VBSpam Q3 2026: 피싱은 이제 이메일 보안 관문 밖에서 작동한다

메일에 악성 첨부파일이 없고 발신 경로가 그럴듯해 보여도 안전하다고 단정할 수는 없다. Virus Bulletin의 2026년 3분기 VBSpam 비교 테스트는 공격자들이 이메일 자체에는 비교적 무해해 보이는 HTML과 신뢰할 만한 발송 인프라를 남겨두고, 실제 사기의 결정적 단계를 리디렉션 체인과 브라우저 측 코드로 옮기는 방식을 조명했다. 기업용 선도 제품들은 강한 성능을 냈지만, 이 결과는 이메일 게이트웨이만으로 피싱 방어를 완성할 수 없다는 점을 보여준다. 2021

핵심: 이메일은 공격의 첫 단계일 뿐이다

이번 공개 테스트는 16일간 진행됐으며, 공개 시험 대상 이메일 보안 제품 11종이 총 103,969통의 메시지(스팸 103,380통 포함)를 대상으로 평가받았다. 보도에 따르면 주요 기업용 게이트웨이의 피싱 탐지율은 100%에 근접했다. Net at Work NoSpamProxy는 최종 점수 99.995점, 악성코드 탐지율 100%, 피싱 탐지율 99.990%, 오탐 0건으로 가장 높은 성적을 기록한 것으로 전해졌다. 2021

이는 기업용 필터링이 더 이상 효과가 없다는 뜻이 아니다. 반대로 공격자들이 전달 방식을 바꾸고 있다는 신호다. 메일 안에 노골적인 악성 요소를 직접 넣는 대신, 첨부파일 없는 메시지와 정상적으로 보이는 발송 경로를 사용하고, 수신자가 클릭한 뒤에야 동작이 달라지는 URL을 활용하는 것이다.

VBSpam은 스팸·피싱·악성코드 차단 성능과 오탐을 함께 평가하는 기업용 이메일 보안 제품 비교 프로그램이다. 과거 샘플 묶음이 아니라 현재 유통 중인 실제 이메일 위협을 실시간으로 평가하도록 설계됐다. 61213

이메일 필터만으로는 포착하기 어려운 세 가지 사례

Amazon SES를 거친 독일어 미납 통지 미끼

독일어 ‘Mahnschreiben’(미납 통지)을 내세운 캠페인은 Amazon SES를 이용했고, DKIM 정렬이 된 moolaah[.]com 도메인을 사용한 것으로 보고됐다. 메일에는 첨부파일이 없었다. 링크를 누르면 자동 분석을 덜 의심하게 만들도록 구성된 1단계 페이지로 연결됐는데, 이 페이지에는 위장용 마크업, 숨긴 텍스트, 크기가 0인 iframe, 난독화된 자바스크립트가 포함됐다고 한다.

이 페이지는 브라우저 정보와 시간대 신호를 수집한 뒤, 숨겨진 POST 요청으로 방문자를 opensea[.]io로 보냈다고 보고됐다. 평가는 확정된 악성코드 유포가 아니라, 조건에 맞는 방문자에게만 실제 동작을 보이도록 설계된 암호화폐 또는 NFT 사기 경로로 추정된다는 것이었다. 즉, 공격자는 방문자가 실제 표적이라고 판단될 때까지 사기 로직을 의도적으로 숨길 수 있다. 20

목적지가 바뀌는 네덜란드어 백신 갱신 사기

McAfee와 TotalAV를 사칭한 네덜란드어 이메일은 HTML만으로 구성된 갱신 유도 메시지였다. ‘위험한 바이러스 631개’가 발견됐다고 주장하고 계정 폐쇄를 경고하면서 90% 할인 혜택을 제시했다.

이 캠페인은 하나의 고정된 피싱 페이지에 의존하지 않았다. 추적용 링크, 수신 거부 링크, 행동 유도 링크를 각각 리디렉션 인프라에 연결했다. 이 같은 경로는 목적지가 바뀌거나 만료될 수 있고, 시간 또는 접속 위치에 따라 다른 콘텐츠를 제공할 수도 있다. 따라서 메일 전달 시점의 단발성 URL 검사보다 사용자가 실제 클릭하는 순간의 분석이 더 중요해진다. 평가된 목적은 확정된 악성코드 다운로드가 아니라 갱신·제휴 사기와 결제 정보 탈취 가능성이었다. 20

루마니아 BCR의 PSD2 동의 사칭

또 다른 캠페인은 BCR S.A.를 사칭하고 PSD2 동의라는 소재로 긴급성을 만들었다. PSD2는 유럽연합의 결제서비스지침으로, 결제·계좌 접근 관련 동의 절차라는 맥락을 악용한 것이다. 이 공격은 목적지 주소를 IPv6 매핑 주소 표현으로 인코딩한 것으로 알려졌다. 이는 단순한 URL 파싱이나 평판 조회를 우회할 수 있는 난독화 기법이다. 해당 캠페인은 자격 증명 탈취 가능성이 높은 것으로 평가됐지만, 제공된 보도만으로 최종 랜딩 페이지나 더 구체적인 배후를 확정할 수는 없다. 20

탐지 성적이 말해주는 것과 말해주지 않는 것

3분기 보도는 선도 기업용 게이트웨이와 공개 시험에 참여한 오픈소스 Rspamd 배포 환경 사이에 의미 있는 격차가 있음을 시사한다. 한 보도에서는 Rspamd의 피싱 탐지율이 62.550%로, 선도 기업용 제품들보다 크게 낮았다고 전했다. 21

다만 이 수치를 모든 Rspamd 설치 환경이나 오픈소스 도구 전반의 성능으로 일반화해서는 안 된다. 실제 성능은 구성, 위협 인텔리전스 피드, 튜닝, 주변 보안 통제에 따라 달라진다. 그럼에도 빠르게 바뀌는 리디렉션 인프라와 브라우저 인식형 피싱 흐름은 기본 설정이거나 범위가 좁은 이메일 계층만으로 분류하기 어려울 수 있다는 실무적 사실은 분명하다.

참고로 Virus Bulletin의 별도 2026년 2분기 리뷰에서는 Rspamd의 피싱 탐지율이 54.810%로 보고됐으며, 역시 피싱 탐지 성능이 선도 제품에 뒤처진다고 설명했다. 두 수치는 서로 다른 시험 기간의 결과이므로 하나의 동일한 벤치마크처럼 취급해서는 안 된다. 5

이메일 게이트웨이 이후에 우선할 방어 조치

이 테스트가 주는 가장 실용적인 교훈은 분석 대상을 전달 시점에서 클릭 시점까지 확장해야 한다는 것이다.

• 메일 인증을 안전 보증이 아닌 발신 신원 신호로 취급한다. SPF나 DKIM 정렬, 평판이 좋은 발송 서비스는 메일이 어떤 경로로 발송됐는지 보여줄 수 있지만, 메시지의 상업적 주장이나 최종 목적지가 정당하다는 증거는 아니다.
• 리디렉션 체인을 재귀적으로 추적한다. 모든 경유지를 검사하고, 목적지와 평판은 전달 후에도 바뀔 수 있으므로 사용자가 클릭할 때 URL을 다시 평가해야 한다.
• 브라우저 실행이 가능한 분석 환경을 쓴다. 이메일 본문이나 눈에 보이는 URL만 훑는 방식이 아니라 자바스크립트를 실행하고, 숨은 폼·iframe 동작·브라우저 지문 수집·조건부 리디렉션을 확인해야 한다.
• 비정상 URL 표현을 정규화한다. 평판 및 차단 규칙을 적용하기 전에 인코딩된 주소와 IPv6 매핑 주소 표현을 안전하게 파싱할 수 있어야 한다.
• 인프라 변화를 지속적으로 관찰한다. DNS 변경, 신규 도메인, HTTP 리디렉션, 목적지 평판을 시간에 따라 모니터링한다.
• 클릭 성공의 피해를 줄인다. 피싱 저항성 인증과 엔드포인트 보호를 적용하면 자격 증명 탈취 페이지가 수신자에게 도달하더라도 계정 탈취 위험을 낮출 수 있다.

사용자 역시 중요한 최종 방어선이다. 결제 요구, 은행 동의 요청, 구독 갱신 경고는 메일 속 링크를 따르지 말고 해당 조직의 알려진 공식 웹사이트·앱·고객지원 경로에서 별도로 확인해야 한다.

결론

VBSpam Q3 2026은 기존 이메일 보안이 전반적으로 실패했다는 결과가 아니다. 상위 기업용 제품들은 여전히 매우 높은 시험 성적을 냈다. 2021 다만 피싱 공격자들이 가장 기만적인 동작을 개인화된 브라우저 매개 단계로 옮기고 있으며, 이 단계는 전달 시점의 일반적인 게이트웨이가 완전히 관찰하기 어려울 수 있다는 점을 보여준다.

지속 가능한 대응은 다계층 방어다. 강력한 이메일 필터링에 리디렉션 분석, 브라우저 인식형 검사, 탈취된 비밀번호의 가치를 낮추는 계정 보호를 함께 결합해야 한다.