최근 기업들이 널리 사용하는 업무용 협업툴 '슬랙'의 공식 초대 기능을 악용한 정교한 스피어 피싱 사례가 발생해 각별한 주의가 요구된다. 사내 대표이사의 이름을 사칭해 직원이 정상적인 업무 요청으로 믿도록 유도한 뒤, 회계 담당자까지 초대하도록 요구한 것이다. 단순한 계정 탈취를 넘어 기업의 자금 이체와 금융정보 탈취 등 직접적인 재무 피해로 이어질 수 있었던 사례라는 점에서 경각심이 필요하다.

슬랙은 기업 내 직원들 간의 원활한 소통과 업무 효율을 높이기 위해 사용하는 대표적인 글로벌 비즈니스 메신저다. 이메일 대신 부서나 프로젝트 등 주제별로 채널을 만들어 대화하고, 파일 공유 및 외부 서비스 연동이 용이해 국내외 수많은 기업이 핵심 업무 플랫폼으로 채택하고 있다.

공격자들은 바로 이 점을 노렸다. 직장인들이 평소 슬랙과 같은 업무용 툴의 알림 메일에 익숙하며, 업무와 직결된 내용이라고 생각해 별다른 의심 없이 열어본다는 심리를 악용한 것이다. 특히 경영진이나 상급자의 이름으로 도착한 협업툴 초대장은 직원 입장에서 정상적인 업무 지시로 받아들이기 쉽다. 공격자는 이러한 신뢰를 발판 삼아 피해자가 스스로 가입하고, 이후 추가적인 업무 요청까지 따르도록 유도할 수 있다.

모 기업체의 한 직원은 "박00 님이 0000에서 함께 작업할 수 있도록 고객님을 초대했습니다"라는 제목의 메일을 수신했다. 발신자 이름은 실제 대표이사의 이름과 일치했고, 발송 메일 주소 역시 정상적인 슬랙 공식 도메인인 `@slack.com`을 사용하고 있었다.

도착한 메일을 보면 본문 디자인이나 문구마저 실제 슬랙의 정상적인 초대 양식과 동일했다. 이는 조직 내 최고 권위자인 대표이사를 사칭해 수신자의 신뢰를 얻는 전형적인 사회공학적 공격이다. 경영진의 이름을 악용해 고위급 인사의 권한과 신뢰도를 공격에 이용한다는 점에서, 임원 등을 표적으로 삼는 '웨일링'과도 연관된 수법으로 볼 수 있다. 해당 직원은 별다른 의심 없이 메일 중앙의 '초대 수락' 버튼을 누르고 가입 절차를 진행했다. 그러나 이후 회계 담당자를 추가로 초대하라는 요청을 보내면서 상황이 달라졌다. 직원은 뒤늦게 수상한 점을 느꼈고, 대표이사에게 직접 대면 보고를 통해 사실 여부를 확인하는 과정에서 피싱임을 알아차렸다.

만약 회계 담당자까지 가짜 워크스페이스에 초대됐다면, 공격자가 회계 담당자에게 자금 이체나 거래처 대금 지급 등을 지시하는 2차 공격으로 이어졌을 가능성도 배제할 수 없다. 대표이사의 업무 지시라고 믿은 직원이 이를 실제 회계 업무로 연결했다면, 기업의 법인 자금이 외부 계좌로 이체되는 등 상당한 재무적 피해가 발생할 수도 있었던 것이다.

이번 사례는 단순히 가짜 서비스에 가입하도록 유도하는 데 그치지 않고, 기업 내부의 신뢰 관계와 업무 절차를 악용해 금전 탈취로 이어질 수 있다는 점에서 더욱 주의가 필요하다.

메일에서 발견된 피싱 단서,
정상적인 슬랙 도메인도 안심할 수 없다

공격자는 공개된 기업 홈페이지 등을 통해 대표자의 이름과 회사 정보를 미리 파악한 것으로 추정된다. 또한 슬랙의 워크스페이스 생성 및 초대 기능을 악용해 회사 이름과 대표자 명의를 도용하고, 슬랙의 공식 시스템을 통해 초대 메일을 발송한 것으로 보인다. 하지만 메일 내용을 자세히 살펴보면 의심할 만한 단서가 숨어 있었다.

모순된 초대자 정보: 메일 제목과 상단에는 '박00' 대표가 초대했다고 큼지막하게 표시돼 있었지만, 본문 하단의 작은 글씨에는 `AmyReese3922@outlook.jp 님이 초대함`이라는 출처를 알 수 없는 해외 개인 이메일 주소가 기재돼 있었다. 실제 대표이사가 보낸 초대라면 해당 초대자의 정보가 회사와 무관한 외부 이메일 주소로 표시될 이유가 있는지 확인할 필요가 있다.

공식 도메인을 이용한 가짜 워크스페이스: 초대 수락 시 연결되는 주소는 `www-회사명-kr.slack.com` 형태였다. 이는 회사의 공식 사내 도메인이 아니라 슬랙 내에서 생성된 워크스페이스 주소다. `slack.com`이라는 정상적인 도메인을 사용한다고 해서 해당 워크스페이스까지 회사가 공식적으로 운영하는 공간이라고 단정할 수는 없다. 공격자는 정상 서비스 내에 회사명을 연상시키는 워크스페이스를 만들어 피해자를 유인할 수 있다.

낯선 발신자 주소: 발신 메일 주소는 `no-reply-ltgTOq1U9oV5vPyDrSJ3latO@slack.com`처럼 복잡한 문자열로 구성돼 있었다. 다만 자동 발송 메일의 주소에는 시스템 식별용 문자열이 포함될 수 있으므로, 주소가 복잡하다는 사실만으로 피싱을 확정할 수는 없다. 이번 사례에서는 발신 주소 자체보다 초대자 정보와 실제 초대 경위가 일치하는지 확인하는 것이 중요하다.

가짜 워크스페이스에서 시작되는 2차 공격,
법인 자금 탈취로 이어질 수도

이러한 가짜 워크스페이스 유인 수법은 기업에 상당한 보안 위협이 될 수 있다. 직원이 가입 과정에서 평소 사내에서 사용하는 것과 동일한 아이디와 비밀번호를 입력하도록 유도된다면, 계정 정보 탈취로 이어질 가능성이 있다. 이후 공격자는 확보한 정보를 바탕으로 추가적인 사내 계정 침해를 시도하거나, 신뢰를 쌓은 뒤 민감한 정보를 요구할 수도 있다.

특히 이번 사례처럼 회계 담당자를 추가로 초대하도록 유도하는 경우에는 재무적 피해 가능성에 주목해야 한다. 공격자가 대표이사나 재무 책임자를 사칭해 가짜 워크스페이스에서 긴급 송금, 거래처 대금 지급, 계좌 변경 등의 업무를 지시한다면 직원이 이를 정상적인 업무 요청으로 오인할 수 있기 때문이다.

회계 담당자가 공격자의 지시를 실제 업무로 받아들여 법인 자금을 송금했다면, 기업은 직접적인 금전 손실을 입을 수 있다. 기업의 자금 이체 절차와 내부 결재 체계가 공격에 악용되는 경우 피해 규모가 커질 수 있으며, 송금 이후에는 자금 회수가 어려워질 수도 있다.

또한 가짜 워크스페이스에서 업무 관련 기밀문서나 파일 업로드를 유도한다면 사내 주요 정보가 외부로 유출되는 2차 피해도 발생할 수 있다. 따라서 이러한 초대 메일은 단순한 스팸이나 불필요한 서비스 가입 권유가 아니라, 기업의 계정과 자금, 내부 정보를 동시에 노릴 수 있는 보안 위협으로 인식해야 한다.

대표 사칭 초대장,
어떻게 구별하고 예방해야 할까?

피해를 방지하려면 메일의 외형이나 발신 도메인만 확인하는 데 그치지 않고, 실제 초대 경위와 요청의 진위를 교차 검증하는 절차가 필요하다.

하단 초대자 정보 교차 검증: 초대 메일을 받았을 때는 큰 글씨로 표시된 발신자 이름에 현혹되지 말고, 본문 하단에 기재된 실제 초대자의 이메일 주소를 확인해야 한다. 회사 대표나 임직원의 이름으로 초대장이 도착했더라도, 초대자 정보가 회사의 공식 계정과 일치하는지 확인하는 것이 중요하다.

사외 채널을 통한 사실 확인: 경영진이나 타 부서 명의로 새로운 협업툴 초대 메일을 받았다면, 사내 공식 메신저나 유선 전화 등 다른 채널을 통해 실제 해당 초대를 보냈는지 확인해야 한다. 특히 회계 담당자 초대나 송금, 결제, 계좌 변경 등 재무 업무와 연결되는 요청은 메일이나 협업툴 내 메시지만으로 처리하지 말고 별도의 승인 및 확인 절차를 거쳐야 한다.

예상하지 못한 가입 및 정보 입력 자제: 회사에서 도입하기로 한 적이 없는 협업툴이나 워크스페이스의 초대장을 받았다면 즉시 가입하기보다 사내 담당자에게 확인하는 것이 바람직하다. 가입 과정에서 기존 사내 계정의 비밀번호나 인증정보를 요구하는 경우에도 입력을 중단하고 요청의 진위를 확인해야 한다.

이번 사례처럼 정상적인 슬랙 서버를 통해 발송된 메일은 기업이 구축해 둔 기존 보안 솔루션의 스팸 필터나 악성코드 탐지 기능만으로 차단하기 어려울 수 있다. 정상적인 서비스와 공식 도메인을 악용한 공격은 기술적인 탐지만으로 완벽하게 걸러내기 어렵기 때문이다.

결국 기업은 임직원에게 수상한 링크를 클릭하지 말라는 교육을 넘어, 대표나 임원의 이름으로 도착한 업무 요청이라도 별도 확인 없이 계정 가입이나 회계 업무를 진행하지 않도록 보안 절차를 마련해야 한다. 특히 자금 이체와 관련된 요청은 반드시 기존 결재 및 확인 체계를 거치도록 해야 한다.

이번 사례의 핵심은 대표이사를 사칭한 공격자가 직원의 신뢰를 이용해 회계 담당자까지 끌어들이려 했다는 점이다. 정상적인 서비스에서 발송된 초대장이라도 그 목적과 요청의 진위까지 보장되는 것은 아니다. 기업의 법인 자금과 내부 정보를 보호하기 위해서는 공식 메일 주소라는 외형보다 실제 업무 요청의 진위를 확인하는 절차가 무엇보다 중요하다.

원수연 기자 press@appstory.co.kr