ASCII 스머글링으로 피싱 필터 우회

메일 화면에서는 멀쩡한 단어인데, 필터에는 끊어진 문자열로 처리될 수 있습니다. Microsoft Security Research는 9월 3일 보이지 않는 유니코드 태그 문자를 금융 관련 단어에 끼워 넣은 대규모 피싱 활동을 공개했습니다. 문자를 눈으로 찾아내기 어려운 만큼, 예상하지 못한 금융 제안이나 행동을 재촉하는 메일은 발신자와 내용을 차분히 확인할 필요가 있습니다.

정상 단어 안에 숨은 문자 하나

공격자는 흔히 ASCII 스머글링이라 불리는 기법을 이용했습니다. 전체 지시문을 숨긴 것이 아니라, ‘funding’처럼 탐지 신호가 강한 단어 안에 U+E0020 같은 태그 문자 하나를 삽입했습니다. 수신자에게는 원래 단어처럼 보이지만, 해당 문자를 정규화하지 않는 키워드 탐지기나 토크나이저는 이를 끊어진 문자열로 처리할 수 있습니다.

하루 만에 130만 건으로 뛴 흔적

Microsoft가 조정한 탐지 서명에 잡힌 메시지는 2026년 2월 8일 약 2만1,000건에서 다음 날 130만 건 이상으로 급증했습니다. 활동은 금융 주제의 발신 도메인 약 150개에 집중됐고, 평일에는 하루 100만~237만 건을 기록했습니다. 2월 26일 정점을 찍은 반면 주말에는 거의 0건까지 줄었습니다.

이 기법의 대규모 사용은 2월 9일 이후 약 3개월간 이어진 뒤 5월 15일을 지나 급감했고, 6월 중순까지 낮은 수준의 활동이 남았습니다. 이는 Microsoft 텔레메트리에서 해당 수법이 관찰된 기간이며, 더 넓은 피싱 캠페인 전체의 활동 기간을 뜻하지는 않습니다.

보이지 않는 문자를 먼저 정리해야 하는 이유

태그 영역 문자를 무조건 차단하는 단순 규칙은 잉글랜드·스코틀랜드·웨일스 지역 깃발 이모지까지 잘못 잡을 수 있습니다. Microsoft는 이런 정상 사례를 제외하도록 탐지를 조정했으며, 메일 방어 과정에서는 U+E0000~U+E007F와 다른 비가시 문자를 키워드·정규식·서명 또는 AI 처리 전에 제거하거나 정규화하라고 권고합니다.

Microsoft에 따르면 해당 메시지의 99% 이상은 태그 문자 자체에 의존하지 않는 다층 방어에서 탐지됐습니다. 발신자·IP·URL·도메인 평판, 피싱 분류, 사칭 탐지, 인증 확인 등이 함께 작동한 결과입니다. 개인은 처음 보는 발신자나 평소 연락이 드문 상대가 긴급한 행동을 요구할 때 바로 반응하지 말고, 발신 정보와 요청 내용을 먼저 확인해야 합니다.