형태 QR 코드를 이메일 본문이나 PDF 파일에 삽입해 사용자를 악성 사이트로 유도하는 방식을 활용하고 있다. 특히 기업 보안 솔루션이 텍스트 기반 URL 탐지에 최적화돼 있다는 점을 노려 관리되지 않는 개인 모바일 기기로 접속을 유도하는 방식이 빠르게 확산되고 있는 것으로 분석된다.

실제 QR 코드 공격 전달 방식도 변화하고 있다. PDF 첨부파일 기반 공격이 중심이었던 기존 방식에서 최근에는 이메일 본문에 QR 코드를 직접 삽입하는 방식이 빠르게 증가했다. 마이크로소프트에 따르면 지난 3월 기준 이메일 본문 삽입형 QR 공격은 전월 대비 336% 증가한 것으로 나타났다.

보안 인증 절차를 악용하는 캡차 기반 피싱 공격도 급증했다. 캡차 기반 공격은 지난 3월 약 1190만건으로 최근 1년 내 최고치를 기록했다. 공격자들은 사용자가 정상 인증 절차로 인식하도록 유도해 자동 탐지를 우회하고 악성 사이트 접근이나 로그인 정보 입력을 유도하고 있는 것으로 분석된다.

다중 인증(MFA) 우회 공격도 주요 위협으로 떠올랐다. 대표적인 사례로는 서비스형 피싱(PhaaS) 플랫폼인 '타이쿤2FA(Tycoon2FA)'가 꼽혔다. 해당 플랫폼은 중간자(AiTM) 공격 방식을 활용해 피싱 저항성이 낮은 MFA 인증을 우회하는 구조다.

마이크로소프트는 타이쿤2FA 조직을 '스톰-1747'로 추적하고 있으며 지난 3월 유로폴 및 업계 파트너들과 협력해 관련 인프라 차단 조치를 시행했다. 이후 관련 이메일 공격 규모는 약 15% 감소했고 피싱 페이지 접근성 역시 크게 제한된 것으로 나타났다.

다만 공격자들은 러시아(.RU) 도메인 기반 대체 인프라로 빠르게 이동하고 있는 것으로 분석됐다. 기존 클라우드플레어 중심 구조에서 벗어나 호스팅 플랫폼을 다변화하는 움직임도 보였다. 업계에서는 피싱 공격 역시 SaaS 형태의 플랫폼 산업 구조로 진화하면서 공격 도구 접근 장벽이 빠르게 낮아지고 있는 것으로 전망하고 있다.

비즈니스 이메일 침해(BEC) 공격도 꾸준히 증가하고 있다. 지난 1분기 BEC 공격 규모는 총 1070만건으로 집계됐다. 초기 접촉 이메일의 80% 이상은 관계 형성을 유도하는 대화형 메시지 형태였으며, 직접적인 송금 요청보다 신뢰 형성 이후 금전 요구로 이어지는 방식이 확대되고 있는 것으로 나타났다.
특히 급여 계좌 변경 요청과 기프트 카드 요청 등 사회공학 기반 공격도 지속적으로 증가하는 것으로 알려졌다. 공격자들이 단순 기술적 침투보다 인간 심리와 조직 신뢰 구조를 활용하는 방식으로 공격 전략을 고도화하고 있는 것이다.

보안업계에서는 이메일 공격이 단순 악성코드 유포에서 인증 우회와 계정 탈취 중심 구조로 변화하면서 기업 보안 체계 역시 재편이 불가피할 것으로 예상하고 있다. 기존 이메일 보안 솔루션만으로는 대응 한계가 커지고 있으며 사용자 인증과 단말 보안, 브라우저 보호, 네트워크 통합 대응 체계 중요성이 확대되고 있다.

특히 패스워드 기반 인증 구조 한계가 커지면서 패스워드리스 인증과 조건부 접근 정책, AI 기반 이상행위 탐지 기술 도입도 빠르게 확대되고 있다. 최근 기업들이 XDR(확장형 탐지·대응)과 통합 보안 플랫폼 도입을 강화하는 것도 이 같은 흐름과 맞물린 것으로 풀이된다.

마이크로소프트는 보고서를 통해 "이메일 위협 대응 방안으로 마이크로소프트 디펜더 포 오피스365와 익스체인지 온라인 프로텍션(EOP) 기반 보안 설정 강화와 함께 사용자 인식 교육, 링크·첨부파일 보호, 네트워크·브라우저 기반 차단 정책 등을 권고한다"며 "또한 AI 기반 보안 솔루션인 '마이크로소프트 시큐리티 코파일럿'과 '마이크로소프트 디펜더 XDR' 등을 통해 위협 분석과 자동 대응 체계도 강화하고 있다"고 설명했다.