18억 명에 달하는 Google Gmail 사용자에 대한 새로운 보안 경고가 Gmail BIMI 인증 시스템의 취약성으로 인해 발령되었습니다. 사기꾼들이 이 보안 기능을 악용하여 사용자를 위험에 빠뜨리고 있습니다.
이 도움말에서는 스푸핑 공격 방지를 위한 PowerDMARC의 역할을 비롯하여 최근 Gmail의 보안 사례와 관련된 발견, 완화 노력 및 예방 방법에 대해 살펴봅니다.
발견: Gmail의 BIMI 식별자 악용하기
Gmail의 보안은 항상 가장 큰 장점 중 하나였지만, 최근 가장 중요한 보안 기능 중 하나에서 심각한 취약점이 발견되었습니다.
지난달 Google은 사용자가 정상적인 이메일과 사칭한 사람이 보낸 이메일을 구분할 수 있도록 Gmail의 BIMI 확인 표시 시스템을 도입했습니다.
하지만 사기꾼들은 이 시스템을 악용하는 방법을 찾아냈습니다. Gmail의 18억 사용자 위험에 처하게 되었습니다.
피싱 및 사칭 공격에 대응하기 위한 솔루션으로 도입된 Gmail 파란색 인증 확인 표시 시스템은 검증된 회사 및 조직을 파란색 확인 표시로 사용자에게 강조 표시합니다.
사용자에게 신뢰를 심어주고 어떤 이메일이 합법적인지, 어떤 이메일이 사칭자가 보낸 것인지 구분할 수 있도록 하자는 취지였습니다. 하지만 안타깝게도 사기꾼들은 시스템을 조작하는 데 성공했습니다.
완화: Google이 문제를 인정함
Gmail의 사이버 보안 엔지니어인 크리스 플러머는 사기꾼이 Gmail BIMI 시스템을 조작하는 것을 최초로 발견했습니다. 시스템을 최초로 발견했습니다. 사기꾼들은 Gmail이 가짜 브랜드를 합법적인 것으로 인식하도록 속임수를 써서 사용자에게 신뢰를 심어주려는 시스템의 의도된 목적을 우회할 수 있었습니다.
플럼머는 취약점 해결을 위한 신속한 대응을 기대하며 즉시 구글에 발견 사실을 보고했습니다. 하지만 구글은 처음에 그의 발견을 '의도된 행동'이라고 일축했고, 이는 보안 전문가와 사용자 모두에게 불만을 야기했습니다.
플럼머의 트윗이 불러일으킨 관심과 이후 이 문제가 입소문을 타면서 구글은 곧 문제의 심각성을 인식했습니다. Google은 이 오류를 인정하고 최우선 순위 수정 사항으로 분류했습니다.
Gmail 보안팀은 플럼머에게 보낸 성명에서 이 문제에 대한 인식을 지속적으로 제기해준 플럼머에게 감사를 표했습니다. 또한 해당 팀이 취약점을 해결하고 있다고 그와 사용자 커뮤니티를 안심시켰습니다.
예방: 해결책을 향한 노력
Gmail의 보안팀은 Gmail의 BIMI 인증 시스템의 결함을 적극적으로 해결하고 있습니다. 혼란을 야기한 점에 대해 사과하고 문제를 신속하게 해결하겠다는 의지를 표명했습니다.
현재 수정 작업이 진행 중이며 Gmail 보안팀은 사용자에게 평가 결과와 문제 해결 방향에 대해 계속 알려드리고자 합니다. 수정이 완료되기를 기다리는 동안 Gmail 사용자는 의심스러운 이메일을 처리할 때 경계를 늦추지 말고 주의를 기울여야 합니다.
업데이트: 문제의 범위 이해하기
최근 Gmail의 로고 확인 시스템을 조사한 결과, 사기꾼이 이 시스템을 악용하는 방법과 다른 이메일 서비스에 미치는 영향에 대해 밝혀졌습니다.
Gmail 보안팀의 디버거인 조나단 루덴버그는 Gmail에서 해킹을 성공적으로 복제했으며 다른 주요 이메일 서비스도 유사한 공격에 취약하다고 강조했습니다.
이 폭로로 인해 보안 커뮤니티에서는 Gmail 인증 방법의 취약성과 부실한 구현에 대한 우려가 제기되었습니다.
루덴버그는 Gmail의 메시지 식별을 위한 브랜드 표시기(BIMI)를 구현하려면 발신자 정책 프레임워크(SPF)만 일치하면 되고, 도메인키 식별 메일(DKIM) 서명은 모든 도메인에서 사용할 수 있다는 사실을 발견했습니다.
이러한 잘못된 구성으로 인해 BIMI 사용 도메인의 SPF 레코드에 있는 공유 또는 잘못 구성된 메일 서버는 Gmail에서 전체 BIMI 처리된 스푸핑된 메시지를 보내는 매개체가 될 수 있습니다.
다른 주요 이메일 서비스의 BIMI 구현에 대한 추가 조사 결과 다음과 같은 사실이 밝혀졌습니다:
- iCloud는 DKIM이 보낸 사람 도메인과 일치하는지 제대로 확인합니다.
- 야후는 평판이 높은 대량 전송에만 BIMI 처리를 적용합니다.
- 패스트메일은 취약하지만 그라바타를 지원하며 두 가지 모두에 동일한 처리 방식을 사용하여 영향을 최소화합니다.
- Apple Mail + Fastmail은 위험한 처리에 취약합니다.
이러한 조사 결과는 사기꾼이 취약점을 악용하는 것을 방지하기 위해 여러 이메일 서비스 전반에 걸쳐 보안 조치를 강화해야 할 필요성을 강조합니다.
업데이트: Google의 대응 및 즉각적인 조치
Google 언론팀에서 Gmail 인증 해킹에 대한 자세한 정보를 제공했습니다. 이 문제는 악의적인 공격자가 실제보다 더 신뢰할 수 있는 것처럼 보이게 하는 타사 보안 취약성에서 비롯됩니다.
사용자 안전을 보장하기 위해 Google은 이제 발신자가 메시지 식별을 위한 브랜드 표시(파란색 틱) 상태의 자격을 갖추기 위해 더욱 강력한 DKIM(DomainKeys Identified Mail) 인증 표준을 사용하도록 요구합니다.
DKIM은 더 강력한 수준의 인증을 제공하고 스푸핑 공격을 방지하는 데 도움이 됩니다.
Google은 이번 주말까지 해당 취약점을 해결하는 수정 사항이 완전히 배포될 것이라고 사용자에게 약속했습니다. 이 문제를 신속하게 파악하고 해결한 것은 사용자 보안에 대한 Google의 노력을 보여주는 것입니다.
그러나 쉽게 악용될 수 있는 타사 서비스 위에 인증 시스템을 구축하는 것은 구글이 책임을 져야 한다는 점에 주목할 필요가 있습니다. 여러 전문가들이 이 점을 강조하며 사용자의 신뢰와 안전을 유지하기 위한 완벽한 인증 시스템의 필요성을 강조했습니다.
스푸핑 및 PowerDMARC: 공격에 대한 방어
스푸핑은 사기꾼과 해커가 합법적인 출처에서 보낸 이메일이라고 사용자를 속이기 위해 흔히 사용하는 기법입니다. 스푸핑된 이메일은 금전적 손실과 개인 정보 유출 등 치명적인 결과를 초래할 수 있습니다. 스푸핑 공격을 방지하려면 강력한 이메일 인증 조치가 필요합니다.
이러한 솔루션 중 하나는 스푸핑 공격에 대한 고급 보호 기능을 제공하는 포괄적인 이메일 보안 플랫폼인 PowerDMARC입니다.
PowerDMARC는 다음과 같은 업계 표준 이메일 인증 프로토콜을 구현합니다. DMARC (도메인 기반 메시지 인증, 보고 및 준수)와 같은 업계 표준 이메일 인증 프로토콜을 구현합니다, SPF (발신자 정책 프레임워크) 및 DKIM (도메인 키 식별 메일). 이러한 프로토콜은 함께 작동하여 이메일의 진위 여부를 확인하고 권한이 없는 발신자가 합법적인 도메인을 스푸핑하는 것을 방지합니다.
조직은 PowerDMARC를 구현함으로써 스푸핑 인시던트의 위험을 크게 줄이고 사기 및 피싱 시도로부터 사용자를 보호할 수 있습니다.
PowerDMARC는 실시간 이메일 인증 및 보고 기능을 제공하여 조직이 이메일 에코시스템을 모니터링하고, 무단 발신자를 식별하고, 위험을 완화하기 위한 즉각적인 조치를 취할 수 있도록 지원합니다.
결론 진화하는 위협에 맞서 보안의 우선순위 정하기
이 취약점에 대한 최근 Gmail 보안 경고는 진화하는 위협에 맞서 경계를 늦추지 않는 것이 중요하다는 점을 강조합니다.
Google이 취약점을 수정하기 위해 적극적으로 노력하고 있지만, 사용자는 잠재적인 사기로부터 자신을 보호하기 위해 주의를 기울이고 추가적인 보안 조치를 취해야 합니다.
조직은 PowerDMARC를 활용하여 이메일 보안을 강화하고 사용자에게 더 안전한 디지털 환경을 제공할 수 있습니다. 모든 이메일 상호 작용에서 경각심을 갖고 비판적으로 생각하며 보안에 우선순위를 두세요.
- 최고의 이메일 보호 팁과 전략 10가지 - 2024년 5월 15일
- 블록체인이 이메일 보안을 개선할 수 있을까요? - 2024년 5월 9일
- 데이터센터 프록시: 프록시 세계의 주력 제품 공개 - 2024년 5월 7일