피싱이란?

피싱에 대해 배우고, 공격에서 무엇을 찾아야 하는지, 그리고 온라인에서 안전하게 지내기 위한 도구와 팁으로 자신을 보호하는 방법을 알아보세요.

피싱 정의됨

피싱 공격의 목표는 사람들이 암호나 신용 카드 번호와 같은 개인 정보를 공개하도록 속여서 중요한 데이터를 갈취하거나 손상시키는 것입니다.

핵심 사항

피싱은 공격자가 신뢰할 수 있는 출처로 가장하여 민감한 정보를 훔치는 사이버 공격의 일종입니다.
이러한 공격은 개인이 진짜처럼 보이는 가짜 메시지를 통해 정보를 제공하도록 속이는 방식으로 작동합니다.
피싱 공격은 의심스러운 이메일 주소, 일반적인 인사말, 긴급하거나 위협적인 언어, 낯선 링크를 클릭하라는 요청으로 식별할 수 있습니다.
피싱 공격을 예방하는 가장 좋은 방법은 피싱 방지 다단계 인증(PR-MFA)을 사용하고, 메시지 링크와 첨부파일에 주의하며, 최신 피싱 전술에 대한 정보를 유지하는 것입니다.

일반적인 유형의 피싱 공격

피싱 공격은 신뢰할 수 있는 출처로 가장한 사기꾼들이 모든 종류의 민감한 데이터에 접근할 수 있도록 시도합니다. 이러한 만연한 유형의 사이버 공격은 새로운 기술과 함께 진화하고 있지만, 전술은 일관성을 유지합니다:

안전한 것처럼 가장한 커뮤니케이션
공격자들은 사람들이 그다지 주의를 기울이지 않는 곳(예: 전자 메일 받은 편지함)에 악성 메시지와 첨부 파일을 숨겨 놓음으로써 피해자가 중요한 데이터를 넘기도록 조종합니다. 자신의 받은 편지함으로 수신된 메시지는 안전한 메시지라고 여기기 쉽지만, 피싱 전자 메일은 안전하고 별다른 것 없는 것처럼 보이는 경우가 많기 때문에 주의해야 합니다. 속지 않으려면 하이퍼링크와 발신자의 전자 메일을 주의 깊게 살핀 후에 클릭해야 합니다.

긴박감 필요감 조성
사람들은 행동을 취해야 한다고 생각하기 때문에 피싱에 속는 경우가 많습니다. 예를 들어, 급히 채용을 진행 중인 기업의 채용 담당자는 이력서로 가장한 맬웨어를 다운로드할 수 있고, 계정이 곧 만료된다는 알림을 받은 은행 이용자는 계정을 복구하기 위해 의심스러운 웹 사이트에 은행 자격 증명을 입력할 수 있습니다. 긴박한 필요함을 조성하는 것은 사람들이 쉽게 넘어가는 수법 중 하나입니다. 데이터를 안전하게 보호하려면 치밀한 주의를 기울여서 대응하거나 까다로운 작업을 대신 처리해 주는 전자 메일 보호 기술을 설치하세요.

가짜 신뢰
공격자들은 가짜 신뢰를 형성함으로써 사람들을 속입니다. 이러한 속임수에는 분별력 있는 사람들도 쉽게 넘어갑니다. 피싱 공격자는 Google, Wells Fargo, UPS와 같은 믿을 수 있는 소스로 가장하여 피해자가 속았다는 사실을 알아차리기 전에 행동을 취하도록 유도합니다. 고급 사이버 보안 조치가 적용되지 않은 경우에는 수많은 피싱 메시지가 발견되지 않은 채로 방치됩니다. 의심스러운 콘텐츠가 받은 편지함에 도달하기 전에 식별하여 폐기하는 전자 메일 보안 기술을 사용하여 개인 정보를 보호하세요.

감정 조종
공격자들은 심리 전술을 사용하여 표적이 생각하지도 않고 행동을 취하도록 유도합니다. 사람들이 잘 아는 익숙한 소스로 사칭하여 신뢰를 형성한 후에 가짜 긴박감을 조성함으로써 공포나 불안과 같은 감정을 악용하여 원하는 것을 얻어냅니다. 사람들은 금전적인 손실을 입을 수 있다거나 법적 소송에 휘말릴 수 있다거나 필요한 리소스에 더 이상 액세스할 수 없게 된다고 생각하면 섣부른 결정을 내리는 경향이 있습니다. “지금 바로 행동”해야 한다고 주장하는 메시지는 사기일 가능성이 크니 주의하세요.

가장 일반적인 피싱 공격 유형은 다음과 같습니다.

전자 메일 피싱
가장 흔한 형태의 피싱인 전자 메일 피싱은 가짜 하이퍼링크와 같은 전략을 사용하여 전자 메일 수신자가 자신의 개인 정보를 공유하도록 유도합니다. 공격자는 Microsoft나 Google과 같은 대규모 계정 제공업체나 직장 동료로 가장하는 경우가 많습니다.

맬웨어 피싱
널리 사용되는 또 다른 피싱인 맬웨어 피싱은 전자 메일에 믿을 수 있는 첨부 파일(예: 이력서, 은행 명세서)처럼 보이는 맬웨어를 심어 놓는 공격입니다. 맬웨어 첨부 파일을 여는 것만으로도 IT 시스템 전체가 마비되는 경우도 있습니다.

스피어 피싱
대부분의 피싱 공격은 광범위한 표적을 대상으로 가해지지만 스피어 피싱은 특정 개인을 표적으로 삼아 이들의 직업과 사회생활을 조사하여 수집한 정보를 악용합니다. 이처럼 고도로 맞춤화된 공격이기 때문에 기본적인 사이버 보안을 쉽게 피해 가는 경우가 많습니다.

웨일링
공격자가 비즈니스의 임원이나 유명인과 같은 “대어”를 표적으로 삼는 경우 이를 웨일링이라고 합니다. 이러한 공격자는 표적에 대한 방대한 조사를 수행하여 로그인 자격 증명이나 그 밖의 중요한 정보를 갈취할 적절한 기회를 기다립니다. 표적에 잃을 것이 많을수록 웨일링 공격자는 얻을 것이 많아집니다.

스미싱
“SMS”와 “피싱”을 결합한 조어인 스미싱은 Amazon이나 FedEx와 같이 믿을 수 있는 비즈니스의 커뮤니케이션으로 가장한 텍스트 메시지를 보내는 공격입니다. 문자 메시지는 일반 텍스트로 전송되며 상대적으로 개인적인 내용을 전달하기 때문에 사람들은 SMS 사기에 특히 취약한 경향이 있습니다.

보이스 피싱
보이스 피싱 공격에서는 가짜 콜센터에서 전화를 건 공격자가 전화를 받은 상대방이 중요한 정보를 넘기도록 유도합니다. 이러한 유형의 사기에서는 많은 경우에 소셜 엔지니어링을 사용하여 피해자가 자신의 디바이스에 앱 형태의 맬웨어를 설치하도록 유도합니다.

피싱의 위험

피싱 공격이 성공할 경우 막대한 손해가 발생할 수 있습니다. 금전 손실을 입거나, 신용 카드에 사기성 청구가 발생하거나, 사진, 비디오, 파일에 대한 액세스를 잃어버리거나, 심한 경우에는 사이버 범죄자가 여러분을 가장하여 다른 사람에게 피해를 입힐 수 있습니다.

고용주에게는 기업 자금 손실, 고객 및 동료의 개인 정보 노출, 또는 민감한 파일이 도난당하거나 접근할 수 없게 되는 위험이 포함될 수 있습니다. 데이터 누출은 회사의 평판에 지속적인 부정적인 영향을 미칠 수 있습니다. 경우에 따라 피해가 회복 불가능할 수 있습니다.

Microsoft 위협 인텔리전스가 추적한 몇 가지 실제 사례는 다음과 같습니다.

러시아의 위협 행위자 Star Blizzard는 기자, 싱크탱크 및 비정부 기구를 대상으로 스피어 피싱 메시지를 배포하여 민감한 정보를 훔치려는 시도가 관찰되었습니다.
북한 기반의 Sapphire Sleet는 주로 벤처 자본가로 가장하고, 두 번째로 전문 채용자로 가장하여 1천만 달러 이상의 암호화폐를 훔친 것으로 보고되었습니다.
Storm-2372로 알려진 위협 행위자는 장치 코드 피싱 캠페인을 수행하여 메시징 앱 경험을 활용하여 인증 토큰을 캡처한 것으로 발견되었습니다.

피싱 공격을 인식하는 방법

위협 행위자는 민감한 정보에 접근할 수 있는 다양한 개인을 목표로 할 수 있습니다. 이러한 직원 중 많은 수는 IT, 재무 및 경영진 수준과 같은 전략적 역할에 있습니다. 그러나 위협 행위자는 또한 상사를 가장하여 직원에게 자격 증명을 '요청'할 수 있습니다. 그래서 모든 사람이 의심스러운 메시지에 주의해야 합니다.

피싱 사기의 가장 큰 목표는 중요한 정보와 자격 증명을 갈취하는 것입니다. 중요한 데이터를 요구하거나 신원을 증명하라고 요구하는 메시지(전화, 전자 메일 또는 문자)는 주의하여 살펴보세요.

공격자는 널리 알려진 익숙한 조직을 사칭하며 잘 알려진 브랜드나 개인의 로고, 디자인 및 인터페이스를 그대로 사용합니다. 경계심을 늦추지 말고, 메시지가 진짜임이 확실하지 않은 이상 링크를 클릭하거나 첨부 파일을 열지 마세요.

다음은 피싱 전자 메일을 식별하기 위한 팁입니다.

긴급한 위협이나 행동 촉구, 예를 들어 즉시 열어보세요와 같은 문구.
처음 보거나 자주 소통한 적이 없는 발신자, 나에게 처음으로 전자 메일을 보낸 모든 사람.
맞춤법과 문법 오류, 종종 외국어를 낮은 품질로 번역한 경우.
의심스러운 링크나 첨부 파일, 다른 IP 주소나 도메인이 링크된 하이퍼링크 텍스트.
micros0ft.com 또는 rnicrosoft.com과 같은 미묘한 맞춤법 오류.

피싱 공격 방지

피싱 공격으로부터 자신을 보호하기 위해 취할 수 있는 몇 가지 실용적인 단계는 다음과 같습니다.

징후를 인식합니다. 예를 들어, 낯선 인사말, 원치 않는 메시지, 문법 및 철자 오류, 긴급한 느낌, 의심스러운 링크나 첨부파일, 개인 정보 요청 등이 있습니다.
의심스러운 항목을 보고합니다. 의심스러운 메시지는 조직의 IT 부서에 신고하거나 지정된 신고 도구를 통해 플래그를 지정하세요.
보안 소프트웨어를 설치합니다. 안티바이러스 프로그램이나 방화벽과 같은 피싱 시도를 탐지하고 차단하도록 설계된 소프트웨어를 배포하세요.
MFA(다단계 인증)가 필요합니다. 이 단계에서는 추가 보안 계층을 추가합니다. 사회 공학에 대한 보호를 제공하는 피싱 방어 다중 인증(PR-MFA)을 통해 더 나아가세요.
교육 및 학습을 통해 최신 정보를 확인하세요. 정기적인 교육 세션은 여러분과 동료들이 피싱 시도를 올바른 경로로 식별하고 신고하는 데 도움이 될 수 있습니다. 공격 방법은 끊임없이 진화하고 있으므로, 사이버 보안의 최신 동향과 위협 인텔리전스 업데이트를 주의 깊게 살펴보는 것이 좋습니다.

피싱 공격에 대응

피싱 시도를 발견했을 때, 잠재적인 피해를 최소화하기 위해 신속하게 행동하는 것이 중요합니다.

응답하지 마세요. 간단한 답장조차도 공격자에게 귀하의 이메일 주소가 활성화되어 있음을 확인시켜 줄 수 있으며, 이는 그들이 계속 시도하도록 용기를 줄 수 있습니다.
암호를 변경합니다. 자격 증명이 유출되었다고 의심되면 즉시 암호를 변경하세요. 현재 MFA를 사용하지 않는 경우 MFA를 구현하세요.
IT 팀에 경고합니다. 피싱 시도에 대해 알리는 것은 귀하의 조직 네트워크 전반에 걸쳐 피해를 완화하는 데 도움이 되는 사고 대응을 촉발할 수 있습니다.
피싱 시도를 보고합니다. 지정된 신고 도구를 사용하거나 IT 팀에서 제공하는 지침을 따르세요.
계정을 모니터링합니다. 금융 계좌와 같은 민감한 데이터가 있는 계정을 정기적으로 확인하여 의심스러운 활동이 있는지 확인하세요.
동료를 교육합니다. 팀에게 피싱 시도와 주의해야 할 사항을 알려주세요. 이 간단한 단계가 집단적으로 방어력을 강화할 수 있습니다.

이러한 단계를 적용하고 즉각적으로 행동함으로써 추가 피해의 위험을 크게 줄이고 개인 및 조직 데이터를 보호할 수 있습니다.

피싱 추세

위협 행위자들은 피싱 계획을 수행하기 위해 다양한 맬웨어를 사용합니다. 가장 일반적인 항목은 다음과 같습니다.

랜섬웨어는 가장 일반적인 유형의 악성 소프트웨어 중 하나입니다. 이들은 파일을 암호화하거나 컴퓨터 화면을 잠그고, 데이터에 대한 접근을 제한한 후, 피해자로부터 금전을 갈취하려고 합니다.

스파이웨어는 장치를 감염시킨 후, 장치와 온라인에서 활동을 모니터링하여 로그인 자격 증명 및 개인 데이터와 같은 민감한 정보를 수집합니다.

봇을 사용하면 공격자가 디바이스를 감염시키고 제어할 수 있습니다. 봇넷은 명령 및 제어(C&C) 서버를 사용하여 악의적인 활동을 수행하기 위해 더 넓은 네트워크를 형성하는 봇의 네트워크입니다.

바이러스는 가장 오래된 형태의 맬웨어 중 하나입니다. 이들은 깨끗한 파일에 부착되어 다른 파일과 프로그램으로 퍼집니다.

트로이 목마는 자신을 일반 소프트웨어로 가장합니다. 설치되면, 장치를 제어하고 다른 맬웨어를 위한 백도어를 생성하는 악성 코드를 퍼뜨립니다.

공격자들은 또한 더 정교하고 탐지하기 어려운 AI 생성 맬웨어를 사용하고 있으며, 이는 합법적인 소프트웨어 행동을 모방하고 보안을 회피하기 위해 코드를 재생성합니다.

악성 소프트웨어의 이러한 빠른 진화는 보안 전문가들이 사이버 보안을 위한 AI를 활용하기 위한 유사한 기술을 개발하도록 촉구했습니다:

확장 탐지 및 대응(XDR) 솔루션은 엔드포인트 탐지 및 대응(EDR), AI 및 머신 러닝(ML)과 기타 도구를 단일 클라우드 기반 플랫폼으로 통합합니다.

관리형 탐지 및 대응(MDR)은 기술과 인간의 전문성을 결합하여 사이버 보안을 강화합니다.

보안 정보 및 이벤트 관리(SIEM) 솔루션은 다양한 출처의 데이터를 분석하여 위협 탐지 및 사고 대응을 향상시킵니다.

이러한 솔루션을 결합함으로써 조직은 포괄적인 사이버 위협 헌팅, AI 기반 탐지 및 분석, 그리고 전체 디지털 자산에 걸친 자동화된 대응 기능을 갖추게 됩니다.

피싱 공격으로부터 자신을 보호하세요

피싱 공격으로부터 자신과 회사를 보호하려면 경계, 교육 및 강력한 보안 조치의 조합이 필요합니다. 정기적인 교육 및 인식 프로그램은 여러분과 동료들이 피싱 시도를 인식하고 대응하는 데 도움이 될 수 있습니다. 강력하고 고유한 암호를 사용하고, 다중 인증(MFA)을 구현하며, 의심스러운 메시지를 IT 부서에 신고하세요.

조직은 Office 365용 Microsoft Defender를 통해 피싱 및 기타 사이버 위협으로부터 앱과 장치를 보호할 수 있습니다. 이것은 이메일 및 협업 도구를 안전하게 하고, 고급 보호를 제공하며, 회사의 전반적인 보안 태세를 강화하는 데 도움이 됩니다. Defender for Office 365는 또한 AI 기반의 위협 탐지 및 대응 기능, 자동화된 복구 및 사이버 공격 시뮬레이션 교육을 제공하여 조직이 진화하는 위협에 앞서 나갈 수 있도록 돕습니다.

예방 조치

피싱을 방지하기 위한 빠른 팁

표시 이름 믿지 않기

메시지를 열기 전에 보낸 사람의 전자 메일 주소를 확인하세요. 표시 이름은 가짜일 수 있습니다.

오타 확인하기

피싱 전자 메일에서는 맞춤법 오류와 문법 오류를 빈번하게 볼 수 있습니다. 무언가가 이상하다고 생각되면 일단 스팸으로 분류하세요.

클릭하기 전에 살펴보기

진짜처럼 들리는 내용이더라도 하이퍼링크에 커서를 갖다 대고 링크 주소를 조사하세요.

인사말 읽기

전자 메일이 본인의 이름이 아닌 “고객님”을 지칭한다면 주의하세요. 사기 메일일 수 있습니다.

서명 검토하기

전자 메일 바닥글의 연락처 정보를 확인하세요. 사기꾼이 아닌 실제 발신자는 항상 연락처 정보를 포함합니다.

위협에 주의하기

“계정이 일시 정지되었습니다”와 같이 공포감을 조성하는 문구는 피싱 전자 메일의 특징입니다.

리소스

Microsoft Security가 피싱으로부터 어떻게 보호할 수 있는지 알아보세요.

솔루션

피싱 방지 및 예방 솔루션

강력한 이메일 보안 및 인증으로 피싱 공격을 탐지하고 수정하는 데 도움을 줍니다.

자세한 정보

솔루션

통합 보안 작업

하나의 강력한 보안 운영 플랫폼으로 사이버 위협을 앞지르세요.

자세한 정보

위협 방지 포털

사이버 보안 및 AI 뉴스

피싱 보호와 사이버 보안용 AI 관련 최신 추세와 모범 사례를 살펴보세요.

최신 리소스 받기

피싱은 공격자가 개인에게 사용자 이름, 암호, 신용 카드 번호 또는 기타 개인 정보를 제공하도록 속이려는 사이버 공격의 일종입니다. 이는 일반적으로 이메일, 문자 메시지 또는 웹사이트와 같은 전자 통신에서 신뢰할 수 있는 엔티티로 가장하여 수행됩니다.
대부분의 경우, 공격자는 이메일, SMS(문자 메시지), 전화 또는 웹사이트를 통해 수신자에게 메시지를 보냅니다. 메시지는 맞춤형으로 작성되어 합법적인 출처에서 온 것처럼 보이며, 수신자에게 민감한 정보를 보내거나 자격 증명을 훔치기 위해 설계된 가짜 웹사이트로 연결되는 링크를 클릭하도록 긴급하게 요청합니다.
피싱 공격으로부터 자신을 보호하는 가장 좋은 방법은 장치가 피싱 방어 다중 인증(PR-MFA)으로 구성되어 있는지 확인하는 것입니다. 의심스러운 콘텐츠는 조직의 보안 팀에 보고해야 합니다. 교육 및 인식 프로그램에 참여하여 피싱 시도를 인식하고 대응하는 방법을 알아두면 도움이 됩니다.
다음과 같은 것들이 일반적인 피싱 공격에 속합니다.
이메일 피싱(가장 일반적): 공격자는 합법적으로 보이는 이메일을 보내 수신자가 회사 자원에 대한 접근을 잃지 않도록 신속하게 행동하도록 유도합니다.

스미싱: SMS를 통한 피싱으로, 수신자에게 링크를 클릭하거나 정보를 제공하도록 유도합니다.

스피어 피싱: 공격자가 신뢰할 수 있는 출처, 예를 들어 상사를 가장하여 정보를 훔치는 표적 방법입니다.

비싱: 전화 통화를 통한 피싱으로, 민감한 정보를 수집합니다.
피싱은 정보를 훔치는 가장 효과적인 방법 중 하나로, 개인과 조직 모두에게 심각한 결과를 초래할 수 있습니다. 성공적인 피싱 공격은 개인 및 직업 정보를 노출시킬 수 있으며, 민감한 데이터에 대한 무단 접근, 재정적 손실, 평판 손상으로 이어질 수 있습니다.