피싱이란 무엇인가요?

피싱의 작동 방식

피싱 공격의 기본 요소는 이메일, 소셜 미디어 또는 기타 전자 통신 수단을 통해 보내는 메시지입니다.

피싱 범죄자는 공개 리소스, 특히 소셜 네트워크를 사용하여 피해자의 개인 및 직장 경험에 대한 배경 정보를 수집할 수 있습니다. 이러한 소스는 잠재적 피해자의 이름, 직위, 이메일 주소, 관심사 및 활동과 같은 정보를 수집하는 데 사용됩니다. 그런 다음 피싱범은 이 정보를 사용하여 신뢰할 수 있는 가짜 메시지를 만들 수 있습니다.

일반적으로 피해자가 받는 이메일은 알려진 연락처나 조직에서 보낸 것으로 보입니다. 공격은 악성 첨부 파일 또는 악성 웹 사이트에 대한 링크를 통해 수행됩니다. 공격자는 피해자의 은행, 직장 또는 대학과 같은 신뢰할 수 있는 주체가 소유한 것처럼 보이는 가짜 웹 사이트를 설정하는 경우가 많습니다. 공격자는 이러한 웹 사이트를 통해 사용자 이름, 암호 또는 결제 정보와 같은 개인 정보를 수집하려고 시도합니다.

일부 피싱 이메일은 잘못된 카피라이팅과 글꼴, 로고 및 레이아웃의 부적절한 사용으로 인해 식별될 수 있습니다. 그러나 많은 사이버 범죄자들은 진짜처럼 보이는 메시지를 만드는 데 점점 더 정교해지고 있으며 전문 마케팅 기술을 사용하여 이메일의 효과를 테스트하고 개선하고 있습니다.

피싱 공격의 5가지 유형

#1. 이메일 피싱(Phishing)

대부분의 피싱 공격은 이메일을 통해 전송됩니다. 공격자는 일반적으로 실제 조직을 모방한 가짜 도메인 이름을 등록하고 피해자에게 수천 개의 일반적인 요청을 보냅니다.

가짜 도메인의 경우 공격자는 문자를 추가하거나 바꿀 수 있습니다(예: mybank.com 대신 my-bank.com). 하위 도메인(예: mybank.host.com)을 사용합니다. 또는 신뢰할 수 있는 조직의 이름을 이메일 사용자 이름으로 사용합니다(예: mybank@host.com).

많은 피싱 이메일은 긴박감이나 위협을 사용하여 사용자가 이메일의 출처나 진위 여부를 확인하지 않고 신속하게 규정을 준수하도록 합니다.

이메일 피싱 메시지의 목표는 다음 중 하나입니다.

• 사용자가 디바이스에 멀웨어를 설치하기 위해 악성 웹 사이트에 대한 링크를 클릭하도록 합니다.
• 사용자가 감염된 파일을 다운로드하도록 하고 이를 사용하여 멀웨어를 배포합니다.
• 사용자가 가짜 웹사이트로 연결되는 링크를 클릭하여 개인 데이터를 제출하도록 유도하는 행위
• 사용자가 회신하고 개인 데이터를 제공하도록 합니다.

#2. 스피어 피싱(Spear Phishing)

스피어 피싱 에는 특정 사용자에게 전송되는 악성 이메일이 포함됩니다. 공격자는 일반적으로 피해자에 대한 다음 정보 중 일부 또는 전부를 이미 가지고 있습니다.

• 이름
• 근무지
• 직책
• 이메일 주소
• 직무에 대한 구체적인 정보
• 신뢰할 수 있는 동료, 가족 구성원 또는 기타 연락처 및 해당 글의 샘플

이 정보는 피싱 이메일의 효율성을 높이고 피해자가 송금과 같은 작업 및 활동을 수행하도록 조작하는 데 도움이 됩니다.

#3. 고래잡이

포경 공격은 고위 경영진 및 기타 고위직을 대상으로 합니다. 포경의 궁극적인 목표는 다른 유형의 피싱 공격과 동일하지만 기술은 종종 매우 미묘합니다. 고위 직원은 일반적으로 공개 도메인에 많은 정보를 가지고 있으며 공격자는 이 정보를 사용하여 매우 효과적인 공격을 만들 수 있습니다.

일반적으로 이러한 공격은 악성 URL 및 가짜 링크와 같은 트릭을 사용하지 않습니다. 대신, 그들은 피해자에 대한 연구에서 발견한 정보를 사용하여 고도로 개인화된 메시지를 활용합니다. 예를 들어, 포경 공격자는 일반적으로 가짜 세금 신고서를 사용하여 피해자에 대한 민감한 데이터를 발견하고 이를 사용하여 공격을 준비합니다.

#4. 스미싱(Smishing)과 비싱(Vishing)

이것은 서면 통신 대신 전화를 사용하는 피싱 공격입니다. 스미싱은 사기성 SMS 메시지를 보내는 것을 포함하고, 비싱은 전화 대화를 포함합니다.

일반적인 보이스 피싱 스캠에서 공격자는 신용 카드 회사 또는 은행의 스캠 조사관으로 가장하여 피해자에게 계정이 침해되었음을 알립니다. 그런 다음 범죄자는 피해자에게 신원을 확인하거나 보안 계정(실제로는 공격자의 계정)으로 돈을 이체하기 위해 결제 카드 정보를 제공하도록 요청합니다.

Vishing 스캠에는 신뢰할 수 있는 기관인 척 가장하여 피해자에게 전화 키패드를 사용하여 개인 정보를 입력하도록 요청하는 자동 전화 통화가 포함될 수도 있습니다.

#5. 낚시꾼 피싱(Angler Phishing)

이러한 공격은 잘 알려진 조직에 속한 가짜 소셜 미디어 계정을 사용합니다. 공격자는 합법적인 조직(예: "@pizzahutcustomercare")을 모방하는 계정 핸들을 사용하고 실제 회사 계정과 동일한 프로필 사진을 사용합니다.

공격자는 소셜 미디어 채널을 사용하여 불만을 제기하고 브랜드에 지원을 요청하는 소비자의 경향을 이용합니다. 그러나 소비자는 실제 브랜드에 연락하는 대신 공격자의 가짜 소셜 계정에 연락합니다.

공격자는 이러한 요청을 받으면 고객이 문제를 식별하고 적절하게 대응할 수 있도록 고객에게 개인 정보를 제공하도록 요청할 수 있습니다. 다른 경우에는 공격자가 실제로 악성 웹 사이트인 가짜 고객 지원 페이지에 대한 링크를 제공합니다.

피싱의 징후는 무엇입니까?

위협 또는 긴박감

부정적인 결과를 초래할 수 있는 이메일은 항상 회의적으로 다루어야 합니다. 또 다른 전략은 긴급성을 사용하여 즉각적인 행동을 장려하거나 요구하는 것입니다. 피셔는 서둘러 이메일을 읽음으로써 내용을 철저히 조사하지 않고 불일치를 발견하지 않기를 바랍니다.

메시지 스타일

피싱의 즉각적인 징후는 메시지가 부적절한 언어나 어조로 작성되었다는 것입니다. 예를 들어, 직장 동료가 지나치게 캐주얼하게 들리거나 친한 친구가 격식을 차린 언어를 사용한다면 의심을 불러일으킬 수 있습니다. 메시지 수신자는 피싱 메시지를 나타낼 수 있는 다른 항목을 확인해야 합니다.

비정상적인 요청

이메일에서 비표준 작업을 수행해야 하는 경우 이메일이 악성임을 나타낼 수 있습니다. 예를 들어 특정 IT 팀에서 보낸 것이라고 주장하고 소프트웨어 설치를 요청하는 전자 메일이 있지만 이러한 활동은 일반적으로 IT 부서에서 중앙에서 처리하는 경우 전자 메일은 악의적일 수 있습니다.

언어적 오류

맞춤법 오류와 문법 오용은 피싱 이메일의 또 다른 징후입니다. 대부분의 회사는 이메일 클라이언트에서 발신 이메일에 대한 맞춤법 검사를 설정했습니다. 따라서 철자나 문법 오류가 있는 이메일은 주장된 출처에서 온 것이 아닐 수 있으므로 의심을 불러일으켜야 합니다.

웹 주소의 불일치

잠재적인 피싱 공격을 식별하는 또 다른 쉬운 방법은 일치하지 않는 이메일 주소, 링크 및 도메인 이름을 찾는 것입니다. 예를 들어 보낸 사람의 전자 메일 주소와 일치하는 이전 통신을 확인하는 것이 좋습니다.

수신자는 실제 링크 대상을 보기 위해 링크를 클릭하기 전에 항상 이메일의 링크 위로 마우스를 가져와야 합니다. 이메일이 Bank of America에서 보낸 것으로 생각되지만 이메일 주소의 도메인에 "bankofamerica.com"가 포함되어 있지 않은 경우, 이는 피싱 이메일의 징후입니다.

자격 증명, 결제 정보 또는 기타 개인 정보 요청

많은 피싱 이메일에서 공격자는 공식 이메일로 보이는 이메일에서 연결된 가짜 로그인 페이지를 만듭니다. 가짜 로그인 페이지에는 일반적으로 로그인 상자 또는 금융 계좌 정보 요청이 있습니다. 예상치 못한 이메일인 경우 수신자는 로그인 자격 증명을 입력하거나 링크를 클릭해서는 안 됩니다. 예방 조치로 수신자는 이메일의 출처라고 생각되는 웹 사이트를 직접 방문해야 합니다.