텔레그램에 퍼지는 ‘초대장 파일’ 주의…문서로 위장한 악성파일 가능성

• Tweet
• Pin It

▲AI 생성 이미지(관련 이미지)

프로모션 자료와 행사 초대장 등으로 위장한 의심스러운 파일이 최근 캄보디아 내 텔레그램 단체방을 통해 공유되고 있어 이용자들의 주의가 필요하다.

최근 뉴스브리핑캄보디아에 제보된 화면에는 ‘Invitation Letters Ltd.docx.z’와 유사한 이름의 21.8MB 파일과 함께 “참석을 환영한다”는 영어 메시지가 표시돼 있다. 다만 화면만으로 해당 파일이 실제 악성코드인지 단정할 수는 없다. 파일명 끝에 붙은 ‘.z’ 역시 그 자체만으로 실행파일이나 바이러스를 의미하지 않는다.

문제는 공격자가 정상적인 문서처럼 보이도록 파일명을 조작하거나 압축파일 안에 실행파일을 넣는 수법을 자주 사용한다는 점이다. 미국 사이버보안·인프라보안국 CISA는 악성코드 유포 과정에서 ZIP이나 RAR 같은 압축파일에 악성 프로그램을 숨기는 사례가 확인돼 왔다고 설명한다. 파일 확장자와 실제 파일 형식이 일치하는지도 확인해야 한다고 권고한다.

예를 들어 파일명이 ‘초대장.pdf.exe’ 또는 ‘계약서.docx.scr’처럼 작성돼 있더라도 기기의 설정에 따라 마지막 확장자가 잘 보이지 않을 수 있다. 이용자는 PDF나 워드 문서로 오인하지만 실제로는 프로그램을 실행시키는 파일일 수 있다. 최근에는 정상적인 업무용 프로그램이나 초대장으로 위장한 실행파일을 내려받게 하는 공격도 계속 확인되고 있다.

특히 캄보디아에서는 이메일보다 텔레그램과 같은 메신저를 업무 연락과 자료 전달에 널리 사용한다. 공격자는 지인이나 거래처의 계정을 탈취한 뒤 기존 단체방에 파일을 올리거나 “초대장 확인” “회사 소개서 검토” 등의 문구로 실행을 유도할 수 있다. 아는 사람이 보낸 파일이라도 평소와 다른 말투를 사용하거나 설명 없이 대용량 파일을 전달했다면 별도의 전화나 메시지로 발송 여부를 확인해야 한다.

내려받기만 한 경우와 실행한 경우 대응 달라

파일을 단순히 내려받았지만 열거나 설치하지 않았다면 즉시 삭제하고 휴지통까지 비운 뒤 운영체제와 보안 프로그램을 최신 상태로 업데이트해 검사하는 것이 좋다. 다운로드만으로 반드시 감염됐다고 볼 수는 없지만 취약한 프로그램이나 기기를 사용하고 있다면 위험을 완전히 배제할 수 없다.

파일을 열었거나 압축을 해제한 뒤 APK·EXE·SCR·BAT·MSI 등의 파일을 실행했다면 인터넷 연결을 끊고 보안 검사를 실시해야 한다. 윈도 PC에서는 Microsoft Defender의 전체 검사나 오프라인 검사를 사용할 수 있다. Microsoft는 반복적으로 탐지되는 악성코드의 경우 일반 운영체제 밖에서 실행되는 Defender 오프라인 검사를 권고한다.

안드로이드 휴대전화에서 APK 설치까지 진행했다면 최근 설치된 의심스러운 앱을 삭제하고 앱 권한과 접근성 권한을 점검해야 한다. Google Play Protect 검사도 활성화하는 것이 좋다. 구글은 악성 앱이 개인정보를 훔치거나 기기를 손상시킬 수 있으며 Play Protect가 유해 앱을 차단하거나 삭제할 수 있다고 안내한다.

텔레그램과 이메일 계정의 ‘활성 세션’ 또는 ‘로그인된 기기’도 확인해 모르는 기기를 모두 로그아웃해야 한다. 감염이 의심되면 해당 기기가 아닌 다른 안전한 기기에서 텔레그램과 이메일 계정 비밀번호를 변경하고 2단계 인증을 설정하는 것이 안전하다.

의심파일 예방수칙

발신자가 실제로 보낸 파일인지 별도로 확인하고 파일명의 마지막 확장자를 끝까지 살펴봐야 한다. 휴대전화에서 출처를 알 수 없는 앱 설치를 허용하지 말고 텔레그램의 파일 자동 다운로드 기능도 제한하는 것이 좋다. 중요한 자료는 기기와 분리된 저장장치나 신뢰할 수 있는 클라우드에 정기적으로 백업해야 한다.

무엇보다 ‘아는 사람이 보냈다’는 사실만으로 파일을 신뢰해서는 안 된다. 발신자의 계정이 이미 해킹됐을 가능성까지 고려하는 습관이 필요하다.