Barracuda: 이제 하나의 피싱 이메일이 수신자와 수신자의 받은편지함 AI를 모두 노린다

2026년 10월 7일, Barracuda Research는 동일한 메시지로 두 주체를 노리도록 설계된 피싱 캠페인 분석을 발표했다. 그 메시지를 받는 사람과 그 사람의 받은 편지함을 요약하는 AI 비서가 그 두 주체다. 사람을 겨냥한 절반은 별다를 게 없다. 본문에 비밀번호가 적혀 있는 비밀번호 보호 첨부 파일, 즉 Barracuda가 “전통적인 이메일 보안 제어에 사각지대를 만든다”고 말하는 조합이다. 두 번째 절반은 새롭다. 같은 이메일 안에는 — HTML 주석, CSS로 보이지 않게 한 텍스트, Base64로 인코딩된 블록, 제로 너비 문자에 — 메일을 구문 분석하는 모델이 무엇이든 그 모델을 겨냥한 지침이 숨겨져 있으며, 이는 비서가 “피싱 이메일을 정당하거나 긴급한 것으로 제시”하게 하거나 스스로 행동하게 만들기 위한 것이다.

Barracuda는 자사가 조사한 샘플이 일상적인 내부 서신으로 위장되어 있었고 신뢰할 수 있는 스팸 점수를 받았으며, 공공 부문 도메인에서 비롯되었다고 밝혔다. 아카이브에는 확인된 피해자도, 보고된 피해도 기록되어 있지 않다. 이는 침해된 조직에 대한 폭로가 아니라 공격 패턴에 관한 연구 결과다. Barracuda는 해당 캠페인의 규모를 공개하지 않았고, 이 연구를 보도한 Infosecurity Magazine과 The Hacker News 모두 수치를 덧붙이지 못했다.

Barracuda가 실제로 게시한 것

이 글은 ‘Threat Spotlight: 이메일 공격이 동일한 메시지에서 인간과 AI를 모두 노린다’라는 제목의 벤더 위협 연구 블로그 게시물로, Barracuda의 위협 분석가로 소개된 Guruprasad Kenja의 이름으로 게재되었다. URL 경로에는 2026년 10월 7일자로 되어 있고, 페이지 자체에는 ‘업데이트: 2026년 10월 6일’ 스탬프가 찍혀 있다. Alessandro Mascellino가 작성한 Infosecurity Magazine의 뉴스 기사는 10월 7일자이며, The Hacker News의 ThreatsDay 요약은 10월 8일에 게시되어 동일한 Barracuda 게시물을 링크한다. URL 날짜와 페이지상 스탬프 사이의 하루 차이는 Barracuda 자체의 것으로, 세 곳 중 어디에서도 설명되지 않는다.

Barracuda의 프레이밍은 어시스턴트가 두 번째 공격 표면이 되었다는 것이다. 그 표현대로, 조직은 "사용자와 받은 편지함뿐만 아니라 이메일 데이터를 소비하고 그에 따라 행동하는 AI 시스템도 보호해야 한다." 이 연구는 새로운 익스플로잇이 아니라 두 개의 페이로드를 지닌 단일 메시지를 설명한다: 전통적인 사회공학적 미끼는 필터가 잡도록 만들어진 대상이고, 프롬프트 인젝션은 필터가 역사적으로 들여다보지 않았던 곳에 배치된다.

샘플: 평판 검증을 통과하도록 제작되었습니다

Barracuda는 자사의 설명에 따르면 이 메시지가 평판 기반 필터링을 빠져나가는 데 도움이 된 세 가지 속성을 나열한다:

• 보낸사람과 받는사람 주소가 동일한 사서함이어서, 그 메시지는 외부 메일이 아니라 자신에게 남긴 메모처럼 읽혔습니다.

• 신뢰할 수 있는 스팸 신뢰도 점수를 포함하고 있었습니다.

• 공공 부문 도메인에서 비롯되었습니다.

Barracuda는 공공 부문 도메인의 이름을 밝히지 않았고, 그 도메인이 메시지의 진짜 출처였는지 스푸핑된 것인지도 말하지 않으며, 해당 메시지가 언제 관찰되었는지에 대한 날짜도 제시하지 않는다. 이러한 공백은 그 캠페인이 성공하는 데 얼마나 가까웠는지 판단하려는 사람에게 중요하며, 이는 다른 매체가 채워 넣은 것이 아니라 1차 출처 자체의 공백이다.

숨겨진 절반: 지시가 밀반입되는 네 가지 방식

Barracuda는 자주 보는 네 가지 기법을 꼽는다. 네 가지 모두 동일한 비대칭성에 의존한다: 메일 클라이언트는 메시지를 한 방식으로 렌더링하지만, 원본 소스를 읽는 모델은 클라이언트가 숨긴 모든 것을 본다.

그 목록의 각 항목은 효과가 아니라 매개체에 대한 설명이며, Barracuda는 그 주입이 사람이 아니라 어시스턴트에 작동하도록 설계되었다고 분명히 밝힌다. 그 레코드의 유형 태그는 IPI — 간접 프롬프트 주입 — 이며, 이는 모델이 처리하도록 요청받은 콘텐츠 안에 들어오는 지시를 가리키는 표준 용어로, 사용자가 직접 입력한 것이 아니다.

주사가 무엇을 하기 위한 것이었는지

Barracuda의 설명에 따르면, 이 페이로드의 목표는 두 갈래로 전개된다. 더 온건한 갈래는 요약문을 왜곡하려 한다. 사람이 첨부 파일을 무시할 경우, 숨겨진 텍스트는 어시스턴트가 그 메시지를 정당하거나 긴급한 것으로 묘사하도록 만들어, 수신자가 열고 클릭하도록 유도하는 것을 목표로 한다. Barracuda는 이러한 지시 중 어느 것도 사용자에게 보이지 않는다고 말한다. 더 강경한 갈래는 어시스턴트를 행위자로 만들려 한다. 즉 "이전 지시를 무시"하고 대신 긴급한 송금 요청을 보내거나, 데이터를 유출하거나, 가짜 긴급 조치를 표면화하라고 지시한다.

함께 제공되는 Barracuda의 실제 사례들은 동일한 메커니즘이 다른 AI 매개 워크플로에 적용된 모습을 보여줍니다.

• 요약 모델에게 공급업체 결제 정보를 변경하는 가짜 우선순위 작업을 추가하라고 지시하며, 직원이 공격자에게 송금하도록 부추기는 숨겨진 텍스트 블록이 포함된 인보이스 이메일.

• 숨겨진 텍스트가 AI 심사 도구에 자격 요건과 무관하게 지원자를 10점 만점에 10점으로 평가하고 즉시 면접을 추천하라고 지시하는 이력서.

• 지원 봇에게 자신의 구성을 공개하도록 요구하면서, 권한이 부여된 "유지보수 또는 관리자 모드"로 포장된 요청.

• 코딩 어시스턴트가 읽는 페이지에 있는 오염된 문서로, 인증 코드를 생성할 때마다 자격 증명 유출 코드를 삽입하도록 지시합니다.

이것들은 확인된 침해가 아니라 해당 기법의 예시로 설명된다. Barracuda의 게시물 어디에도 요약 모델, 선별 도구, 지원 봇 또는 코딩 어시스턴트가 실제 배포 환경에서 실제로 요청에 응했다고 나와 있지 않으며, 아카이브는 real_harm을 false로 기록한다.

무엇이 확립되었고, 무엇이 그렇지 않은가

이 구분은 대부분의 사건 보고서에서보다 여기서 더 중요합니다. 왜냐하면 이 기록은 결과가 아니라 설계를 설명하기 때문입니다.

• 확립됨: Barracuda Research는 비밀번호로 보호된 첨부 파일과 숨겨진 프롬프트 인젝션을 동일한 메시지에 결합한 피싱 캠페인을 조사했고, 2026년 10월 7일 그 분석을 발표했다. 네 가지 은닉 기법과 네 가지 사용 예시는 해당 게시물에 제시되어 있다. 두 개의 독립 매체인 Infosecurity Magazine과 The Hacker News가 같은 결과를 보도했으며 이를 반박하지 않았기 때문에, 이 기록의 신뢰도는 A 등급으로 평가된다.

• 확립되지 않은 사항: 어떤 어시스턴트가 실제로 탈취되었는지, 얼마나 많은 메시지가 전송되었는지, 누가 이를 받았는지, 그리고 금전이 이동했거나 데이터가 유출되었는지 여부. Barracuda는 캠페인의 규모를 밝히기를 거부했다. 어떤 규제 기관, 피해자 단체 또는 보안 업체도 구체적인 침해를 입증하지 못했으며, 표본에는 이름이 밝혀진 당사자가 붙어 있지 않다.

• 다툼의 여지 없음: 보도 내용 중 Barracuda의 설명과 모순되는 것은 없다. 남아 있는 의문점은 누락이지 이견이 아니다 — 그리고 아카이브는 그 판단이 이의 제기된 것으로 기록하지 않는다.

기록은 중간 심각도의 연구 결과로 분류되며, AI 관여가 확인되었습니다 — AI 어시스턴트는 이 캠페인이 설계된 대상이며, 메시지가 이례적인 이유입니다. 이는 랜드마크로 분류되지 않으며 날짜 범위도 없습니다: 분석은 캠페인 기간이 아니라 2026년 10월 7일이라는 한 시점을 설명합니다.

Barracuda가 권장하는 완화 조치

Barracuda의 입장은 "어떤 단일 통제로도 모든 변형을 막을 수는 없다"는 것이므로, 그 권고안은 단일 해결책이라기보다 여러 겹의 방어 스택이다. Barracuda는 콘텐츠가 AI 시스템에 도달하기 전에 숨겨진 요소, 주석, 보이지 않는 문자를 제거하고, 지시를 덮어쓰려는 문구를 프롬프트 주입 시그니처로 탐지하며, 어시스턴트를 샌드박싱해 그 영향 범위를 제한하고, 어시스턴트 응답이 작업을 트리거하기 전에 출력을 검증하며, 결제, 공급업체 변경 및 기타 민감한 결정에 대해 사람의 승인을 요구할 것을 권고한다. 또한 반복적인 주입 시도를 모니터링할 것을 권장하며, 기본 원칙은 외부 콘텐츠를 "항상 데이터로만 취급하고 지침과 분리해 유지"하는 것으로 제시한다.

이 게시물은 또한 Barracuda 자체 제품인 Email Gateway Defense, Behavioral AI, Automated Threat Response를 필터링 및 교정 측면에서 자사가 판매하는 통제 수단으로 지목한다. 이는 벤더가 자사 제품 목록을 추천하는 것이므로, 그런 점을 감안해 읽을 가치가 있다. 기술적 권고는 제품과 무관하지만, 이 게시물은 자신이 설명하는 캠페인에 대해 어느 쪽도 검증하지 않는다.

기록을 보관할 가치가 있는 이유

이 항목의 구체적인 가치는 이전에는 별개였던 두 방어가 더 이상 같은 메시지를 함께 커버하지 못하게 되는 지점을 기록한다는 데 있다. 암호로 보호된 첨부 파일은 스캐너가 파일을 열 수 없기 때문에 콘텐츠 검사를 무력화한다. 숨겨진 프롬프트 인젝션은 평판 스코어링이 발신자를 보지, 언어 모델이 본문으로 무엇을 할지는 보지 않기 때문에 평판 스코어링을 무력화한다. 이 둘을 하나의 이메일에 넣으면 실패 양상이 겹친다. 신뢰할 수 있는 점수를 근거로 메시지를 통과시킨 필터는 다음에 받은편지함을 읽는 무엇이든 겨냥한 페이로드도 함께 통과시킨 것이다. Barracuda의 샘플은 이러한 조합이 가설에 불과하지 않다는 것을 보여주는 실증이다.

이 기록 — Barracuda의 이중 표적 피싱 발견 — 은 OrcaRouter AI Incident Archive 에 수록된 하나의 항목으로, 위에서 사용된 것과 동일한 필드(심각도, 신뢰도, 논란 여부, 실제 피해)를 사용하여 AI 사고, 연구 결과 및 평가를 추적합니다.