피싱 공격의 유형과 사회공학 방어 전략

피싱은 사용자의 신뢰와 판단을 노린다

피싱(Phishing)은 공격자가 신뢰할 수 있는 기관 또는 개인으로 위장해 사용자의 민감한 정보를 탈취하는 사회공학 기법이다. 명칭은 낚시(fishing)에서 왔으며, ph 표기는 Phone Phreaking에서 파생된 해킹 커뮤니티의 표기 방식과 연결된다.

공격자는 이메일, 문자메시지, 위조 웹사이트를 주로 이용해 계정 정보, 신용카드 번호, 개인식별정보(PII)를 수집한다. APWG(Anti-Phishing Working Group)는 이를 사용자가 개인 식별 정보와 금융 계정 자격 증명을 공개하도록 속이기 위해 설계된 사회공학 공격의 한 형태로 정의한다.

공격 채널과 표적에 따라 달라지는 피싱

전통적 피싱은 은행, 결제 서비스, 소셜 네트워크를 사칭한 메일을 대량 발송하고, 수신자를 가짜 웹사이트로 유도한다. 개별 성공률은 낮아도 무차별 발송을 통해 피해자를 만든다.

스피어 피싱은 특정 개인이나 조직을 겨냥한다. 공격자는 표적의 정보를 미리 수집하고, 이를 바탕으로 개인화된 메시지를 만들어 신뢰를 높인다. 일반 피싱보다 성공률이 10배 이상 높으며, 기업 임원이나 정부 관계자처럼 가치가 높은 표적이 주요 대상이 된다.

고래 피싱(Whaling)은 스피어 피싱 중에서도 CEO, CFO 같은 고위 임원을 노린다. 자금 이체처럼 직접적인 금전 피해로 이어질 수 있다. Ubiquiti Networks는 2016년 CEO를 대상으로 한 고래 피싱으로 4,700만 달러의 손실을 입은 사례가 있다.

스미싱(Smishing)은 SMS와 Phishing의 합성어로, 문자메시지를 통해 악성 웹사이트나 악성 앱 설치로 유도한다. 모바일 기기 보편화와 함께 증가했으며, 2021년 KISA 통계에서는 전년 대비 37% 증가했다.

비싱(Vishing)은 음성 통화를 이용하는 피싱이다. 공공기관이나 금융기관을 사칭해 전화로 개인정보를 요구하고, 발신번호 조작(Call Spoofing)으로 신뢰도를 높이기도 한다.

파밍(Pharming)은 DNS 포이즈닝 또는 호스트 파일 변조를 이용한다. 사용자가 정상 URL을 입력해도 가짜 사이트에 연결될 수 있어, 단순한 사용자 주의만으로 방어하기 어렵다. 기술적 공격과 사회공학 요소가 결합된 형태다.

⤢✕

긴급성과 권위를 이용하는 설계

피싱 메시지는 기술적 위장만으로 성립하지 않는다. 사용자가 충분히 확인할 시간을 갖지 못하도록 심리적 압박을 설계한다. 예를 들어 “24시간 내 조치하지 않으면 계정 정지”와 같은 문구는 긴급성을 만들어 이성적 판단을 방해한다.

공공기관, 금융기관, 상사를 사칭하는 방식은 권위에 대한 신뢰를 활용한다. 벌금이나 법적 조치를 내세우는 공포, 상품이나 환급을 내세우는 보상 심리도 공격자가 자주 사용하는 미끼다.

기술적으로는 paypa1.com, g00gle.com처럼 유사한 도메인을 사용하거나 bit.ly, tinyurl 같은 URL 단축 서비스로 실제 주소를 가린다. 정상 서비스의 로고, 레이아웃, 폰트를 모방하고 HTTPS 인증서의 자물쇠 아이콘까지 이용해 신뢰감을 높이기도 한다.

피싱은 악성코드 배포 경로가 되기도 한다. 키로거(Keylogger)는 키보드 입력을 기록해 계정 정보를 탈취하며, 랜섬웨어(Ransomware)는 이메일 첨부파일이나 링크를 통해 감염을 유도한다. 원격접속 트로이목마(RAT)는 공격자에게 피해자 시스템을 원격으로 제어할 권한을 제공한다.

피해로 이어진 피싱 캠페인

2020년 코로나19 관련 피싱 캠페인에서는 WHO, CDC 등 보건기관을 사칭한 이메일이 ‘코로나19 최신 정보’를 미끼로 사용됐다. 공격자는 첨부파일로 악성코드를 배포하거나 가짜 기부금 모금 웹사이트로 수신자를 유도했으며, IBM X-Force 데이터에서는 전 세계적으로 수십만 건 이상의 피해 사례가 보고됐다.

2022년에는 국내 금융기관을 사칭해 “OO은행 보안 강화를 위한 인증 필요”와 같은 문자를 보내는 스미싱이 나타났다. 공식 앱처럼 보이는 악성 앱 설치를 유도해 SMS와 공인인증서를 탈취하는 방식이며, 금융감독원은 2022년 상반기 피해액을 약 295억원으로 집계했다.

2019년 일본 자동차 부품 제조업체를 노린 BEC(Business Email Compromise) 공격에서는 CEO를 사칭한 이메일이 재무담당자에게 해외 계좌 이체를 지시했다. 이 사례의 금전적 손실은 총 3,700만 달러였다.

필터링부터 사용자 검토까지 이어지는 방어선

기술적 통제는 피싱을 완전히 없애기보다 공격이 사용자에게 도달하고 피해로 전환되는 경로를 줄이는 역할을 한다. 이메일 인증에는 SPF, DKIM, DMARC를 적용하고, 악성·피싱 URL을 차단하는 웹 필터링을 사용한다. 최신 보안 패치와 안티바이러스 솔루션을 포함한 엔드포인트 보호, 계정 탈취 뒤에도 추가 보안 계층을 제공하는 다중 인증(MFA)도 함께 필요하다.

⤢✕

조직 차원에서는 정기적인 보안 인식 교육과 모의 피싱 훈련이 필요하다. 이메일 처리와 금융 거래 승인에 관한 명확한 프로토콜을 마련하고, 피싱 발생 시 신속하게 대응할 수 있는 절차도 갖춰야 한다. 제로 트러스트(Zero Trust) 모델의 “항상 검증, 절대 신뢰하지 않음” 원칙은 이런 통제를 설계하는 기준이 된다.

개인 사용자는 링크를 클릭하기 전 실제 URL을 확인하고, 이메일 주소와 전화번호가 정확한지 검증해야 한다. 이메일이나 문자로 개인정보 또는 계정 정보를 요구하면 의심하고, 링크 대신 공식 웹사이트에 직접 접속하는 편이 안전하다. 예상하지 못한 첨부파일은 실행하지 않는 습관도 필요하다.

AI와 새로운 접점이 넓히는 공격 표면

피싱은 딥페이크(Deepfake)를 이용한 음성·영상 피싱, 자연어 처리(NLP)를 통한 정교한 메시지 생성, AI 자동화를 통한 표적형 피싱의 대규모화 가능성으로 확장되고 있다.

소셜 미디어 역시 피싱 채널이 될 수 있다. 메타버스와 VR/AR 환경에서는 새로운 형태의 피싱이 등장할 가능성이 있으며, IoT 기기를 대상으로 한 공격도 확대될 수 있다.

방어 측에서는 행동 기반 분석(Behavioral Analytics)으로 비정상 패턴을 감지하고, 블록체인을 활용한 신원 확인 메커니즘을 강화하는 접근이 제시된다. AI 기반 대응 시스템도 실시간 위협 탐지와 차단을 고도화하는 방향으로 발전하고 있다.

피싱은 기술적 취약점만 겨냥하는 공격이 아니라 인간의 심리를 이용하는 공격이다. 정보보안 관리자는 최신 피싱 트렌드를 지속적으로 모니터링하면서 기술적·관리적 조치를 균형 있게 구현해야 한다. 인간, 프로세스, 기술을 함께 다루고 의심하는 습관을 조직에 정착시키는 일이 방어의 기반이 된다.