피싱·파밍·악성 AP 공격과 다층 방어 전략

사용자를 노리는 공격은 전달 경로를 넓혀 왔다

사용자를 속이는 공격은 단순한 피싱에서 파밍, 악성 AP 활용, 멀티벡터 공격으로 확장돼 왔다. 이런 위협은 기술적 통제만으로 막기 어렵다. 사용자의 인식과 기술적 대응을 함께 설계해야 한다.

피싱은 신뢰를 가장해 정보를 빼낸다

피싱은 낚시(fishing)에서 유래한 말로, 은행·정부기관·소셜 미디어처럼 신뢰받는 기관을 사칭해 개인정보를 탈취하는 사회공학적 공격이다. 이메일, SMS(스미싱), 음성통화(보이스피싱), 메신저 앱이 주요 전달 매체가 되며, 계정 정보·금융 정보·개인식별정보(PII)가 표적이 된다.

이메일 피싱은 정교한 디자인으로 정상 안내처럼 보이게 만드는 흔한 형태다.

예시: "귀하의 계정이 보안 위반으로 정지되었습니다. 여기를 클릭하여 확인하세요."

스피어 피싱(Spear Phishing)은 특정 개인이나 조직을 겨냥한다. 공격자는 대상에 관한 정보를 미리 수집하고 개인화된 내용으로 접근하므로 일반 피싱보다 성공률이 높다. 클론 피싱(Clone Phishing)은 기존의 정상 메시지를 복제한 뒤 악성 링크로 바꾸며, 웨일링(Whaling)은 고위 임원진 같은 ‘큰 물고기’를 노린다.

2020년 트위터 해킹 사건에서는 직원 대상 피싱으로 내부 관리 도구에 접근했고, 버락 오바마와 일론 머스크 등 유명인 계정이 탈취됐다. 이 사건에서 비트코인 사기로 약 118,000달러가 탈취됐다.

정상 주소 입력도 안전하지 않은 파밍

파밍은 DNS 시스템을 조작해 사용자를 악성 웹사이트로 리디렉션하는 공격이다. 피싱이 사용자의 클릭을 유도해야 한다면, 파밍은 주소창에 올바른 URL을 입력한 경우에도 공격이 가능하다는 차이가 있다.

⤢✕

DNS 캐시 포이즈닝(DNS Cache Poisoning)은 DNS 서버의 캐시를 바꿔 정상 도메인이 악성 IP로 연결되도록 한다. 다수 사용자에게 동시에 영향을 줄 수 있다. 또 다른 경로는 로컬 컴퓨터의 hosts 파일 변조다. 악성코드가 이를 실행하면 DNS 요청 이전에 라우팅 경로가 변경된다.

방어에는 DNSSEC(DNS Security Extensions)를 적용해 디지털 서명으로 DNS 데이터를 인증하고, 알려진 악성 도메인을 막는 DNS 필터링을 활용할 수 있다. HTTPS 연결과 인증서 유효성을 확인하고, OS·브라우저·네트워크 장비를 정기적으로 업데이트하는 일도 필요하다.

가짜 무선망이 만드는 중간자 경로

악성 AP(Access Point)는 공격자가 설치한 가짜 무선 액세스 포인트로, 중간자 공격의 한 형태다. 합법적인 Wi-Fi 네트워크로 위장하며 암호화되지 않은 모든 데이터를 탈취할 수 있다.

⤢✕

이블 트윈(Evil Twin) 공격은 정상 AP와 동일한 SSID를 사용하고 더 강한 신호로 사용자의 연결을 유도한다. 캡티브 포털 피싱은 공공 Wi-Fi 로그인 페이지를 모방해 인증정보를 탈취한다.

2018년 러시아 월드컵 당시 모스크바에서는 수백 개의 악성 AP가 발견됐다. 이들은 무료 Wi-Fi를 표방하며 방문객 정보를 탈취했다. 공공 Wi-Fi를 이용할 때는 VPN을 활용하고, 중요 사이트는 모바일 데이터로 접속하는 방안이 권장된다. 연결 전 AP의 진위를 확인하고 HTTPS 웹사이트만 이용해야 한다.

공격 수단을 조합하는 멀티벡터 공격

멀티벡터 공격은 여러 공격 기법을 동시에 또는 연속적으로 쓰는 복합 전략이다. 다양한 취약점을 함께 공략하고 방어 자원을 분산시키며, 탐지와 방어를 우회할 가능성을 높인다.

DDoS 공격으로 보안팀의 주의를 분산시킨 뒤 혼란 속에서 피싱을 실행할 수 있다. 소셜 엔지니어링으로 초기 접근을 얻고 악성코드를 설치해 지속적 접근을 확보하는 조합도 있다. 피싱으로 초기 인증정보를 얻은 뒤 파밍으로 추가 접근 경로를 만들고, 악성 AP로 네트워크 트래픽을 감시하는 방식도 가능하다.

2020년 SolarWinds 공격은 공급망 공격으로 초기 진입한 뒤 내부 이동을 위해 여러 기법을 활용했다. 이 공격은 9개월 이상 탐지되지 않았으며, 미국 정부 기관과 주요 기업에 피해를 줬다.

방어는 단일 제품이 아니라 운영 체계다

다층 방어(Defense-in-Depth)는 사용자 교육, 기술적 방어, 정책 및 절차, 인시던트 대응을 함께 구성하는 접근이다.

⤢✕

이메일 보안에서는 SPF, DKIM, DMARC 구현과 AI 기반 피싱 탐지 솔루션을 고려할 수 있다. 웹 계층에서는 HTTPS 강제 적용, 웹 필터링과 평판 시스템, 취약점 스캐닝 및 패치 관리가 필요하다.

네트워크에서는 비정상 트래픽을 모니터링하고 악성 AP 탐지 솔루션, DNS 필터링, DNSSEC를 활용한다. 엔드포인트에는 고급 EDR(Endpoint Detection and Response) 솔루션, 애플리케이션 허용 목록(Whitelisting), 행위 기반 탐지를 적용할 수 있다.

기술 통제는 사용자의 대응 역량과 분리할 수 없다. 정기적인 피싱 시뮬레이션 훈련, 보안 인식 프로그램, 실시간 위협 알림 시스템, 의심 사례를 공유할 수 있는 보고 문화가 함께 운영돼야 한다.

AI·IoT 환경에서 커지는 공격 표면

AI 기반 공격은 딥페이크를 이용한 고급 피싱, 자동화된 타겟팅과 콘텐츠 생성, 사용자 행동 학습 및 모방으로 나타날 수 있다. IoT 환경이 확대되면서 스마트 기기를 통한 새로운 공격 벡터, 가정 및 산업용 IoT 기기 표적화, 대규모 봇넷 구성 위험도 커진다.

이 환경에서 제로트러스트 아키텍처는 “항상 확인, 절대 신뢰하지 않음” 원칙을 따른다. 최소 권한을 적용하고, 인증과 승인을 지속하며, 세그먼테이션과 마이크로 경계를 설정하는 방식이다. 피싱·파밍·악성 AP·멀티벡터 공격에 대응하려면 단일 솔루션에 기대기보다 공격 표면을 줄이고 탐지와 대응 능력을 강화하는 보안 태세가 필요하다.