세계적인 보안 전문가 트로이 헌트(Troy Hunt)가 작성한 게시글이 기술 커뮤니티 해커뉴스(Hacker News) 메인 페이지에 다시 오르며 수백 개의 추천과 40개 이상의 댓글을 받았습니다. FedEx가 보낸 공식 이메일이 실제 피싱 사기범이 보낸 것보다 더 사기처럼 보인다는 지적입니다.
트로이 헌트는 계정 유출 여부를 확인할 수 있는 유명 사이트 ‘Have I Been Pwned’의 설립자로, 글로벌 보안 분야에서 가장 신뢰받는 인물 중 한 명입니다. 2024년 2월, 그는 자신의 실제 경험을 담아 “고마워요 FedEx, 이래서 우리가 계속 피싱을 당합니다(Thanks FedEx, this is why we keep getting phished)“라는 글을 썼습니다. 2년이 지난 지금 이 글이 다시 해커뉴스 정상에 오른 것은 문제가 조금도 해결되지 않았음을 보여줍니다.
사건의 전말
트로이는 당시 미국에서 배송되는 799달러(약 1,215 호주 달러) 상당의 3D 프린터를 기다리고 있었으며, 호주 세관에 관세를 납부해야 할 가능성이 있었습니다. 그러던 중 다음과 같은 문자를 받았습니다.
“FedEx 알림: 운송장 번호 216.21의 배송을 진행하려면 관세 및 세금 216.21의 긴급 결제가 필요합니다. 오늘 아래 링크에서 결제하세요.”
사진: FedEx 공식으로 발송된 관세 납부 안내 문자. 출처: troyhunt.com
이 숫자에 주목할 필요가 있습니다. 운송장 번호가 216.21인데, 결제해야 할 금액도 216.21이었습니다. 번호와 금액이 완전히 일치하는 것 자체가 의심스러운 신호입니다. 게다가 링크는 bpoint.com.au라는, 피싱 사이트처럼 보이는 결제 웹사이트로 연결되었습니다.
트로이는 이 문자를 X(구 트위터)에 공유하고 4,000명 이상의 사용자에게 의견을 물었습니다. 응답자의 87%가 “극도로 의심스럽다”고 투표했습니다. 그는 7가지 의심 포인트를 정리했습니다: 브랜드명의 대소문자 오류, 비정상적으로 짧은 운송장 번호, 지나치게 재촉하는 어조, 통화 단위 누락, FedEx가 아닌 외부 도메인, 문법적 오류 등입니다.
사진: 사기범이 보낸 주소 오류 피싱 문자. 출처: troyhunt.com
사기범들이 보내는 실제 피싱 문자—“주소 오류로 배송이 중단되었습니다. 즉시 수정하세요”—와 비교해보면 문구, 어조, 링크 형식까지 판박이였습니다.
결과는? 공식 이메일이 진짜였다.
트로이가 FedEx 공식 홈페이지에서 확인해 보았지만, 관세에 대한 안내는 어디에서도 찾을 수 없었습니다. 고객센터에 전화를 걸었으나 자동응답 시스템은 도돌이표처럼 순환하며 방금 그가 전화했던 번호를 다시 추천했습니다. 사흘 뒤, 그의 수신함에 이메일 한 통이 도착했습니다. 본문에는 “호주 수입 관세 미납으로 화물이 보류 중이며, 세금은 FedEx가 호주 정부를 대신해 징수한다”는 내용과 금액이 적혀 있었고, 링크는 동일한 bpoint.com.au였습니다.
사진: FedEx 공식 이메일 본문. 문구가 피싱 문자 및 이메일과 거의 동일함. 출처: troyhunt.com
이메일에는 PDF 첨부파일이 포함되어 있었는데, 그가 구매한 3D 프린터의 전체 영수증, 주문 번호, 가격, 배송 정보가 모두 들어 있었습니다. 피싱 사기범은 절대 얻을 수 없는 정보입니다. 87%의 네티즌 판정은 틀렸으며, 그 “극도로 의심스럽던” 문자는 FedEx가 직접 보낸 진짜 메시지였습니다.
왜 공식 메시지가 이렇게 되는가?
먼저 기술적인 측면입니다. 이메일과 문자 메시지의 발신자 표시 영역은 처음 설계될 때부터 검증 메커니즘이 없었습니다. 발신자에 “FedEx”라고 적혀 있다고 해서 진짜 FedEx에서 보냈다는 의미가 아닙니다. 이 허점은 이메일이 발명된 이래 계속 존재했습니다. 이후 업계에서는 SPF와 DKIM이라는 솔루션을 도입하여, 도메인 소유자가 허가된 서버만 지정하고 수신 측에서 이를 검증하도록 했습니다.
이 기술들은 많은 문제를 해결했지만 한 가지 치명적인 한계가 있습니다. 기술이 잘 작동할수록 사용자의 눈에는 보이지 않는다는 점입니다. 일반 사용자가 이메일을 열었을 때 보이는 것은 발신자 이름, 제목, 본문 레이아웃뿐입니다. SPF와 DKIM의 검증 결과는 이메일 헤더 속에 숨겨져 있어 사용자가 확인할 수 없습니다. 보안 교육에서는 “발신자 주소를 확인하라”고 가르치지만, 발신자 주어야말로 기술적으로 가장 조작하기 쉬운 부분입니다.
조직적인 측면도 존재합니다. 해커뉴스 댓글에서는 합리적인 추측이 제기되었습니다. FedEx 본사가 해외 지사에 fedex.com 도메인을 사용한 직접 세금 징수를 허용하지 않았고, 이에 따라 호주 현지 결제 대행사인 BPoint(호주 커먼웰스 은행 자회사)에 위탁했을 가능성이 높습니다. 그 결과 사용자가 들어본 적도 없고 FedEx와 관련도 없어 보이는 외부 도메인이 결제 링크로 사용되어 피싱 사이트처럼 보이게 된 것입니다.
대기업 내부 부서 간의 소통 부재도 원인입니다. 마케팅 부서는 전환율을, 운영 부서는 대금 회수를, 보안 부서는 신뢰성을 우선시합니다. 해커뉴스 사용자들은 이를 ‘쉐도우 IT’라고 부릅니다. 특정 사업팀이 빠르게 서비스를 런칭하기 위해 자체 알림 시스템을 만들고, 회사 정식 도메인을 적용해야 한다는 사실을 깨달았을 때는 이미 예산이 집행된 후입니다.
마케팅적 한계도 있습니다. 마케팅 이메일에서는 “긴급”, “마지막 기회”, “즉시 처리”와 같은 강한 어조가 높은 열람률을 만들어냅니다. 마케팅 팀이 수십 년간 사용해 온 기법을 단지 피싱처럼 보이지 않게 하겠다는 이유로 포기하기는 어렵습니다. 보안 팀의 노력이 마케팅 부서의 문구 때문에 상쇄되는 셈입니다.
피싱 방지 교육이 점점 더 어려워지는 이유
사기범은 공식 채널을 모방하고, 공식 채널은 사기범의 방식을 따라 하면서 ‘공식적 신뢰’라는 개념 자체가 무너지고 있습니다. 피싱 방지 교육은 본질적으로 위조지폐를 구별하는 방법을 가르치는 것과 같습니다. 하지만 은행 스스로 위조지폐처럼 보이는 화폐를 발행한다면 교육 자체가 성립하지 않습니다.
해커뉴스 댓글에는 유사한 사례가 쏟아졌습니다. 올스테이트(Allstate) 보험사 문자의 링크가 allstate.yem.bo 형태였던 사례, 사내 피싱 훈련 직후 전달된 정식 교육 이메일이 피싱 교육에서 주의하라고 가르친 특징을 모두 갖고 있어 직원 전체가 무시했던 사례, facebookmail.com이 진짜 페이스북 도메인지 여전히 헷갈려하는 사용자들, 미국 국세청(IRS)의 자동응답 음성이 사기범들이 쓰는 인공지능 음성과 동일했던 사례 등이 언급되었습니다.
트로이의 글에서는 호주인들이 매년 피싱 사기로 30억 호주 달러 이상의 피해를 입고 있다는 통계를 인용했습니다. 통신 당국이 3억 3,600만 건의 피싱 문자를 차단했지만, 이는 빙산의 일각에 불과합니다.
이 사건의 가장 아이러니한 점은?
생성형 AI 시대에 접어들면서 사기범이 작성한 피싱 이메일을 구별하기가 점점 더 어려워지고 있습니다. 사기범들이 FedEx를 완벽히 모방하려 애쓰는 동안, FedEx 스스로가 사기범을 완벽하게 모방하고 있었습니다. 트로이 헌트의 표현을 빌리자면, FedEx는 사기범들에게 “비켜봐, 내가 보여줄게”라고 말하며 피싱과 구별 불가능한 상태를 완성해 낸 셈입니다.
이 문제는 FedEx만의 일이 아닙니다. 마이크로소프트, 페이팔, 국세청, 보험사 등 많은 기관의 공식 채널이 사기범들에게 무료 가이드를 제공하고 있습니다. 2년이 지난 지금도 FedEx의 알림 문자는 변함이 없으며, 해커뉴스에는 최근에도 유사한 안내를 받았다는 제보가 이어지고 있습니다.
피싱 방지 교육은 여전히 중요하지만, 전환율을 위해 신뢰성을 포기하는 기업들과의 힘겨운 싸움이 계속되고 있습니다. 공식 이메일이 진정 공식 이메일다운 모습을 갖출 때 비로소 피싱 방지 교육이 효과를 발휘할 것입니다. 그 전까지 배송 관련 문자를 받는다면 가장 안전한 대처법은 하나뿐입니다. 링크를 누르지 말고, 직접 공식 홈페이지에 접속하여 확인하는 것입니다.
참고 링크:
- Troy Hunt: Thanks FedEx, This Is Why We Keep Getting Phished
- HN 토론 (item?id=49175192)
