파밍 공격의 원리와 DNS 변조 대응
파밍의 DNS·호스트 파일 변조 원리, 피싱과의 차이, 주요 공격 유형과 인증서·DNS 설정 기반 대응 방법을 정리한다.
2026-08-14 · 최초 발행 2025-06-19
파밍(Pharming)은 사용자가 올바른 웹 주소를 입력해도 공격자가 만든 유사 사이트로 연결되게 하는 공격이다. 주소 변환 요청을 가로채 정상 서비스가 아닌 공격자 서버로 향하게 만든다는 점에서, 링크 클릭을 유도하는 피싱보다 탐지와 방어가 까다롭다. 이름은 ‘농장을 경작한다’는 뜻의 Farming에서 왔으며, 대량의 피해자를 ‘수확’한다는 의미를 담고 있다.
정상 주소가 가짜 사이트로 바뀌는 경로
파밍의 핵심은 도메인 이름과 IP 주소의 연결을 조작하는 데 있다. 사용자가 정상 URL을 입력해도 DNS가 변조된 IP 주소를 돌려주면 브라우저는 그 주소로 연결을 시도한다.
DNS 변조(DNS Poisoning)는 도메인 이름을 IP 주소로 바꾸는 DNS 서버를 공격하는 방식이다. 정상 도메인의 IP 주소를 공격자 서버의 IP로 바꾸면, 사용자는 올바른 도메인을 입력하고도 가짜 웹사이트에 접속하게 된다.
또 다른 경로는 로컬 호스트 파일 변조다. 공격자는 사용자 PC에 침투한 뒤 특정 도메인의 IP 매핑을 바꾼다. Windows에서는 C:\Windows\System32\drivers\etc\hosts 파일이 대상이 될 수 있다. 이 방식은 로컬 DNS 캐시보다 우선 적용되므로 DNS 조회를 우회해 가짜 사이트로 연결할 수 있다.
피싱과 구분되는 공격 조건
피싱(Phishing)은 이메일이나 메시지로 가짜 사이트 링크를 전달해 사용자의 클릭을 유도한다. URL은 정상 사이트와 비슷하지만 다른 형태일 수 있으며, 예를 들어 www.exarnple.com처럼 보일 수 있다. 사용자가 URL을 확인하면 식별할 여지가 있다.
반면 파밍은 DNS나 호스트 파일 자체를 변조한다. 정확한 주소를 입력해도 공격이 성립할 수 있고, 주소창 확인만으로 예방하기 어렵다.
| 구분 | 피싱(Phishing) | 파밍(Pharming) |
|---|---|---|
| 공격방식 | 이메일, 문자메시지 등을 통한 유인 | DNS 서버나 호스트 파일 변조 |
| 사용자 행동 | 링크 클릭 필요 | 정확한 URL 입력해도 감염 |
| 탐지 난이도 | 상대적으로 쉬움 | 매우 어려움 |
| 공격 범위 | 개별적, 타겟팅 | DNS 변조 시 광범위한 피해 |
DNS·단말·라우터를 노리는 방식
DNS 서버 공격형은 ISP나 공용 DNS 서버를 직접 해킹해 DNS 캐시 정보를 바꾸는 유형이다. 한 번의 변조가 대규모 사용자에게 영향을 줄 수 있으며, 2019년 한국 주요 금융기관 DNS 서버 해킹 사례가 언급된다.
로컬 호스트 파일 변조형은 악성코드로 개인 PC의 호스트 파일을 수정한다. 뱅킹 트로이목마와 결합해 배포되기도 하며, 2022년 국내 은행을 사칭한 파밍 공격으로 수억원 피해가 발생한 사례가 있다.
라우터 설정 변조형은 홈·오피스 라우터의 DNS 설정을 바꾸는 방식이다. 해당 네트워크를 사용하는 전체 사용자에게 영향을 미칠 수 있으며, 2020년 가정용 공유기를 대상으로 한 파밍 공격 사례가 있었다.
2021년 금융권 파밍 사기는 코로나19 지원금 관련 문자로 시작됐다. 악성 앱 설치를 유도한 뒤 호스트 파일을 변조하고, 사용자가 은행 앱을 실행하면 가짜 앱으로 연결되게 했다. 이후 개인정보, OTP, 공인인증서를 탈취해 금전 탈취로 이어졌다.
2023년에는 기업 네트워크의 DNS 설정을 변조해 내부 포털 접속을 유사 페이지로 연결하는 기업 타겟 공격도 있었다. 이 공격은 임직원 계정정보를 대량으로 탈취하고, 추가 내부망 침투에 활용됐다.
접속 과정에서 확인할 신호
웹사이트 접속 시 SSL/TLS 인증서 정보를 확인하는 것이 필요하다. 주소창의 자물쇠 아이콘을 보고, 인증서 발급자와 유효기간을 검증한다. HTTPS 사용 여부, 미세한 UI 차이, 오타, 비정상적인 로그인 요구도 함께 살펴볼 대상이다.
DNS 설정도 정기적으로 점검해야 한다. 라우터의 DNS 설정이 바뀌지 않았는지 확인하고, 호스트 파일 무결성을 검사한다.
개인과 조직이 함께 갖춰야 할 방어선
개인 환경에서는 최신 보안 업데이트와 패치를 적용하고, 신뢰할 수 있는 백신 또는 보안 소프트웨어를 사용한다. Google DNS, Cloudflare DNS 등 공인된 DNS 서버를 이용하고, 호스트 파일 접근 제한과 모니터링을 적용할 수 있다. DNSSEC(DNS Security Extensions)를 지원하는 서비스 활용도 대응 수단이다.
중요 사이트는 북마크로 접속하고, 공인인증서·OTP 등 이중 인증을 활용한다. 의심스러운 팝업이나 보안 경고가 나오면 접속을 중단해야 한다. 정기적인 비밀번호 변경과 금융거래 전용 PC 사용도 고려할 수 있다.
기관과 기업은 네트워크 트래픽을 모니터링하고, 캐시 포이즈닝 방지를 포함해 DNS 서버 보안을 강화해야 한다. 임직원 보안 교육, 침해사고 대응 절차, 주기적인 보안 점검과 모의해킹도 방어 체계에 포함된다.
고도화되는 공격과 대응 기술
파밍 공격은 딥페이크를 활용한 사이트 복제, 사용자 행동 패턴 분석 기반의 맞춤형 공격, 자동화된 피해자 식별과 공격 최적화로 발전할 수 있다. IoT 기기의 DNS 설정을 변조해 가정 내 모든 디바이스에 영향을 주거나, 음성 명령을 통해 금융정보 탈취를 시도하는 방식도 언급된다.
5G 환경에서는 새로운 통신 프로토콜 취약점을 악용하거나 모바일 DNS 리졸버를 변조해 빠른 속도로 대량 데이터를 탈취하는 공격이 가능하다.
대응 기술로는 분산 원장을 이용해 DNS 무결성을 보장하고 변조 시도를 실시간 탐지·차단하는 블록체인 기반 DNS가 있다. 사용자 행동 패턴에서 이상 징후를 찾고 비정상 접속 경로를 차단하는 행동 기반 탐지 시스템, 기계학습 기반 위협 인텔리전스도 활용 대상이다. 제로 트러스트 아키텍처는 모든 접근을 지속적으로 검증하고, 컨텍스트 기반 접근 제어와 세션별 위험도 평가·대응을 적용한다.
법적 대응과 국가별 체계
파밍은 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 전자금융거래법, 개인정보보호법 위반과 연관될 수 있다. 최대 10년 이하의 징역 또는 1억원 이하의 벌금이 제시된다.
한국은 금융보안원 주도의 파밍 대응체계를 구축하고 있다. 미국은 FBI 사이버범죄 전담팀을 운영하며, EU는 GDPR 기반 개인정보 침해 대응을 적용한다. 국제적으로는 인터폴의 사이버범죄 공조 수사가 대응 수단으로 활용된다.
파밍은 사용자의 경각심만으로 완전히 막기 어려운 공격이다. DNS 변조와 호스트 파일 수정은 올바른 URL 입력마저 공격 경로로 바꿀 수 있다. 보안 소프트웨어, 안전한 DNS 서버, 인증서 확인, 추가 인증을 결합하고 개인·기업·정부가 다층 방어 전략과 보안 업데이트, 사용자 교육을 이어가야 한다.