보안2026. 11. 9. 오후 6:20 UTC·2 분 소요

Orange 가짜 청구서로 Remcos RAT 유포, CERT 경고

CERT Orange Polska가 가짜 청구서 이메일로 트로이 목마 Remcos RAT를 퍼뜨리는 피싱 캠페인을 경고했습니다. 구별 요령을 정리합니다.

A laptop screen showing a suspicious invoice email with a warning icon over an attachment, representing an Orange phishing campaign. — 이미지: Benchmark.pl

CERT Orange Polska가 Orange 고객을 노린 피싱 캠페인에 대해 경고했습니다. 새 청구서 발행을 알리는 알림처럼 꾸민 이메일이 유포되고 있으며, 첨부 파일에는 트로이 목마 Remcos RAT를 설치하는 악성 파일이 들어 있을 수 있습니다.

진짜 메일과 가짜 메일의 차이

정상적인 청구서 알림의 발신자는 e-faktura@pl.orange.com이며, pl.orange.com 도메인에는 SPF, DKIM, DMARC가 적용돼 있습니다. 다만 CERT는 이런 장치가 사칭 위험을 줄여 줄 뿐 모든 위조를 걸러내지는 못한다고 지적합니다.

이번 캠페인에서 범죄자들은 발신자 이름을 정상 메일과 똑같이 설정했지만, 실제 이메일 주소는 Orange와 무관했습니다. 발신자 이름 칸에는 어떤 문구든 입력할 수 있습니다. 이전 변형 공격에서는 이 칸에 'e-faktura@pl.orange.com'을 그대로 적어 수신자의 경계심을 늦추기도 했습니다.

정상 메일의 '수신자' 칸에는 고객의 주소가 표시됩니다(일부 메일 프로그램은 '나에게'로 표시). 가짜 메일에서는 이 칸이 이상할 수 있습니다. 잘못된 헤더가 있거나 비어 있거나, 같은 메일이 여러 사람에게 동시에 발송된 것처럼 보일 수 있습니다.

'보안 수칙' 항목도 중요한 확인 지점입니다. 진짜 메일에는 수신자 정보 또는 회사명과 고객 번호가 있어야 합니다. CERT는 Orange 서비스를 실제로 이용하는 회사의 정보가 담겼지만 전혀 다른 사람에게 도착한 사례를 소개했습니다.

첨부 파일과 대응 방법

진짜와 가짜 모두 첨부 파일이 있을 수 있지만 역할은 다릅니다. 정상 메일에는 청구서가, 가짜에는 Remcos RAT를 설치하는 파일이 들어 있습니다. CERT에 따르면 범죄자들은 이런 메일 템플릿을 인터넷에서 복사했거나, 기업 메일함을 탈취해 주고받은 메일에 접근했을 수 있습니다.

전문가들은 결제와 관련된 모든 메시지를 꼼꼼히 읽고 평소와 다른 부분을 살피라고 권합니다. Orange 청구서는 Mój Orange 앱이나 은행 앱에서 이전 결제를 다시 실행하는 방식으로 납부하는 것이 가장 안전합니다. 의심스러운 이메일은 cert.opl@orange.com으로 보내 확인을 요청할 수 있습니다.