안녕하세요! 지크프리트입니다!

상상도 못한 스팸메일

서론

오늘도 열심히 일을 하면서 무슨 소식이 없나 해서 메일을 열어봤는데
평소와 다른 메일 하나가 눈에 띄는 거예요.
궁금한 마음에 메일을 열어봤는데

이런 메일을 하나 받았습니다. 대충 요약하자면

ㅎㅇ
나는 너의 비번을 알고 이따
너님 컴퓨터에다가 원격제어 바이러스를 깔아둠 고로 나는 니 데이터를 볼 수 이씀

니 사진이나 동영상 아는 지인에게 뿌려버릴 수 이따
내 행동을 막고 싶으면 asdf로 400달러 비트코인 보내셈

이거 구라 아니고 진짜임 니 인생 파탄나기 싫으면 내가 하는 말 따라하셈
그리고 이거 남들이랑 공유 ㄴㄴ

대충 이런 메일을 받았습니다. 오랜만에 참 재밌었네요 ㅋㅋㅋㅋ
물론 저야 이런 사기 방법 잘 알고 있고 속지 않지만 모든 사람들이 속지 않는 건 또 아니죠.

피해규모

이 메일에 적혀있는 비트코인 주소를 추적해 본 결과

이미 수백만원의 피해가 확인되었습니다.
이외에도 이 내용이 Reddit을 통해 많은 사기 주소가 있다는 것이 확인되었는데요..
제가 집계하지 않은 다른 주소까지 합치면 아마 피해액은 더 늘어난 것으로 확인됩니다.
못해도 수천만원의 피해자가 났다고 생각합니다.

스팸메일 분석

이 메일의 Raw 데이터를 뜯어 본 결과의 내용은 다음과 같습니다(개인 이메일 시스템을 사용중이라 개인정보는 가렸습니다)

도메인 관련 정보

여기서 궁금한 건 intuit.com 의 도메인을 가진 회사의 정보인데요..
정작 사이트를 들어가보니 미국에서 데이터 사업을 하고 있는 회사로 나옵니다.
아마도 이 회사 서버의 취약점을 뚫고 들어가 메일을 보낼 서버로 사용한 것이 아닐까 생각합니다.

다음은 intuit.com 의 spf 설정 값입니다

intuit.com text = "v=spf1 include:servers.mcsv.net include:_spf.salesforce.com include:_spf1.intuit.com include:_spf.centercode.com ip4:208.74.204.0/22 ip4:69.20.83.154 ip4:166.78.224.177 ip4:96.43.144.65/28 ip4:96.43.148.65/28 ip4:96.43.151.70/28 -all"

아래는 이 메일이 왔던 notification.intuit.com 의 spf 설정 값입니다.

notification.intuit.com canonical name = u1916451.wl202.sendgrid.net.
u1916451.wl202.sendgrid.net text = "v=spf1 ip4:159.183.100.233 ip4:167.89.58.138 ip4:167.89.58.229 ip4:167.89.82.160 ip4:167.89.82.233 -all"

이 회사 루트 도메인의 메일 설정값과 이번에 메일이 날라왔던 설정 값이 설정값은 물론 서버 위치까지 다른 것으로 보아 위에서 가정했던 이 회사 서버의 취약점을 찾아 침입해서 랜섬메일을 보내는 데 이 회사의 도메인을 사용한 것 같습니다.

이 뒤로도 notification.intuit.com의 뒤를 추적해 보고 싶지만.. 이 뒷 부분은 자동화 메일을 보낼 수 있도록 API를 제공해 주는 sendgrid라는 회사의 부분이라 더 이상 여기서 찾을 수 있는 부분은 없을 거 같아 건너뛰겠습니다.

여기에서는 저 메일함까지 도달하는데 [email protected] 라는 메일주소가 사용되었습니다.
여기서 pro.space 라는 솔루션을 이용했는데 여기서 Mail address alias를 이용해서 제 메일주소가 포함된 리스트에 forward 해준 것 같습니다.
이 뒷 부분에 대해서도 찾아봤자 더 나오는 것은 없을 거 같으므로 건너뛰겠습니다.

결론

만약 이 메일을 보낸 악성 이용자가 다른 솔루션을 사용하지 않고 본인의 디바이스를 사용했다면 찾을 수 있겠지만.. 그것이 아니므로 당장은 찾을 수 없을 거 같네요.
가장 최선의 방법은 이 솔루션을 제공한 회사에 제보하여 결과를 받는 방법밖에 없을 거 같습니다.

여러분들께 드리고 싶은 말

저야 뭐 이런 거 많은 지식을 가지고 있고 온라인 상에서 이러한 정보를 찾을 수 있는 능력이 되니깐 괜찮지만.. 모든 사람들이 저 같을 수는 없죠.
물론 저도 완벽하지 않지만 그래도 다른 분들에게 이러한 충고를 드리고 싶어요(특히 저 위에 비트코인 주소로 코인을 보낸 사람들에게 모두)

1. 인터넷에 있는 모든 정보와 지식은 절대로 믿지 말고 의심하세요. (이 글의 내용까지 모두 말이죠)
   • 인터넷에는 좋은 내용들이 있을 수도 있지만 교묘하게 당신을 속이는 내용들도 숨어서 당신을 노리고 있습니다.
2. 이상한 웹사이트나 파일을 다운로드/실행하지 마세요.
3. 모든 웹사이트의 아이디와 비밀번호를 재사용하지 마세요.
   • 가능하면 비밀번호 관리자(저는 Bitwarden을 사용중)에 일회용 비밀번호를 생성해서 사용해 주세요.
   • 또한 사이트에 가입할 때 여러분의 메일주소가 [email protected] 이라면 abc+아무런 글자@google.com 을 사용해 보세요. 사이트에서는 별개의 메일주소로 취급되지만 메일은 [email protected]로 도착하게 됩니다. 로그인이 조금 어려워 질 수도 있지만 이메일 주소 하나 털렸을 때 다른 사이트에서 다른 주소를 사용하고 있다면 안전할 수 있습니다.
4. 가능하면 신뢰할 수 있는 기기나 네트워크 환경에서 사용해 주세요.
   • 특히 공용 와이파이는 피해주세요. 접속해 있는 다른 이용자가 무선 신호를 도청할 수도 있습니다.
5. 가능하면 TOTP나 HOTP 같은 2차 인증을 사용해 주세요.
6. 신뢰할 수 없는 메일의 어떠한 첨부파일(특히 사진)도 열어보거나 불러오지 마세요.
   • 첨부파일 서버가 악성 이용자의 손에 있는 경우 브라우저와 네트워크 정보를 통해 여러분들의 신원이 특정될 수 있습니다.
7. 스마트폰의 앱 권한 설정은 언제나 최소한으로 설정해 주세요.
   • 예를 들어 카메라 앱은 카메라 찍기 권한이 있지만, 찍은 위치를 사진에 기록하기 위한 GPS 권한도 요구해요. 여기서 위치가 포함된 사진을 온라인에 공유하면 언제 찍었는지, 어떤 디바이스에서 찍었는지, 어디서 찍었는 지에 대한 정보가 공개되어 신원이 특정될 수 있어요.

이 외에도 제가 지키는 보안 수칙이 여러가지가 있지만 위의 수칙만 지킨다면 이 험난한 온라인 세상에서 자신의 개인정보를 지키는 데는 문제가 없을 겁니다.

---

물론 제가 이렇게 적어둔다고 해서 스팸메일이나 보이스피싱, 해킹이 없어지는 건 절대 아닙니다. 하지만 적어도 제 글같은 포스팅을 보고 많은 분들이 보안에 대한 경각심을 가졌으면 좋겠습니다.

이만 포스팅 마치겠습니다. 오늘도 시원한 하루 되시고 내일 하루도 화이팅하시기 바랍니다!!

Posted through the AVLE Dapp (https://avle.io)