Gmail 도트 별칭(Dot Alias) 취약점을 악용한 로빈후드 피싱 사기가 실제 수신함으로 진짜처럼 보이는 보안 이메일을 전송하고 있다

가짜 로그인 알림이 실제 수신함으로 전달되어 정당한 메일처럼 보였던 이유

공격자들이 로빈후드(Robinhood) 플랫폼의 공식 시스템에서 직접 발송된 것처럼 보이는 설득력 있는 로그인 알림 이메일을 성공적으로 전송함에 따라, 로빈후드 사용자를 노린 피싱 캠페인이 드러났다.

이 이메일들은 인식되지 않은 기기 활동을 경고하며 수신자들에게 “지금 활동 확인하기” 버튼을 클릭하도록 유도했고, 이 버튼을 누르면 계정 인증 정보를 탈취하기 위해 설계된 사기성 로그인 페이지로 리디렉션되었습니다.

이 공격이 특히 교묘했던 점은, 해당 메시지가 표준 이메일 인증 절차를 통과하여 마치 진짜 보안 경고인 것처럼 수신함으로 전달되었다는 것입니다.

사용자들이 스크린샷을 공유하며 로빈후드 플랫폼 자체가 해킹당한 것이 아닌지 의문을 제기하기 시작하면서, 소셜 미디어 플랫폼에 첫 보도가 등장했습니다.

Gmail의 점(.) 별칭 기능이 피해자의 이메일 주소를 복제하는 데 악용됨

보안 연구원들은 이번 공격이 로빈후드 인프라의 직접적인 침해에서 비롯된 것이 아니라, 이메일 작동 방식과 계정 생성 과정의 취약점이 결합된 결과라고 설명합니다.

Gmail은 사용자 이름에 점이 포함된 이메일 주소를 동일한 주소로 취급하므로, “[[email protected]](mailto:[email protected])”와 “[[email protected]](mailto:[email protected])”는 동일한 수신함으로 전달됩니다.

공격자들은 피해자의 이메일 주소를 거의 똑같이 변형하여 로빈후드 계정을 등록함으로써 이 점을 악용했습니다.

증권사 시스템은 이를 별개의 사용자로 처리했지만, Gmail은 여전히 메시지를 실제 대상에게 전달했습니다.

이를 통해 사기꾼들은 로빈후드 시스템에서 자동 보안 이메일을 발송하도록 유도할 수 있었고, 이 이메일은 결국 피해자의 수신함으로 전달되었습니다.

계정 설정 필드를 통해 삽입된 숨겨진 코드, 필터는 어떻게 우회했나

사이버 보안 연구원이자 기술 기업 CEO인 알렉스 에켈베리(Alex Eckelberry)는 이번 공격이 온보딩 절차의 “몇 가지 심각한 취약점”을 악용했다고 밝혔다.

보도에 따르면, 공격자들은 계정 생성 과정에서 “기기 이름”과 같은 선택 입력란에 HTML 기반 명령어를 삽입한 것으로 알려졌다. 이 입력란들은 제대로 정제되지 않아, 자동화된 이메일 템플릿에 악성 콘텐츠가 삽입될 수 있었다.

이 메시지들은 로빈후드(Robinhood)의 자체 이메일 서버를 통해 생성되었기 때문에, 일반적으로 진위 여부를 확인하는 데 사용되는 SPF, DKIM 및 DMARC 검사를 성공적으로 통과했습니다.

에켈베리는 다음과 같이 설명했습니다.

“그 결과, SPF, DKIM, DMARC를 통과하는 ‘[[email protected]](mailto:[email protected])’에서 보낸 진짜 이메일처럼 보입니다. 완전히 합법적으로 보이지만, 이제는 삽입된 가짜 경고 문구와 작동하는 피싱 버튼이 포함되어 있습니다. 이 버튼을 클릭하면 가짜 로그인 사이트로 연결됩니다.”

이메일이 실제 알림과 구별하기 어려웠던 이유

이 사기 이메일은 로빈후드 브랜드와 기기 유형, 접속 시간 등의 로그인 활동 요약 정보를 포함해 공식 보안 알림을 매우 유사하게 모방했습니다.

이 이메일들은 합법적인 인프라를 통해 발송되었기 때문에, 일반적인 스팸 필터가 이를 의심스러운 메일로 식별할 가능성은 훨씬 낮았습니다.

이 사기의 한 변종은 사용자를 보안 인증 페이지처럼 보이는 가짜 도메인으로 리디렉션했으며, 그곳에서 피해자들은 계정 세부 정보와 암호화폐 지갑 정보를 확인하도록 요청받았습니다.

일부 지침은 심지어 사용자에게 공격자가 통제하는 새로 생성된 지갑으로 자금을 이체하도록 유도하기도 했습니다.

암호화폐 업계의 손실, 증가하는 사회공학 공격 위협 부각

보안 업체 Hacken은 2026년 1분기에만 피싱 및 사회공학 공격으로 인해 약 3억 600만 달러의 손실이 발생했다고 보고했으며, 이는 암호화폐 업계 전반에서 이러한 전술이 얼마나 지속적이고 막대한 비용을 초래하는지 보여준다.

로빈후드 사건은 공격자들이 암호화나 핵심 인프라를 뚫는 것보다 사용자의 신뢰를 조작하는 데 점점 더 의존하고 있는 이러한 광범위한 패턴에 부합합니다.

전문가들, 시스템 침해보다 이메일 신뢰 악용에 경고

리플(Ripple) 명예 CTO 데이비드 슈워츠(David Schwartz) 또한 이 캠페인을 지적하며, 공식 시스템에서 발송된 것처럼 보이는 이메일조차도 악성일 수 있다고 사용자에게 경고했습니다.

“경고: 로빈후드에서 보낸 것처럼 보이는(실제로는 로빈후드의 이메일 시스템에서 발송되었을 수도 있는) 모든 이메일은 피싱 시도입니다.”

그는 이 이메일들이 사실적인 로그인 정보, 기기 정보 및 보안 안내 메시지를 표시하여, 언뜻 보기에는 의심하기 어렵게 만든다고 지적했다.

Cubby Law의 보안 분석가 압델 사바(Abdel Sabbah)는 공격자들이 Gmail 주소 조작과 계정 설정 필드에 삽입된 HTML을 결합하여, 피싱 콘텐츠가 진짜처럼 보이는 알림 내부에 표시되도록 했다고 설명했습니다.

로빈후드, 시스템 침해는 없었다고 밝혀

로빈후드는 일부 사용자가 “Your recent login to Robinhood(최근 로빈후드 로그인 내역)”라는 제목의 위조 이메일을 수신했음을 확인했으며, 이 문제는 계정 생성 절차의 악용에서 비롯되었다고 밝혔습니다.

회사는 다음과 같이 밝혔습니다.

“이번 피싱 시도는 계정 생성 절차의 악용으로 인해 가능했습니다. 이는 당사 시스템이나 고객 계정의 침해 사례가 아니며, 개인정보나 자금에는 아무런 영향이 없었습니다.”

이와 유사한 메시지를 수신한 사용자는 해당 메시지를 삭제하고, 링크를 클릭하지 말며, 이메일 안내 대신 공식 앱이나 웹사이트를 통해 직접 계정 활동 내역을 확인하는 것이 좋습니다.