피싱 공격이란?

기사 요약:

• 피싱 공격은 겉보기에 신뢰할 수 있는 출처로부터 온 기만적인 메시지를 사용하여 피해자를 속여 로그인 자격 증명, 비밀번호, 금융 데이터 등의 중요한 정보를 공개하도록 유도하여 악의적인 목적으로 사용합니다.
• 공격자는 도메인 스푸핑, 가짜 웹 사이트, 생성 AI 등 다양한 정교한 방법을 활용하여 이메일, SMS, 전화, 소셜 미디어를 통한 피싱 공격을 실행합니다.
• 피싱 공격을 효과적으로 예방하려면 URL을 확인하고 이메일 보안 도구를 사용하며 Zero Trust 보안 모델을 채택하여 사기성 통신 시도를 식별하고 차단해야 합니다.

피싱이 이루어지는 방법은?

피싱의 가장 일반적인 예는 계정 탈취, 랜섬웨어 공격, 비즈니스 이메일 손상 등의 악의적 작업을 지원하는 데 사용됩니다. 지금까지 피싱 공격은 일반적으로 이메일이나 인스턴트 메시지를 통해 수행되었습니다. 오늘날 피싱 공격은 SMS 문자 메시지, 전화 통화, QR 코드 등 다양한 매체에서 발생합니다.

공격자는 다음과 같은 여러 가지 전술을 사용하여 피싱 시도를 더 효과적으로 만들 수 있습니다.

• 알려진 연락처 정보 찾기, 구매, 스크래핑
• 진짜 웹 사이트와 애플리케이션을 모방하는 가짜 웹 사이트와 애플리케이션을 설정하기
• DNS 패스트 플럭싱과 같은 기술을 사용하여 호스팅 서버 위장하기
• 도메인 스푸핑 및 이메일 스푸핑을 사용하여 메시지가 합법적인 것처럼 보이게 하기
• 피싱 메시지에서 URL이 올바르게 보이도록 링크를 조작하기
• 검사를 통과하고 스팸 필터를 통과할 수 있는 신뢰할 수 있는 인프라에서 이메일 전송하기
• 생성형 AI를 사용하여 사실적이고 오류 없는 메시지를 빠르게 생성하기

대부분의 피싱 공격은 몇 가지 일반적인 범주로 나눌 수 있습니다. 이러한 다양한 피싱 공격 벡터를 조기에 감지하려면 그중 몇 가지를 숙지하는 것이 도움이 됩니다.

웹 사이트 위조 사기

이 유형의 사기는 일반적으로 계정 비활성화 사기(아래 참조)와 같은 다른 사기와 함께 발생합니다. 이 공격에서 공격자는 피해자가 사용하는 은행과 같은 비즈니스의 합법적인 웹 사이트와 거의 동일한 웹 사이트를 만듭니다. 사용자가 이메일 피싱 시도, 포럼 내 하이퍼링크, 검색 엔진 등 다양한 방법으로 페이지를 방문할 때, 피해자는 사기성 복제본이 아닌 합법적인 사이트라고 믿는 웹 사이트에 도달합니다. 피해자가 입력한 모든 정보는 판매 또는 다른 악의적인 목적으로 수집됩니다.

인터넷 초창기에는 이러한 유형의 복제된 페이지를 조잡한 솜씨로 인해 쉽게 발견할 수 있었습니다. 요즘에는 사기성 사이트가 원래 사이트를 완벽하게 재현한 것처럼 보일 수 있습니다.

웹 브라우저에서 URL을 확인하면 사기를 감지할 수 있을 수도 있습니다. URL이 일반적인 URL과 다르게 보이면 매우 의심스러운 것으로 간주해야 합니다. 페이지가 안전하지 않은 것으로 나열되어 있고 HTTPS가 활성화되어 있지 않다면, 이는 위험 신호이며 사이트가 손상되었거나 피싱 공격일 가능성이 매우 높습니다.

그러나 공격자는 도메인 스푸핑을 사용하여 웹 사이트의 실제 URL을 유사하게 모방할 수 있습니다. 또한 도메인 하이재킹과 같은 방법을 사용하여 웹 사이트의 실제 주소를 탈취할 수 있습니다. 가장 예리한 사용자도 속을 수 있습니다. 따라서 때로는 이메일의 출처로 추정되는 곳에 연락하여(예: 은행의 고객 서비스 라인에 전화) 웹 페이지로 연결된 메시지가 합법적인지 확인하는 것이 현명할 수도 있습니다.

계정 비활성화 사기

공격자는 중요한 계정이 비활성화될 것이라고 믿는 피해자의 긴급한 상황을 이용하여 일부 사람들을 속여 로그인 자격 증명과 같은 중요한 정보를 넘겨주도록 할 수 있습니다. 예를 들면 다음과 같습니다. 공격자는 은행과 같은 중요한 기관에서 보낸 것으로 보이는 이메일을 보내고 신속하게 조치를 취하지 않으면 피해자의 은행 계좌가 비활성화될 것이라고 주장합니다. 그런 다음 공격자는 비활성화를 방지해주겠다고 피해자의 은행 계좌의 로그인 및 비밀번호를 요청합니다. 영리한 버전의 공격의 경우 정보를 입력하면 피해자가 합법적인 은행 웹 사이트로 이동하여 아무 것도 이상해 보이지 않도록 합니다.

이러한 유형의 공격은 해당 서비스의 웹 사이트에 직접 접속하여 적법한 공급자가 사용자에게 똑같이 긴급 계정 상태를 알리는지 확인함으로써 대응할 수 있습니다. URL 표시줄을 확인하고 웹 사이트가 안전한지 확인하는 것도 좋습니다. 안전하지 않은 로그인 정보 및 비밀번호를 요청하는 웹 사이트는 심각하게 의심해봐야 하며 거의 예외 없이 이용해서는 안 됩니다.

선불금 사기

이 일반적인 이메일 피싱 공격은 절박한 상황에 처했다는 자칭 나이지리아 왕자가 피해자에게 미리 소액의 수수료를 주면 거액의 돈을 주겠다고 제안하는 '나이지리아 왕자' 이메일로 널리 알려졌습니다. 당연한 일이지만, 수수료를 내더라도 그 거액은 들어오지 않습니다. 흥미로운 역사는 이러한 유형의 사기가 100여 년 동안 다양한 형태로 발생했다는 것입니다. 이 사기는 원래 1800년대 후반에 스페인 죄수 사기로 알려졌는데, 사기꾼이 피해자의 탐욕과 동정을 부추겨 이용하려고 피해자에게 연락하는 형태였습니다. 사기꾼은 부유한 스페인 죄수를 빼내려고 했고, 그 죄수가 피해자에게 교도소 경비원에게 뇌물을 주는 대가로 후한 보상을 주려고 했다는 혐의를 받았습니다.

이 공격(모든 형태)을 완화하는 방법은 알 수 없는 사람으로부터 금전을 요구하는 요청에 응하지 않는 것입니다. 너무나 솔깃하게 들리는 요구는 사실이 아닐 가능성이 높습니다. 요청의 주제나 텍스트 자체의 일부를 간단히 Google에서 검색하면 사기의 세부 사항이 자주 드러납니다. 스팸 필터는 이러한 유형의 이메일을 감지하도록 학습시킬 수 있습니다.

피싱은 대규모 공격 캠페인에 어떻게 적용될까요?

일부 피싱 공격은 단순히 최대한 많은 사람으로부터 개인정보를 수집하는 것을 목표로 합니다. 공격자는 그 정보를 직접 사용하여 사용자 계정을 장악하거나 신원을 도용할 수 있습니다. 또는 그 정보를 지하 시장에서 가장 높은 가격을 제시한 사람에게 판매할 수 있습니다.

다른 피싱 공격은 '지능형 지속 공격(APT)'이라고 불리는 그룹의 더 큰 노력의 일부입니다. 기업의 기밀 정보에 접근하거나, 기업을 랜섬웨어로 감염시키거나, 기타 방법으로 기업을 손상시키려는 APT는 기업에서 일하는 사람의 계정에 접근하기 위해 피싱 캠페인을 시작할 수 있습니다. 이 진입점에 도달하면 여러 기술을 사용하여 기업 네트워크에 더 깊숙이 침투할 수 있습니다(이 과정을 내부망 이동이라고 합니다). 많은 악명 높은 사이버 공격은 비교적 단순한 피싱 이메일에서 시작되었습니다.

스피어 피싱이란?

이러한 유형의 피싱은 특정 개인이나 회사를 대상으로 하여 스피어 피싱이라는 용어가 사용됩니다. 공격자는 특정 대상에 대한 세부 정보를 수집하거나 정보를 구매하여 맞춤형 사기를 실행할 수 있습니다. 이러한 피싱은 현재 가장 효과적인 피싱 유형입니다.

클론 피싱이란?

클론 피싱은 이전에 전달된 합법적인 이메일을 모방하여 링크나 첨부 파일을 수정함으로써 피해자가 악성 웹 사이트나 파일을 열도록 속이는 행위입니다. 예를 들어, 이메일에 원본 첨부 파일과 동일한 이름의 악성 파일을 첨부하고, 원래 발신자로부터 온 것처럼 보이는 스푸핑된 이메일 주소로 이메일을 다시 보내면, 공격자는 초기 통신의 신뢰를 악용하여 피해자가 조치를 취하도록 유도할 수 있습니다.

웨일링이란?

기업 내 고위 경영진이나 다른 권한 있는 사용자를 특정하여 겨냥하는 공격을 웨일링(whaling)이라고 합니다. 이러한 유형의 공격은 일반적으로 법적 소환장이나 기타 경영 문제와 같이 피해자의 주의를 끌 가능성이 있는 콘텐츠를 대상으로 합니다. 웨일링 공격은 고도로 개인화되어 있을 수 있으며 사기꾼은 공격 대상이 조직 내의 다른 리더인지, 아니면 신뢰할 수 있는 당사자인지 여부에 관계없이 공격 대상이 알고 있는 사람을 가장할 가능성이 높습니다.

여러 채널에 걸쳐 발생하는 피싱

충분한 리소스를 가진 공격자는 여러 채널에 걸쳐 동시에 피싱 캠페인을 실행할 수 있습니다. 공격 대상에게 단순히 이메일을 보내는 대신 문자 메시지, 전화 통화, 소셜 미디어 등으로 연락을 하기도 합니다. 생성형 AI 모델은 이메일 텍스트부터 신뢰할 수 있는 사람의 딥페이크에 이르기까지 공격자가 필요한 콘텐츠를 생성하는 데 도움이 될 수 있습니다. 다중 채널 피싱에 대한 이 글에서는 Zero Trust 보안이 조직에서 이러한 캠페인으로부터 자체를 방어하는 데 어떻게 도움이 될 수 있는지 설명합니다.

Cloudflare는 조직에서 피싱 공격을 방어하는 데 어떻게 도움이 될까요?

피싱은 다양한 공격 벡터를 통해 발생할 수 있지만, 가장 큰 공격 벡터 중 하나는 이메일입니다. 많은 이메일 공급자가 피싱 이메일을 자동으로 차단하려고 시도지만, 간혹 피싱 이메일이 사용자에게 전달되는 경우가 있어 이메일 보안이 중요한 문제로 대두되고 있습니다.

다행히 이메일이 피싱 공격의 일환일 수 있음을 나타내는 여러 가지 징후가 있습니다. 피싱 이메일 식별 방법에 대해 알아보세요.

또한 Cloudflare Email Security는 인터넷을 크롤링하고 피싱 인프라를 조사하여 피싱 캠페인을 사전에 식별하는 고급 피싱 보호 기능을 제공합니다. Cloudflare Email Security 작동 방식을 알아보세요.