trend
[보안 경고] 넷플릭스·오픈AI 사칭 채용 메일 주의... 마케터를 노리는 정교한 피싱 수법
최근 어도비, 넷플릭스, 오픈AI 등 글로벌 유명 기업의 채용 담당자를 사칭하여 마케터들의 구글 계정을 탈취하려는 피싱 공격이 발견되었습니다. 이들은 다중 리디렉션과 브라우저 인 더 브라우저(BitB) 기법을 활용해 교묘하게 접근하고 있습니다. 마케터의 계정은 광고 자산과 직결되는 만큼, 이메일 링크 클릭에 주의하고 다중 인증을 설정하는 등 각별한 보안 관리가 요구됩니다.
최근 어도비(Adobe), 넷플릭스(Netflix), 오픈AI(OpenAI) 등 글로벌 유명 기업의 채용 담당자를 사칭해 마케팅 직무 종사자들의 계정 정보를 노리는 피싱 공격이 확산되고 있어 업계의 각별한 주의가 요구됩니다.
보안 전문 매체의 보도에 따르면, 공격자들은 마케팅 직무 지원자나 현직 마케터에게 매력적인 '면접 제안' 이메일을 발송하는 방식으로 접근하고 있습니다. 글로벌 최고 수준의 기업들이 보낸 것처럼 위장한 이 메일은 구직자나 이직을 고려하는 마케터들의 심리를 교묘하게 파고들어 클릭을 유도합니다.
정상 서비스로 위장한 고도화된 해킹 수법
이번 피싱 공격이 특히 위험한 이유는 그 수법이 매우 정교하기 때문입니다. 공격자들은 단순히 가짜 링크를 보내는 것을 넘어, 정상적인 서비스들을 거치는 '다중 리디렉션(Multi-redirection)' 방식을 사용하여 보안 시스템의 탐지를 우회하고 있습니다.
또한, 사용자가 최종적으로 도달하는 웹페이지 내부에는 가짜 로그인 창을 띄우는 '브라우저 인 더 브라우저(Browser-in-the-Browser, BitB)' 기법이 적용되었습니다. 이 기법은 실제 구글(Google) 로그인 화면과 완벽하게 동일한 팝업창을 가짜 URL 위에 덧씌워 보여주기 때문에, 평소 보안에 신경 쓰는 사용자조차도 육안으로 가짜 여부를 판별하기가 매우 어렵습니다. 조사 결과에 따르면 이러한 형태의 공격은 최소 5개월 이상 지속되었으며, 수많은 도메인이 번갈아 사용된 것으로 확인되었습니다.
마케터 계정 탈취가 초래하는 치명적 위험성
업계에서는 해커들이 특정 직군, 그중에서도 '마케터'를 콕 집어 타깃으로 삼은 것에 주목하고 있습니다. 일반적으로 디지털 마케터나 퍼포먼스 마케터의 구글 계정은 단순한 개인 이메일 용도를 넘어, 기업의 핵심 자산과 연결되어 있는 경우가 많기 때문입니다.
마케터의 계정이 탈취될 경우, 구글 애즈(Google Ads)와 같은 광고 계정에 무단으로 접근하여 막대한 광고비를 소진시키거나, 구글 애널리틱스(GA4)에 축적된 민감한 고객 행동 데이터를 빼낼 수 있습니다. 더 나아가 연동된 소셜 미디어 비즈니스 관리자 권한까지 넘어갈 수 있어, 기업 입장에서는 금전적 손실은 물론 브랜드 신뢰도에 심각한 타격을 입을 수 있는 중대한 사안으로 관측됩니다.
안전한 계정 관리를 위한 보안 수칙
이러한 고도화된 피싱 공격으로부터 개인과 기업의 자산을 보호하기 위해, 마케터와 구직자들은 다음과 같은 보안 수칙을 반드시 준수해야 합니다.
- 의심스러운 링크 클릭 금지: 이메일 본문에 포함된 '면접 참여', '상세 정보 확인' 등의 링크를 직접 클릭하지 않습니다.
- 공식 채용 페이지 직접 확인: 채용 제안을 받았다면, 포털 검색을 통해 해당 기업의 공식 채용 홈페이지에 직접 접속하여 사실 여부를 확인해야 합니다.
- 강력한 인증 수단 도입: 구글 계정을 포함한 모든 업무용 계정에 다중 인증(MFA)을 설정하고, 가능하면 패스키(Passkey)를 사용하여 보안 단계를 높입니다.
- 신속한 사후 조치: 만약 의심스러운 페이지에 로그인 정보를 입력했다면, 즉시 비밀번호를 변경하고 모든 기기에서 세션 종료(로그아웃)를 수행해야 합니다.
BARO 인사이트
퍼포먼스 마케팅 에이전시에게 보안은 곧 광고주의 자산을 지키는 최전선입니다. 이번 마케터 표적 피싱 사례는 해커들이 마케팅 에이전시가 보유한 '권한의 가치'를 정확히 인지하고 있음을 시사합니다. 단 한 명의 담당자 계정이 뚫려도 수많은 광고주의 캠페인과 예산이 위험에 노출될 수 있기 때문입니다.
BARO Interactive는 이러한 보안 위협에 대응하기 위해 사내 보안 교육을 정기적으로 실시하고, 모든 업무용 계정에 다중 인증(MFA) 도입을 의무화하는 등 엄격한 접근 통제 정책을 시행하는 것이 필수적이라고 봅니다. 또한, 광고주 계정의 권한을 부여받을 때는 최소 권한의 원칙(Principle of Least Privilege)을 적용하여, 만약의 사태가 발생하더라도 피해를 국소화할 수 있는 방어 체계를 갖추어야 합니다.
마케팅의 성과를 극대화하는 것만큼이나 중요한 것은 그 성과를 안전하게 지켜내는 기반입니다. 고도화되는 사이버 위협 속에서, 철저한 보안 의식과 시스템 구축은 이제 에이전시가 갖추어야 할 핵심 경쟁력 중 하나로 자리 잡고 있습니다.