MS, ‘2026년 1분기 이메일 환경 위협 보고서’... QR코드 피싱 146% 폭증 및 캡차 우회 전술 기승
공격 중심축 ‘계정 권한 확보’로 이동

[보안뉴스 조재호 기자] 사이버 공격자들이 기존 이메일 보안 필터를 무력화하기 위해 이미지와 정상적 인증 절차를 무기로 역이용하는 양상이 뚜렷해지고 있다.


[출처: 마이크로소프트]

마이크로소프트(MS) 위협 인텔리전스는 14일 발표한 ‘2026년 1분기 이메일 환경 위협 보고서’에서 정교해진 피싱 수법과 공격 인프라 우회 전술의 위험성을 경고했다.

보고서는 큐싱(Quishing)으로 불리는 QR코드 피싱의 폭발적인 증가세를 주요 위협으로 꼽았다. 큐싱은 QR코드(QR Code)와 피싱(Phishing)의 합성어로, 이메일 본문에 악성 링크를 직접 삽입하는 대신 스마트폰 카메라로 스캔하도록 유도하는 이미지 기반 해킹 수법이다.

보고서에 따르면 2026년 1분기 QR코드 피싱 시도는 전기 대비 146% 급증했다. 기존 이메일 보안 솔루션이 주로 텍스트 형태의 악성 URL을 탐지에 최적화돼 이미지를 해독하지 못하는 사각지대를 공격자들이 집요하게 파고든 결과로 분석된다.

추적을 피하기 위한 우회 전술 역시 한층 교묘해졌다. 대표적 사례가 캡차(CAPTCHA)를 악용한 탐지 회피 기법이다. 웹사이트에 접속할 때 사람과 컴퓨터(봇)를 구별하기 위해 왜곡된 글자나 이미지를 선택하도록 하는 자동 입력 방지 기술을 말한다.

해커들은 이메일 내 악성 링크를 클릭했을 때 바로 피싱 사이트로 연결하지 않고 정상적 캡차 인증 화면을 먼저 띄운다. 이를 통해 보안 솔루션의 자동화된 악성 링크 탐지 봇(Bot)이 최종 페이지로 접근하는 것을 차단하고, 오직 실제 사람만이 인증을 거쳐 악성 페이로드에 도달하도록 유도해 보안 시스템을 우회하고 있다.

특히 공격자들의 최종 목표가 과거 ‘악성코드 감염’에서 현재 ‘계정 탈취’ 중심으로 급격히 이동하고 있다는 점에 주목했다. MS는 공격자들이 번거롭게 시스템에 악성 파일을 심는 대신, 내부 임직원 자격 증명을 훔쳐 정상 계정으로 접속하는 방식을 선호하고 있다고 분석했다. 한 번 탈취된 계정은 조직 내부망에 침투하기 위한 가장 강력한 ‘신뢰의 통로’가 되며, 단순한 보안 침해를 넘어 비즈니스 이메일 침해(BEC)와 대규모 데이터 유출로 이어지는 위협의 시작점이 되기 때문이다.

범죄 생태계 인프라를 봉쇄한 글로벌 공조 대응의 효과도 입증됐다. 보고서는 서비스형 피싱(PhaaS) 플랫폼 ‘타이쿤2FA’(Tycoon2FA)에 대한 대대적 국제 공조 대응 이후 관련 공격 수치가 눈에 띄게 감소했다고 밝혔다.

공격자들이 클라우드 서비스 인프라를 도용해 피싱 사이트를 구축하거나 탐지 시스템의 IP 대역을 사전 차단하는 등 백엔드 인프라를 은닉하는 기술도 진일보했다고 MS 연구진은 설명했다. 이러한 위협에 대응하기 위해 ML 기반 이미지 분석 기술 도입과 다중 요소 인증(MFA) 의무화 등 보안 태세를 상향해야 한다고 권고했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>