사회공학과 피싱

사회 공학 공격은 기술이 아니라 사람을 노립니다. 공격자는 방화벽을 뚫는 대신 신뢰, 두려움, 호기심 또는 호의적인 성향을 악용하여 사람을 속이고 정보, 접근 권한 또는 돈을 넘겨받습니다.

이는 침입하는 가장 쉬운 방법인 경우가 많습니다. 누군가에게 비밀번호를 직접 건네도록 설득할 수 있는데 굳이 비밀번호를 해독할 필요가 있을까요? 사람은 보안에서 가장 약한 고리인 경우가 많습니다.

피싱은 가장 흔한 사회 공학 공격입니다. 신뢰할 수 있는 출처에서 온 것처럼 보이는 사기성 이메일이나 메시지를 보내 악성 링크를 클릭하거나, 감염된 첨부 파일을 열거나, 가짜 사이트에 인증 정보를 입력하도록 피해자를 유인합니다.

피싱 이메일은 은행이나 IT 부서를 흉내 내어 긴박감을 조성하고, 생각하기 전에 행동하게 만들 수 있습니다. 이러한 이메일은 많은 사람에게 한 번에 보내 넓은 범위를 노립니다.

표적형 변종은 더 위험합니다. 스피어 피싱은 특정 인물에 관한 정보를 이용해 메시지를 맞춤 구성하므로 훨씬 더 그럴듯합니다. 웨일링은 CEO와 같은 고위 경영진을 표적으로 삼습니다.

이러한 메시지는 개인화되어 있고 사전 조사도 철저하므로 일반적인 피싱보다 알아채기 훨씬 어렵고, 대규모 캠페인이 실패하는 상황에서도 성공하는 경우가 많습니다.

피싱은 이메일만을 이용하지 않습니다. 보이스 피싱(음성 피싱)은 가짜 지원 상담원이 비밀번호를 빼내는 전화 통화와 같은 방식으로 이루어집니다. 문자 피싱(SMS 피싱)은 악성 링크가 포함된 문자 메시지를 이용합니다.

공격자는 여러 채널로 공격을 확산합니다. 사람들은 의심스러운 이메일은 불신하면서도 전화는 쉽게 받고, 특히 긴급해 보이는 문자 메시지의 링크는 쉽게 누를 수 있기 때문입니다.

프리텍스팅은 정보를 빼내기 위해 그럴듯한 상황을 꾸며 냅니다. 예를 들어 공격자가 문제를 해결하려면 로그인을 확인해야 한다며 IT 지원 담당자를 사칭하는 경우가 있습니다. 사칭은 직접 대면하거나 원격으로 신뢰받는 사람인 척하는 것을 의미합니다.

꾸며 낸 상황은 피해자의 경계심을 낮춰, 평소라면 의심했을 요청에도 따르게 만듭니다.

일부 사회공학 공격은 물리적으로 이루어집니다. 테일게이팅(또는 피기백킹)은 출입 인증을 하지 않고 허가받은 사람을 따라 보안문을 통과하는 행위입니다. 숄더 서핑은 누군가 비밀번호나 PIN을 입력하는 모습을 엿보는 행위입니다.

덤스터 다이빙은 버려진 문서와 기기에서 민감한 정보를 찾아내는 행위입니다. 이는 보안이 컴퓨터뿐 아니라 물리적 환경에 대한 주의도 포함한다는 점을 일깨워 줍니다.

미끼는 주차장에 급여라는 라벨을 붙여 둔 USB 드라이브처럼 매력적인 대상을 내걸고, 호기심 많은 사람이 이를 연결해 자신의 기기를 감염시키기를 노립니다.

대가성 거래는 정보나 접근 권한을 받는 대가로 혜택을 제공합니다. 예를 들어 가짜 기술 지원 담당자가 원격 접근 권한을 주면 도와주겠다고 약속하는 경우가 있습니다. 두 수법 모두 이익이나 도움을 얻고자 하는 인간의 욕구를 악용합니다.

사회공학은 심리를 악용하여 성공합니다. 권위(우위에 있는 것처럼 보이는 사람에게 복종함), 긴급성(압박을 받으면 서둘러 행동함), 두려움, 신뢰, 도움을 주려는 마음이 이에 해당합니다.

이러한 유발 요인을 인식하는 것이 첫 번째 방어 수단입니다. 메시지가 즉시 행동하거나 정상적인 절차를 우회하도록 압박한다면, 그 압박 자체가 잠시 멈춰 주의를 기울여야 할 경고 신호입니다.

가장 효과적인 방어는 사람과 절차에 기반합니다.

• 보안 인식 교육을 통해 사용자가 공격을 알아차리도록 합니다.
• 요청을 처리하기 전에 알고 있는 번호로 다시 전화하는 등의 확인 절차를 마련합니다.
• 비밀번호만 도난당해서는 충분하지 않도록 다중 인증을 사용합니다.
• 의심스러운 요청에 대해 질문해도 처벌받지 않고 권장되는 문화를 조성합니다.

경고 신호로는 예상하지 못한 긴급성, 일반적인 인사말, 맞춤법 및 문법 오류, 발신자 주소와 일치하지 않거나 이상한 주소, 실제 목적지가 텍스트와 다른 링크, 자격 증명이나 결제를 요구하는 요청 등이 있습니다.

클릭하기 전에 링크 위에 마우스를 올려 실제 URL을 확인하고, 별도의 경로로 이례적인 요청을 검증하면 대부분의 피싱 시도를 효과적으로 차단할 수 있습니다.

사회공학 공격은 기계가 아니라 사람을 대상으로 하며, 피싱(스피어 피싱, 웨일링, 비싱, 스미싱 포함), 프리텍스팅, 미끼, 테일게이팅 등 다양한 수법을 사용합니다. 사회공학은 권위, 긴급성, 두려움, 신뢰를 악용합니다. 방어 수단은 주로 사람에 기반하며, 인식 교육, 확인 절차, 다중 인증이 핵심입니다.

사회공학은 기술이 아니라 사람을 조종합니다. 피싱과 그 변형 수법(스피어 피싱, 웨일링, 비싱, 스미싱), 그리고 프리텍스팅, 미끼, 테일게이팅은 권위, 긴급성, 신뢰를 악용합니다. 방어 수단은 사람에 기반한 인식 교육, 확인 절차, 다중 인증입니다.