문서번호	정보통신보안담당관-24343
결재일자	2016.12.5.
공개여부	부분공개(2)
방침번호

			시 민
주무관		통합보안관제팀장	정보통신보안담당관
경대훈		도찬구	12/05 박웅수
협조
	정보보호정책팀장		변순권

- 서울시 통합메일 사용자의 해킹 의심메일 신고 -

원클릭 해킹메일 조사분석 결과보고(11월)

추진근거	대내(외) 협력 현황			사 업 비
	부서(단체)명	협의내용	협의결과
자체방침	정보시스템담당관	해킹 의심메일 조사분석 및 조치관련	완료	비예산

정보통신보안담당관

(통합보안관제팀)

- 서울시 통합메일 사용자의 해킹 의심메일 신고 -

원클릭 해킹메일 조사분석 결과보고(11월)

서울시 통합메일 사용자의 해킹 의심메일 신고에 대한 사고원인의 추적, 분석, 문제점 및 개선방안 등을 조사하여 결과를 보고함

Ⅰ		추진개요

□ 관련근거

❍ 국가 정보보안 기본지침 제35조(전자우편 보안대책)

❍ 서울시 정보통신 보안업무 처리규칙 제32조(전자우편 보안대책)

❍ 서울시 통합메일 보안강화서비스 및 운영계획(정보시스템담당관‘16.1.11)

□ 추진방향

❍ 사용자가 해킹 의심메일을 원클릭으로 신고, 신고된 메일은 원문포함한 신고메일이 관리자(통합메일, 스팸메일, 서울사이버안전센터)에게 자동발송

❍ 신고된 메일은 서울사이버안전센터, 통합메일․스팸서버 관리자에게  동시 접수되며 신고 접수후 가급적 당일 처리되도록 하여야 함

❍ 광고성 메일에 대해서는 통합메일 관리자가 우선 처리하고, 해킹의심 메일에 대해서는 서울사이버안전센터에서 정밀분석 및 처리조치

❍ 해킹 의심메일 신고자는 해킹신고내역, 처리상태(접수, 처리중, 처리완료) 및 처리결과를 언제든지 조회 가능함

Ⅱ		추진현황

□ 운영개시 : 2016.1.11.(정보시스템담당관 : 시스템운영)

□ 계정현황 : 개인 - 47,000명(25 자치구 포함), 부서 - 362개

□ 처리절차

❍ 신고방법 : ‘서울시 통합메일’ 창에서 ‘해킹신고’ 버튼 클릭

❍ 역할분담

구분	역할	조치 내역
정보통신보안담당관 서울사이버안전센터 (해킹메일 조사분석)	- 해킹의심메일 분석 - 분석결과에 따른 조치 - 해킹신고 처리 완료	- 사고원인 분석 및 보고 - 분석결과 및 조치사항 등 입력 - 개선방안 등 전기관 상황전파
정보시스템담당관 (광고메일 운영)	- 광고성 메일 신고시 조치	- 광고성 메일은 수신거부 처리 안내 - 필요시 광고메일 발신자 블랙리스트 등록 및 관리
데이터센터 인터넷통신과 (스팸메일 운영)	- 스팸 및 해킹 메일 차단 정책 적용	- 보안 또는 정보보호 장비에서 차단

❍ 조사․분석

Ⅲ		분석결과

□ 대상기간 : 2016.11.1 ~ 11.30(1개월)

□ 접수현황                                           (단위 : 건)

구분	계	1월	2월	3월	4월	5월	6월	7월	8월	9월	10월	11월
계	979	35	75	165	45	61	141	99	102	115	141	191
해킹메일	109	2	1	16	4	21	9	23	19	12	2	23
스팸메일	411	16	69	81	21	23	40	28	38	35	60	98
정상메일	459	17	5	68	20	17	92	48	45	68	79	70

➠ □ 해외 광고, 자선활동 등 스팸메일 신고건수 다수

□ 전월 대비 신고율 35% 증가(141건 → 191건)

□ 스팸메일 및 해킹메일 10월 대비 증가(스팸 63%↑, 해킹 1,050%↑)

□ 랜섬웨어 대량유포 : 3월(Locky), 6월~8월(Cerber),
9월~10월(Zepto), 11월(aesir, zzzzz)

□ 분석결과

❍ 기관별 신고현황(11월)

구분	계	서울시	시의회	자치구	서울시립병원	비고
누적 (1~11월)	1,170	466	9	689	6
11월	191	63	1	127	-
신고율(%)	-	33	0.5	66.5	-

❍ 유형별 신고현황(11월)

구분		계	정상메일	해킹메일	스팸메일
					소계	광고성	금전요구	개인정보탈취
누적 (1~11월)	1,170		529	132	509	379	72	58
신고건수		191	70	23	98	52	42	4
신고율(%)		-	36.6	12.1	51.3	27.2	22	2.1

❍ 상황전파

구분	계	1월	2월	3월	4월	5월	6월	7월	8월	9월	10월	11월
계	47	1	2	8	-	4	2	7	2	7	3	11
랜섬웨어 유 포 지	28	-	-	3	-	3	1	7	2	7	1	4
악성코드 유 포 지	8	1	2	2	-	-	-	-	-	-	1	2
탐지정책 제작․배포	11	-	-	3	-	1	1	-	-	-	1	5

➠ 해킹메일 분석결과, 랜섬웨어 및 악성코드 유포지가 확인되어 즉시 상황전파(서울시 전기관 및 KLID) → 공격/경유지/유포지 IP 차단

➠ 해킹메일 분석결과, 스팸메일 및 해킹메일(랜섬웨어, Locky 변종) 대량 유포로 신고건수가 증가하였으며, 특히 공무원 대상 피싱메일(이메일 계정정보 탈취)이 다수 유포되어 신속한 조사·분석을 통해 KLID 등 타기관과 정보를 공유함으로서 침해사고 피해 예방에 기여하였음.

Ⅳ		대응조치

□ 문제점

❍ 출처가 불분명한 수신메일 열람후 붙임파일 실행

❍ 업무무관 또는 불법싸이트 접속 및 불법프로그램 설치

❍ 사용자 PC의 보안관리 미흡(규정 미준수)

- 운영체제 : 기술지원 중단 운영체제(XP) 사용, 보안업데이트 미흡

- 백신설치 미흡 : 미설치, 라이센스기간 만료, 최신업데이트 미적용

□ 조치사항

❍ IPS 탐지정책 제작 및 배포(누적 5회, 10월 1회)

❍ 유해IP 및 도메인 차단, KLID 및 시 전기관 상황전파(누적 36회, 10월 3회)

❍ 서울시 전기관 보안담당자 교육(10.26(수) ~ 10.28(금))

□ 대응방안

❍ 출처가 불분명한 메일 및 파일 열람금지

❍ 업무용 PC 사용자에 대한 정보보안 인식제고 교육

- 출처가 불분명한 이메일 및 첨부파일 열람 금지

- 불법 또는 업무무관 싸이트 접근 및 비업무(비인가)용 프로그램 사용 금지

- 외부저장매체(보안USB 등)를 이용한 주기적인 중요문서 백업 등

❍ 공유폴더 사용금지 및 응용프로그램(java, 어도비 리더) 최신 유지

❍ 바이러스 백신 최신 업데이트 및 주기적 검사 실시

붙 임 : 1. 메일신고(악성메일-첨부파일형) 분석결과 보고서 1부

2. 메일신고(악성메일-피싱형) 분석결과 보고서 1부

3. 메일신고(스팸메일-개인정보탈취형) 분석결과 보고서 1부

4. 메일신고(스팸메일-금전요구형) 분석결과 보고서 1부

5. 메일신고(스팸메일-광고형) 분석결과 보고서 1부

6. 메일신고(정상메일) 분석결과 보고서 1부

7. 이메일 보안관리 강화방안 1부.  끝.