보안 인식교육과 모의 피싱 플랫폼을 제공하는 세계 최대 기업 노비포(KnowBe4)가 ‘2021년 4분기 가장 많이 클릭 된 피싱에 관한 보고서’를 19일 발표했다.

스투 슈베르만(Stu Sjouwerman) 노비포 최고경영자(CEO)는 “미국과 유럽·중동·아프리카(EMEA)의 피싱 이메일을 비교한 결과 제목과 내용에서 차이가 있었다”며 “미국의 경우 사용자가 속한 조직이 보낸 것처럼 보이는 이메일 제목이 많고 비밀번호 및 회사 정책 변경과 관련된 보안 경고가 주종을 이룬 반면, EMEA에서는 사용자의 일상적 업무와 관련된 내용이 주를 이뤘고 더 개인화한 제목으로 사용자 클릭을 유도하는 것이 많았다”고 설명했다. 그는 “예상대로 휴일, 특히 연말연시 쇼핑과 관련된 피싱 이메일 제목이 많았다”며 “피싱 이메일을 잘못 클릭하면 조직에 큰 피해를 줄 수 있는 만큼 직원들은 받은 편지함에 수신된 의심스러운 이메일 메시지에 대해 항상 경계를 늦추지 말아야 한다”고 강조했다.

전 세계 이메일 카테고리 상위 10개:

1. 비즈니스
2. 온라인 서비스
3. HR
4. IT
5. 은행/금융
6. 코로나바이러스/코로나19 피싱
7. 메일 알림
8. 휴일
9. 민감 정보 피싱
10. 소셜 네트워킹

미국과 EMEA의 상위 피싱 이메일 제목도 분류, 비교했다. 노비포는 2021년 4분기 모의 피싱 테스트에서 수만개의 이메일 제목을 조사했다. 사용자가 수신해 IT 부서에 의심 메일로 보고한 ‘실제’ 이메일 제목도 검토했다. 주요 결과는 다음과 같다.

주요 피싱 이메일 제목:

미국

1. 비밀번호를 즉시 점검하시오(Password Check Required Immediately)
2. 중요: 드레스 코드 변경(Important: Dress Code Changes)
3. 휴가 정책 업데이트(Vacation Policy Update)
4. 중요 소셜 미디어 정책 변경(Important Social Media Policy Change)
5. 휴일 쇼핑을 위한 아마존 직원 할인(Employee Discounts on Amazon for your Holiday Shopping)

EMEA

1. 초대 수락-팀즈(Teams) 통한 직원회의(Accept Invitation - Staff Meeting via Teams)
2. 직원 포털-타임 카드 미제출(Employee Portal - Timecard Not Submitted)
3. 검토용 파일 첨부(Enclosed attachment for your review)
4. 비밀번호를 즉시 확인하시오(Immediate password verification required)
5. [회사명] 인보이스([company_name] Invoice)

*대문자와 스펠링은 피싱 테스트 제목란에 기재된 것과 동일
**이메일 제목은 고객을 위해 노비포가 개발한 모의 피싱 템플릿과 노비포 고객이 설계한 사용자 지정 테스트를 조합

일반적인 ‘실제’ 공격:

· IT: 클라우드 등록(Cloud Enrollment)
· 특별 프로젝트 정보(Special Project Information)
· 새 메시지 알림(You Have Some New Messages)
· 팀즈 이벤트(Teams Events)
· 마이크로소프트(Microsoft): 비공개 공유 문서 수신 알림(Private Shared Document Received)

*대문자와 스펠링은 피싱 테스트 제목란에 기재된 것과 동일
**’실제’ 이메일 제목은 실제 이메일 사용자가 수신해 IT 부서에 의심 메일로 신고한 내용임. 모의 피싱 테스트 이메일이 아님