피싱 첨부파일 구분하는 7가지 단서: 클릭 전에 반드시 확인하라

올해 상반기 직장인 커뮤니티에서 “채용 공고 PDF인 줄 알고 열었다가 랜섬웨어에 감염됐다”는 제보가 잇따랐다. 피싱 첨부파일은 이미 이메일 보안 필터를 어느 정도 뚫을 만큼 정교해졌고, ‘합법적으로 생긴’ 파일 하나가 회사 전체 네트워크를 마비시킨 사례도 드물지 않다. 이 글에서는 한국 환경에서 실제로 유통되는 악성 첨부파일이 어떤 단서를 남기는지 일곱 가지로 정리한다.

국내 이메일 서비스(네이버 메일, 다음 메일, 카카오워크, 기업 Exchange)를 통해 수신되는 악성 첨부파일 유형은 크게 실행 파일 위장, 문서 매크로 악용, 암호화 압축 파일 세 갈래로 나뉜다. KISA(한국인터넷진흥원) 공식 안내에서도 반복해서 강조하는 내용이지만, 실제 감염 경로를 살펴보면 “이 정도는 괜찮겠지”라는 방심에서 비롯된 경우가 압도적으로 많다. 어떤 단서를 보고 의심해야 하는지 하나씩 짚어보자.

결론부터 말하면, 첨부파일의 위험 여부는 백신만으로 100% 판단할 수 없다. 이중 확장자, 발신자 주소 불일치, 암호화 ZIP 파일 조합 같은 맥락적 단서를 함께 읽어야 실질적인 방어가 가능하다.

피싱 첨부파일이 한국에서 유독 잘 통하는 이유

한국 기업 환경에서는 여전히 HWP(한글과컴퓨터 워드프로세서) 파일이 공문서 표준으로 쓰인다. 공격자들은 이 점을 파고든다. “.hwp” 파일을 가장한 악성 실행 파일이 정부기관 발신을 흉내 낸 이메일에 실려 오면, 수신자는 습관적으로 두 번 클릭하게 된다. 세금 고지서, 택배 운송장, 전자계약서처럼 한국인이 일상에서 자주 다루는 서류 포맷을 그대로 위장하기 때문에 경계심이 낮아질 수밖에 없다.

웹하드나 P2P 파일 공유 네트워크를 통해 내려받은 파일에서도 같은 패턴이 자주 발견된다. 거기다 국내 기업 상당수는 이메일 보안 솔루션을 도입하더라도 암호화된 압축 파일의 내용까지 검사하지는 못한다. 첨부된 ZIP 파일이 비밀번호로 잠겨 있으면 내부에 어떤 파일이 있는지 스캐너가 들여다볼 수 없다는 기술적 맹점이 있고, 공격자들은 이 구멍을 수년 전부터 적극적으로 활용하고 있다. 파일공유 보안 측면에서 보면, 이는 파일 전송 경로 전반의 신뢰 문제이기도 하다.

피싱 첨부파일 단서 1·2 — 이중 확장자와 아이콘 위장

가장 고전적이지만 지금도 효과적인 수법이 이중 확장자다. 파일 이름이 계약서_최종본.pdf.exe처럼 생겼을 때, 윈도우 탐색기의 기본 설정(알려진 파일 형식의 확장명 숨기기가 켜진 상태)에서는 계약서_최종본.pdf로만 표시된다. 실제 실행 형식은 EXE지만 PDF인 척 통과하는 것이다. 유사한 변종으로는 .hwp.scr, .docx.js, .xlsx.vbs 등이 있다.

단서 2는 아이콘 위장이다. 악성 파일에 PDF 뷰어나 HWP 아이콘 이미지를 덧씌우는 건 기술적으로 어렵지 않다. 아이콘만 보고 파일 형식을 판단하는 습관이 있다면 반드시 바꿔야 한다. 확인 방법은 간단하다. 파일을 오른쪽 클릭 → 속성 → ‘파일 형식’ 항목을 직접 확인한다. “응용 프로그램” 또는 “실행 가능한 파일”로 표시된다면 문서 파일이 아니다.

예방 조치로는 윈도우 탐색기 옵션에서 “알려진 파일 형식의 파일 확장명 숨기기”를 해제해 두는 것이 기본이다. 이 설정 하나만으로도 이중 확장자 위장을 즉각 탐지할 수 있다. 설정 경로는 파일 탐색기 → 보기 → 옵션 → 폴더 및 검색 옵션 변경 → 보기 탭이다.

단서 3·4 — 발신자 주소 불일치와 Reply-To 위조

이메일 클라이언트에 표시되는 발신자 이름(Display Name)과 실제 이메일 주소(From 헤더)는 엄연히 별개다. 표시 이름은 “국세청 안내센터”인데 실제 발신 주소가 nts-notice@gmail.com이거나 koreantax@hotmail.com처럼 공식 도메인이 아닌 경우, 피싱으로 봐야 한다. 정식 국세청 이메일은 @nts.go.kr 도메인을 사용한다.

발신자 이름 영역을 클릭하거나 마우스를 올려두면 대부분의 메일 클라이언트에서 실제 주소가 드러난다. 네이버 메일, 카카오메일, Gmail 모두 이 방식으로 확인할 수 있다. 사실은 공격자가 정상 도메인을 탈취하거나 SPF/DKIM 레코드 취약점을 이용해 정상 도메인처럼 보내는 경우도 있어, 발신 주소가 맞더라도 내용이 이상하면 전화로 직접 확인하는 것이 더 확실하다.

단서 4는 이메일 헤더의 Reply-To 필드 불일치다. 발신 주소는 정상처럼 보이지만 Reply-To가 전혀 다른 도메인을 가리키는 경우, 사용자가 답장을 보낼 때 공격자 서버로 전달되도록 설계된 것이다. 헤더 전체를 열람하려면 메일 원본 보기(대부분 “더 보기 → 원본 보기”) 기능을 활용한다.

피싱 첨부파일 단서 5 — 암호화 압축 파일과 본문 내 비밀번호

이메일 본문에 “첨부 파일 비밀번호: 1234” 또는 “압축 해제 비밀번호는 이메일 하단을 참고하세요”라는 문구가 있고 ZIP 또는 RAR 파일이 함께 첨부돼 있다면 경계가 필요하다. 이 패턴은 악성 코드를 보안 스캐너의 탐지 범위 밖으로 숨기기 위해 고안된 것이다. 암호화된 압축 파일은 내부 내용물을 스캐너가 열어볼 수 없으므로, 바이러스 검사 자체가 무력화된다.

물론 정상적인 기업 파일 공유에서도 암호화 압축을 사용한다. 구분 포인트는 비밀번호 전달 채널이다. 정당한 발신자라면 비밀번호를 문자 메시지나 전화처럼 ‘다른 채널’로 따로 보내거나, 아예 안전한 클라우드 링크(기업용 드라이브, 네이버 MYBOX 공유 링크 등)를 활용한다. 같은 이메일 본문에 비밀번호가 함께 있는 방식은 보안의 의미를 스스로 없애는 것이므로, 낯선 발신자가 이 패턴을 쓴다면 열기 전에 발신자에게 유선으로 먼저 확인해야 한다.

단서 6·7 — 매크로 활성화 요구와 UAC 권한 팝업

Microsoft Office 문서(DOCX, XLSX, PPTX)를 열었을 때 상단에 노란색 경고 배너가 뜨면서 “편집 사용” 또는 “콘텐츠 사용” 버튼을 누르라고 안내한다면, 이 버튼은 매크로(VBA 스크립트) 실행 허가다. 문서 내용이 흐릿하게 표시되거나 “이 문서를 보려면 콘텐츠를 활성화하세요”라는 안내 이미지가 보이는 경우도 매크로 실행을 유도하는 사회공학적 기법이다. 버튼을 한 번 클릭하는 순간, 숨겨진 스크립트가 실행되며 악성 파일이 내려받아지거나 시스템 정보가 외부로 전송된다.

2023년 이후 Microsoft는 인터넷에서 내려받은 Office 파일의 매크로를 기본 차단하도록 정책을 강화했다. 그러나 “파일 속성 → 차단 해제” 체크박스를 누르거나 네트워크 드라이브에서 파일을 여는 경우 이 보호가 우회될 수 있다. 파일 출처를 모를 때는 매크로 활성화 요청을 받더라도 절대로 클릭하지 않는 것이 원칙이다.

단서 7은 UAC(사용자 계정 컨트롤) 팝업이다. PDF나 문서 파일을 열었을 뿐인데 “이 앱이 디바이스를 변경하도록 허용하시겠습니까?” 팝업이 뜬다면, 해당 파일은 실행 파일이거나 시스템 권한을 요청하는 스크립트다. 정상적인 PDF나 HWP 문서는 UAC 팝업을 유발하지 않는다. 이 팝업이 나타나는 순간 “아니오”를 선택하고 파일을 즉시 삭제해야 한다.

안전한 첨부파일 vs 위험 신호 — 한눈에 보는 비교 표

확인 항목	안전한 패턴	위험 신호	즉시 조치
파일 확장자	단일 확장자(.pdf, .hwp, .docx)	이중 확장자(.pdf.exe, .hwp.js, .docx.scr)	열지 말고 삭제
파일 아이콘	아이콘과 실제 형식 일치	PDF·HWP 아이콘이지만 실행 파일	속성 → 파일 형식 직접 확인
발신자 주소	공식 도메인(@nts.go.kr, @korea.kr 등)	Gmail·Hotmail 등 무료 메일 또는 오타 도메인	전화로 발신자 직접 확인
압축 파일 비밀번호	별도 채널(문자·전화)로 전달	같은 본문에 비밀번호 포함한 암호화 ZIP	발신자에게 유선 확인 후 개봉
Office 문서	매크로 요청 없이 정상 열림	“콘텐츠 사용” 배너 또는 흐린 문서 화면	버튼 클릭 금지, 파일 삭제
실행 시 팝업	UAC 팝업 없음	문서 열자마자 UAC 권한 요청	“아니오” 선택 후 즉시 삭제
파일 크기	내용에 걸맞은 용량(계약서 수백 KB~수 MB)	1페이지 계약서인데 10KB 미만 또는 수십 MB 이상	용량 이상 시 의심하고 확인

감염이 의심될 때 한국에서 취할 수 있는 조치

파일을 열었는데 화면이 굳거나 낯선 프로세스가 실행되거나 파일들이 갑자기 암호화되는 증상이 나타나면 랜섬웨어 감염 가능성이 높다. 이 경우 첫 번째 조치는 네트워크 케이블 분리 또는 Wi-Fi 비활성화다. 랜섬웨어는 네트워크를 타고 내부 공유 드라이브로 퍼져나가므로, 연결을 끊는 것이 피해 범위를 좁히는 가장 효과적인 초기 대응이다. 그다음에 IT 담당자 또는 정보보호팀에 즉시 보고해야 피해 통제가 가능하다.

개인 사용자라면 KISA 보호나라(boho.or.kr)의 악성코드 신고 또는 118 사이버민원센터를 통해 무료 상담을 받을 수 있다. 개인정보가 유출됐을 가능성이 있다면 개인정보보호법에 따라 해당 기업은 피해자에게 지체 없이 통지할 의무가 있으며, 사용자 스스로도 사용 중인 모든 계정의 비밀번호를 즉시 변경하고 금융계좌 이상거래 탐지 서비스를 신청해야 한다.

한 가지 짚어둘 점은, 무료 백신 하나만 믿고 “탐지 없음 = 안전”으로 판단하는 것은 리스크가 있다. 파일리스(fileless) 악성코드나 난독화된 PowerShell 스크립트처럼 파일을 디스크에 저장하지 않는 공격 방식은 전통적인 시그니처 기반 백신으로 잡히지 않는 경우가 있다. 백신은 방어의 첫 줄이지 전부가 아니다. 웹하드 가이드에서 다루는 파일 다운로드 보안 수칙과 함께 읽으면 실질적인 방어층을 더 쌓을 수 있다.

자주 묻는 질문

암호화된 ZIP 파일은 무조건 위험한가요?

무조건 위험하지는 않지만, 전달 방식이 핵심이다. 미리 협의된 거래 관계에서 비밀번호를 별도 채널(문자, 전화)로 따로 받은 경우는 일반적인 보안 관행에 해당한다. 문제가 되는 패턴은 같은 이메일 본문에 비밀번호가 함께 있는 경우다. 이 방식은 보안 스캐너를 피하기 위해 설계된 것이며, 낯선 발신자가 이 패턴을 쓴다면 그 자체로 위험 신호로 봐야 한다. 발신자를 전화로 확인하기 전에는 열지 않는 것이 원칙이다.

회사 내부 이메일로 온 첨부파일도 피싱일 수 있나요?

그렇다. 동료 계정이 해킹당했거나, 내부 메일 서버가 침해됐거나, 발신자 주소를 위조한 경우 모두 가능하다. BEC(비즈니스 이메일 침해) 공격은 국내 중소기업에서도 꾸준히 발생하는 유형이다. 사내 메일이라도 갑자기 첨부파일과 함께 “빨리 확인해달라”는 요청이 오면 전화나 사내 메신저로 발신자에게 직접 확인하는 것이 가장 확실한 방법이다.

백신이 탐지하지 못했어도 피싱 첨부파일일 수 있나요?

가능하다. 파일리스 악성코드, 난독화된 PowerShell 스크립트, 제로데이 취약점을 활용한 공격은 시그니처 기반 백신의 탐지율이 낮다. 백신 외에도 이 글에서 소개한 맥락적 단서(이중 확장자, 발신자 불일치, 매크로 요청 등)를 함께 확인하는 다층 방어가 필요하다. 의심스러운 파일은 VirusTotal 같은 멀티엔진 스캐너에 업로드해 추가로 점검하는 방법도 있다. 단, 민감 정보가 담긴 파일을 외부 서비스에 올리는 것은 별도의 개인정보 위험이 따른다는 점을 감안해야 한다.

스마트폰에서 첨부파일을 열면 PC보다 더 위험한가요?

플랫폼마다 위험 유형이 다르다. 안드로이드 기기에서 APK 파일이 첨부된 이메일을 받거나, 카카오톡·문자로 링크를 받아 앱을 설치하는 경우는 스마트폰 감염의 주요 경로 중 하나다. 아이폰은 앱 설치 경로가 제한돼 있어 상대적으로 이 위험이 낮다. 다만 피싱 링크를 통한 자격증명 탈취(가짜 로그인 페이지)는 기기 종류와 무관하게 발생하므로, 스마트폰이라고 방심하면 안 된다.

이미 첨부파일을 열었다면 어떻게 해야 하나요?

즉시 인터넷 연결을 끊고, 열려 있는 모든 프로그램을 강제 종료한 뒤 백신 전체 검사를 실행한다. 파일을 연 직후 아무 증상이 없더라도 백그라운드에서 악성 코드가 실행 중일 수 있으므로, 그 기기에서 사용한 모든 계정의 비밀번호를 다른 기기에서 즉시 변경하는 것이 중요하다. 직장에서 발생한 경우라면 IT 담당자나 정보보호팀에 즉시 보고해야 피해 범위를 통제할 수 있다. KISA 보호나라(boho.or.kr)에서 침해사고 신고와 무료 악성코드 분석 서비스를 이용할 수 있다.

2026년 현재도 피싱 첨부파일의 기본 구조는 크게 바뀌지 않았다. 이중 확장자, 발신자 주소 불일치, 암호화 ZIP + 본문 비밀번호, 매크로 활성화 요청, UAC 팝업 — 이 다섯 가지 패턴 중 하나라도 보이면 일단 멈추고 발신자에게 전화 확인을 먼저 한다. 백신 결과보다 맥락이 더 신뢰할 만한 판단 기준이 되는 경우가 많다는 점을 기억해두자. 지금 받은 이메일 첨부파일 중 발신자의 실제 이메일 주소를 아직 확인한 적 없다면, 그 확인부터 시작해보자.

관련 카테고리: 파일공유 보안 · 클라우드 비교 · 웹하드 안전 가이드. 피싱 및 악성코드 침해 신고·상담은 KISA 보호나라(boho.or.kr)에서 무료로 이용할 수 있다.