로빈후드 노린 정교한 피싱…도메인·인증 다 통과했다

로빈후드(Robinhood) 고객들이 주말 사이 회사에서 직접 보낸 것처럼 보이는 ‘피싱 이메일’을 대거 받은 것으로 전해졌다. 이메일은 발신자 주소가 실제 @robinhood.com 도메인이었고, 인증 헤더와 전자서명(DKIM) 등이 정상으로 처리돼 스팸 필터도 피해갔다.

특히 [email protected]에서 발송된 일부 메일은 지메일(Gmail)에서 과거 로빈후드의 정상 보안 경고와 동일한 ‘대화 스레드’로 자동 합쳐지기까지 했다. 겉으로 드러난 이상 징후는 거의 없었고, 핵심은 로그인 정보 입력을 유도하는 링크 등 ‘내용’ 자체가 사기였다는 점이다.

‘점(dot) 트릭’과 HTML 주입…로빈후드 알림 파이프라인 악용

보안 연구원 압델 사바(Abdel Sabbah)는 이번 공격을 분석하며 음산한 의미로 “꽤 아름답다(kinda beautiful)”고 표현했다. 공격자는 먼저 지메일이 주소의 @ 앞 부분에서 점(.)을 무시하는 특성(일명 ‘dot trick’)을 이용해, [email protected]과 [email protected] 같은 변형 주소가 같은 받은편지함으로 들어가도록 만들었다.

문제는 로빈후드가 지메일처럼 점 변형을 정규화하지 않는다는 데서 생겼다. 공격자는 점이 섞인 형태로 계정을 만들고, 기기 이름(device name) 입력란에 원시 HTML을 심은 뒤 로빈후드의 ‘인식되지 않은 활동’ 알림 이메일 템플릿이 이를 별도 정화(sanitize) 없이 그대로 삽입하도록 유도했다. 그 결과 “DKIM 통과, SPF 통과, DMARC 통과”를 모두 만족하는 ‘정상 발송’처럼 보이는 피싱 이메일이 완성됐다는 설명이다.

목표는 계정 탈취…2FA 코드까지 노리는 링크

이메일에 포함된 CTA(call to action)는 가짜 보안 경고 형태로, 공격자가 통제하는 웹페이지로 연결되는 하이퍼링크를 담았다. 사용자가 링크를 눌러 로그인 정보를 입력하면 계정 비밀번호뿐 아니라 2단계 인증(2FA) 코드까지 회수해 계정 접근 권한을 빼앗는 전형적인 수법이다.

공격의 최종 목적은 다른 피싱 캠페인과 마찬가지로 ‘사용자 자금’에 접근하는 것이다. 로빈후드 계정이 주 타깃으로 거론됐으며, 이번 사례는 겉보기 신뢰 지표(도메인, 인증 서명, 발송 서버)가 모두 정상처럼 보일 수 있다는 점에서 암호화폐 투자자와 일반 투자자 모두에게 경각심을 키우고 있다.

“메일의 링크는 일단 멈춰라”…검증 습관이 핵심

사건 분석은 소셜미디어를 통해 빠르게 확산됐고, 여러 크립토 인플루언서들도 ‘클릭 주의’를 당부했다. 리플(Ripple) 최고기술책임자 데이비드 슈워츠(David Schwartz)는 “로빈후드에서 온 것처럼 보이는 이메일(심지어 실제 이메일 시스템에서 발송됐을 수도 있는 것)도 피싱일 수 있다”며 “상당히 교묘하다”고 경고했다.

유사 사례는 과거에도 있었다. 2025년 4월 이더리움네임서비스(ENS) 리드 개발자 닉 존슨(Nick Johnson)은 구글(Google) 인프라를 악용해 [email protected]에서 온 것처럼 보이는 DKIM 서명 피싱 이메일이 전달된 정황을 공개한 바 있다. 이번 로빈후드 사례가 던지는 메시지도 같다. 발신자 도메인과 인증 실패 여부만으로는 충분치 않으며, 이메일 속 링크는 즉시 누르기보다 앱·공식 사이트를 직접 접속해 알림을 재확인하는 습관이 필요하다.