액티브 피싱: 실시간 상호작용으로 진화한 사회공학 공격

메일 이후에도 계속되는 피싱 공격

액티브 피싱(Active Fishing)은 공격자가 피해자와 능동적으로 대화하며 공격을 이어가는 피싱 기법이다. 대량 이메일을 발송하고 응답을 기다리는 방식과 달리, 전화·실시간 채팅·화상 통화 같은 채널을 통해 피해자의 반응을 확인하면서 접근 방식을 조정한다.

공격자는 대화 과정에서 의심을 낮추고 신뢰를 쌓은 뒤 계정 정보, 인증 코드, 금융 정보 등을 요구한다. 그만큼 일반 피싱보다 탐지가 어렵고 성공률과 피해 규모가 커질 수 있다.

표적 정보에서 흔적 제거까지 이어지는 흐름

공격은 표적의 업무 패턴, 관계망, 개인 정보 등을 파악하는 단계에서 시작한다. 이후 상사·동료·서비스 제공업체처럼 신뢰할 수 있는 인물이나 조직으로 위장해 접촉하고, 실시간 대화로 피해자의 경계심을 낮춘다.

⤢✕

SNS, 데이터 유출 정보, 기업 웹사이트는 표적 정보를 확보하는 데 활용될 수 있다. 초기 접촉에는 이메일, 전화, 메시지 앱 등 여러 채널이 쓰인다. 신뢰를 구축할 때는 긴급성·두려움·호기심 같은 심리적 트리거를 이용해 의심을 해소하려 한다.

정보를 확보한 뒤에는 금전 탈취, 계정 탈취, 시스템 침투를 실행하거나 추가 공격의 발판을 마련한다. 마지막으로 공격 흔적을 줄이고 피해자의 인지를 늦추려는 시도가 이어질 수 있다.

대화 채널을 악용하는 공격 방식

보이스 피싱이 실시간 설득으로 바뀔 때

전통적 보이스 피싱에서 발전한 방식은 통화 중 피해자의 반응에 따라 시나리오를 바꾼다. AI 음성 복제 기술로 지인이나 상사의 목소리를 모방하고, 금융기관·공공기관·수사기관을 사칭해 긴급한 상황처럼 보이게 만들 수 있다.

2022년 한국에서 발생한 ‘대검찰청 사칭’ 보이스 피싱 사례에서는 실제 수사관 행세를 하며 피해자와 수 시간 통화하고 계좌 이체를 유도했다.

고객지원 채팅으로 위장하는 피싱

기업 고객 지원 채팅이나 SNS 메시지는 실시간 대화에 익숙한 사용자를 노리기 좋은 접점이 된다. 공격자는 실제 기업의 채팅 인터페이스와 닮은 페이지로 유도한 뒤, 고객지원 담당자인 것처럼 계정 복구나 결제 문제 해결을 명분으로 개인정보를 요구한다.

대형 전자상거래 사이트 고객센터를 사칭한 채팅창에서 ‘주문 확인을 위한 인증’을 요구해 2FA 코드를 탈취하는 사례가 이에 해당한다.

화상 회의의 얼굴과 목소리를 빌리는 방식

비디오 피싱은 화상 회의 도구를 통해 실제로 대면하는 듯한 상황을 만드는 수법이다. 딥페이크 기술로 실제 인물의 얼굴과 목소리를 모방하며, 원격 업무 환경에서 특히 효과적으로 작동할 수 있다.

2021년 홍콩 금융회사 직원이 딥페이크로 제작된 CFO 화상 회의에 참석해 3,500만 달러 이체를 승인한 사례가 알려져 있다.

지인 관계를 악용하는 소셜 미디어 피싱

해킹된 지인 계정이나 유사 계정은 공격자가 신뢰 관계를 악용할 수 있게 한다. 실시간 DM(Direct Message)으로 대화를 시작한 뒤 악성 링크를 전송하고, 팔로워나 친구 관계를 공격의 기반으로 삼는다.

인스타그램에서 친구 계정을 도용해 “이 사진에 네가 있어?”라는 메시지와 함께 피싱 사이트 링크를 공유하는 방식이 대표적이다.

AI와 다중 채널이 공격을 정교하게 만드는 방식

대화형 AI 모델은 자연스러운 대화 생성에, 음성 합성(TTS)은 실제 인물의 목소리 모방에 활용될 수 있다. 얼굴 인식과 딥페이크 기술은 영상 조작 수단이 된다. 공격자는 피해자의 대응 패턴을 학습해 공격 전략을 최적화할 수도 있다.

⤢✕

이메일로 접촉한 뒤 전화나 메시지로 확인 절차를 진행하는 다중 채널 공격도 가능하다. 여러 접점을 교차 검증처럼 보이게 해 신뢰도를 높이고, 공격 성공률을 키우려는 방식이다.

뉴스와 소셜 미디어 트렌드 같은 최신 정보도 공격 시나리오에 반영될 수 있다. 재난, 금융 위기, 팬데믹처럼 시의성이 있는 이슈를 악용하거나 조직 내부 정보를 언급해 신뢰도를 높이는 식이다.

인증·절차·교육을 함께 설계하는 방어

SMS 기반 인증만으로 대응하기보다 하드웨어 토큰, 생체인증, 푸시 알림 기반 인증을 함께 검토할 수 있다. 인증 요청이 발생한 위치·시간·기기 등 맥락을 검증하고, FIDO2/WebAuthn 표준 기반 인증 시스템을 구현하는 방식도 방어 수단이 된다.

임직원은 액티브 피싱 시나리오를 바탕으로 실전 훈련을 받고, 의심스러운 접촉을 받았을 때의 확인 프로토콜을 익혀야 한다. 정보 공유 전 다중 채널 검증을 습관화하고 최신 공격 사례와 트렌드를 공유하는 과정도 필요하다.

기술 통제는 AI 기반 이상 행동 탐지, 이메일·메시지·통화의 다채널 모니터링, 악성 URL 및 첨부파일의 실시간 검사, 제로트러스트 보안 모델 적용으로 구성할 수 있다.

⤢✕

조직 차원에서는 중요 의사결정 검증 프로세스와 금융 거래의 다층 승인 체계를 마련해야 한다. 비정상적 요청을 에스컬레이션하는 절차, 내부 정보 공유 제한, 접근 통제도 함께 갖춰야 한다.

사칭 공격에서 확인해야 할 지점

CEO 사칭 공격에서는 공격자가 CEO의 이메일 스타일과 서명을 모방해 재무 담당자에게 “긴급한 비공개 거래”를 위한 송금을 요청할 수 있다. 담당자가 의심하면 AI로 합성된 CEO 목소리로 확인을 제공하고, 거래의 극비성을 내세워 일반 절차를 우회하게 만든다. 비정상적 금융 거래에는 별도 승인 체계를 적용하고, 음성 확인만으로 중요 거래를 승인하지 않으며, 특정 금액 이상 거래에는 물리적 대면 확인을 요구하는 정책이 필요하다.

기술 지원 사칭 공격은 IT 부서 명의의 “보안 업데이트 필요” 이메일로 시작할 수 있다. 링크는 실제 회사 인트라넷과 유사한 피싱 페이지로 연결되고, 로그인 시도 뒤 “추가 확인 필요”라는 실시간 채팅 창이 나타난다. 공격자는 기술 지원 담당자를 사칭해 원격 접속 도구 설치를 유도한다. 내부 IT 지원의 공식 채널과 절차를 교육하고, 원격 지원 도구 설치 전 IT 부서에 직접 확인하며, 자체 개발한 안전한 원격 지원 도구만 허가해야 한다.

협력사 사칭 공격에서는 실제 협력업체 이메일 계정을 해킹해 정상 비즈니스 대화를 관찰한 뒤 “결제 계좌 변경” 요청을 보낼 수 있다. 의심하는 담당자에게 협력사 대표를 사칭한 전화로 변경 사항을 확인해 주고, 위조 서류로 공식 절차를 따르는 것처럼 꾸민다. 결제 정보 변경은 사전 등록된 연락처로 별도 확인하고, 협력사와 암호화된 포털 같은 안전한 통신 채널을 구축하며, 비정상 거래 패턴을 탐지해야 한다.

공격 환경이 넓어질 때의 대응

데이터 분석과 AI를 이용한 초개인화 공격, 피해자 반응에 따라 전략을 자동 변경하는 실시간 적응형 공격, 여러 통신 채널을 유기적으로 연결하는 조정 공격이 등장할 수 있다. 음성·얼굴 인식 같은 생체인증을 우회하는 기술과 메타버스 환경의 아바타·가상 환경을 악용하는 피싱도 예상된다.

액티브 피싱은 사회공학과 최신 기술을 결합한 복합 위협이다. 기술적 방어만으로는 한계가 있으므로 사람·프로세스·기술의 균형을 갖추고, 새로운 공격 기법을 지속적으로 모니터링하면서 대응 체계를 유연하게 개선해야 한다.