보이지 않는 유니코드가 피싱 필터를 흔든다: 메일 보안 점검법

반응형

Microsoft는 2026년 9월 3일 AI 프롬프트 인젝션 연구에서 알려진 ‘ASCII 스머글링’ 기법이 전통적인 피싱 필터 회피에 재사용된 사례를 공개했습니다. 이번 캠페인은 AI에게 숨은 지시를 전달한 것이 아니라, 사람이 보기에는 정상인 금융 관련 단어를 유니코드 보이지 않는 문자로 쪼개 탐지 시스템의 문자열·토큰 분석을 흔들었습니다.

메일을 읽는 사용자와 메일 보안 파이프라인이 서로 다른 텍스트를 보고 있을 수 있다는 점이 핵심입니다.

3줄 핵심 요약

• 공격자는 사람이 읽지 못하는 유니코드 태그 문자를 금융 관련 단어 사이에 끼워 탐지를 피했습니다.
• Microsoft는 특정 캠페인에서 하루 230만 건이 넘는 메시지와 148개 금융 테마 발신 도메인을 관찰했습니다.
• 방어의 첫 단계는 매칭 전에 보이지 않는 문자를 정규화하고, 단일 지표가 아닌 여러 신호를 겹쳐 보는 것입니다.

무엇이 보이지 않았나

공격자는 Unicode Tags 블록(U+E0000~U+E007F)의 비가시 문자를 메시지 본문에 넣었습니다. 예를 들어 ‘funding’ 같은 금융 유인 단어 중간에 문자를 삽입하면 화면에는 여전히 단어처럼 보이지만, 원시 문자열에는 연속된 funding이 남지 않을 수 있습니다.

이 범위는 원래 언어 태깅 용도로 만들어졌지만 현재는 대부분 사용되지 않으며, 영국·스코틀랜드·웨일스 국기 이모지처럼 정상적인 예외도 있어 단순히 한 코드 포인트만으로 악성 판정을 내리면 안 됩니다.

캠페인의 규모와 패턴

Microsoft Defender for Office 365 텔레메트리에서 관련 헌팅 시그니처는 2026년 2월 9일 급증했고, 2월 11일에는 230만 건을 넘었습니다. 관찰된 고용량 단계는 약 3개월 이어졌으며, 148개 금융 테마 발신 도메인이 평일에 집중적으로 메일을 보내고 주말에는 거의 멈추는 패턴을 보였습니다.

Microsoft는 해당 시그니처가 포착한 물량의 약 96%가 금융 단어를 조합한 발신 도메인과 연결됐다고 설명하지만, 특정 공유 발송 플랫폼의 IP나 추적 도메인만으로 악성 여부를 단정해서는 안 된다고 강조합니다.

왜 기존 필터가 흔들릴 수 있나

문자열 매칭은 정규화 전에 단어가 끊기면 탐지하지 못할 수 있고, 자연어 처리 모델도 예상하지 못한 태그 문자를 별도 토큰으로 나눌 수 있습니다. 반대로 정규화 단계에서 해당 문자를 제거하면 화면에 보이는 단어와 같은 형태로 검사할 수 있습니다.

Microsoft는 Defender에서 발신자·도메인·URL 평판, 인증, 스팸·피싱 모델, OCR 등 여러 계층이 함께 작동해 단일 유니코드 신호에 의존하지 않았고, 99%가 넘는 메시지가 태그 문자 직접 탐지와 무관한 계층에서 표시됐다고 설명합니다.

조직이 점검할 5가지

첫째, 제목과 본문을 검사하기 전에 보이지 않는 유니코드와 제로폭 문자를 정규화합니다. 둘째, 태그 블록 문자의 존재를 드문 이상 징후로 기록하되 정상 이모지 예외를 분리합니다.

셋째, 금융 유인 단어·새로 생성된 발신 도메인·메일 인증·URL 평판을 함께 봅니다. 넷째, 동일한 정규화 규칙을 메일을 읽는 AI 에이전트의 입력에도 적용합니다.

다섯째, 차단 규칙을 적용하기 전에 샘플 메일과 정상 뉴스레터로 오탐을 검증하고, 공유 발송 서비스의 IP·추적 도메인은 단독 차단 지표로 쓰지 않습니다.

사용자와 업계에 미치는 영향

AI 보안 연구에서 알려진 우회 기법이 일반 피싱 캠페인으로 이동하면 메일 보안팀과 AI 플랫폼팀이 서로 다른 위험 목록을 관리하기 어려워집니다. 보이지 않는 문자 정규화, 콘텐츠·인프라·사용자 신고를 묶은 분석, AI 입력 전처리를 하나의 방어 흐름으로 운영해야 합니다.

확인할 점

관찰된 수치와 기간은 Microsoft가 특정 텔레메트리에서 확인한 캠페인 단계의 결과입니다. 공유 이메일 마케팅 플랫폼의 IP와 추적 도메인은 정상 고객도 사용하므로 단독 침해지표가 아닙니다.

실제 환경에서는 라이선스, 메일 게이트웨이, 정규화 규칙, 개인정보 처리 정책에 따라 탐지 범위가 달라질 수 있습니다.

출처

함께 읽을 글

• AI 코딩 논쟁, 결론보다 중요한 실전 점검 5가지
• Cloudflare가 RAM 100TB를 줄인 방법: 해시 개수보다 중요한 운영 설계
• 메일 보안, 탐지율만 보면 안 된다: 최신 벤치마크에서 확인할 5가지

• Microsoft Security Blog — ASCII smuggling crosses over from AI prompt injection to phishing evasion

728x90