피싱 사기: 탐지하고 피하는 방법

피싱은 인터넷의 초창기부터 존재해 온 가장 오래된 사이버 범죄 위협 중 하나입니다.

그러나 피싱 사기는 모든 조직이 직면한 가장 큰 사이버 보안 위협 중 하나이며 소프트웨어나 하드웨어 대신 사람 을 대상으로 한다는 점에서 독특합니다.

즉, 가장 비싼 사이버 보안 인프라에 투자했더라도 취약한 직원 한 명이 피싱 사기에 노출되면 조직이 위험에 처할 수 있습니다. 이것이 피싱이 위험한 주요 이유 중 하나입니다.

불행히도, 피싱의 위험은 최근 몇 년 동안 질적으로나 양적으로 모두 증가했습니다. APWG(Anti-Phishing Working Group)의 피싱 활동 동향 보고서에 따르면 2022년 3월까지 1,025,968건의 피싱 공격이 있을 것이며 이는 2021년 4분기보다 15% 증가한 수치입니다. 최근 몇 년.

이 기사에서는 피싱이 무엇인지, 피싱을 식별하는 방법, 조직이 피싱 공격으로부터 직원과 고객을 보다 효과적으로 보호할 수 있는 방법에 대해 함께 배웁니다.

이 가이드를 마치면 다음에 대해 배웠을 것입니다.

• 피싱 사기란 무엇입니까?
• 2022년의 다양한 피싱 유형
• 피싱 시도를 인식하는 방법
• 피싱으로부터 비즈니스를 보호하는 방법
• 성공적인 피싱 시도와 실패한 피싱 시도를 모두 보고하고 피해를 줄이는 방법
  

바로 이 가이드를 시작하겠습니다.

피싱 사기란 무엇입니까?

피싱은 가해자가 유명인이나 합법적인 기관으로 가장하여 표적 피해자(또는 피해자)에게 연락하여 개인 식별 정보(PII)와 같은 기밀, 민감 및/또는 귀중한 정보를 제공하도록 유도하는 사이버 범죄 유형입니다. , 은행 세부 정보, 신용 카드 정보, 계정 자격 증명 등.

"피싱"이라는 이름은 낚시와 유사하며 사이버 범죄가 피해자의 자격 증명, 비밀번호 및 기타 민감한 정보를 "낚시"하는 방법을 나타냅니다.

피싱이라는 단어는 1996년경 해커가 당시 인기 있던 AOL(America Online) 계정을 훔쳐 처음 사용했습니다. 1990년대 후반의 해커들은 "f"(즉, "phreaks")를 대체하는 문자 "ph"를 사용하는 경향이 있어 "피싱"이라는 이름이 붙었습니다.

전통적으로 피싱은 이메일을 통해 이루어졌지만 이제는 전화, 문자 메시지, 소셜 미디어 댓글, 소셜 미디어 DM, 블로그 댓글 등 다양한 커뮤니케이션 매체에서 피싱이 발생할 수 있습니다.

사이버 범죄자가 피싱을 수행하는 이유는 무엇입니까?

짧은 대답은 도난당한 정보를 수익화하는 것입니다.

대부분의 다른 범죄 활동(사이버 범죄 포함)과 마찬가지로 피싱 공격의 대부분은 그 배후에 재정적 동기가 있습니다.

그러나 개인의 복수나 정치적인 이유(예: 흑인 캠페인)와 같이 동기가 재정적이지 않지만 상대적으로 드문 경우가 있습니다.

그렇다면 사이버 범죄자는 어떻게 피싱으로 돈을 벌 수 있습니까? 수익 창출 기술을 이해하면 피싱 시도를 식별하는 데 도움이 될 수 있으며 다음은 몇 가지 예입니다.

• 신용 카드 정보를 도용한 다음 신용 카드 정보를 사용하여 인터넷에서 상품을 구매합니다.
• 예를 들어 갈취는 사이버 범죄자가 민감한 정보를 성공적으로 추출한 다음 피해자에게 돈을 지불하도록 갈취하거나 그렇지 않으면 정보를 대중에게 공개할 것입니다.
• 민감한/개인 정보를 다른 당사자(즉, 경쟁자, 다른 해커)에게 판매하는 행위. 다크 웹에서의 일반적인 관행.
• 귀하의 정보를 사용하여 다른 사기/사이버 범죄 활동을 시작하는 경우(예: 귀하의 계정을 사용하여 친구에게 연락하여 사기를 치는 것).

피싱 공격의 구조

피싱은 사회 공학의 한 형태로, 인간 상호 작용을 통해 달성되는 광범위한 범죄 활동을 가리키는 데 사용되는 포괄적인 용어입니다.

피싱은 피해자가 민감한 정보를 누설하거나 보안 실수를 하도록 속이기 위해 심리적 조작에 의존합니다.

사이버 범죄자는 피싱 공격에 다양한 기술과 체계를 사용할 수 있지만 일반적으로 다음 패턴을 따릅니다.

1. 가해자는 먼저 표적 피해자 및/또는 그들이 처한 환경을 조사하여 잠재적인 보안 취약성 및 기타 약점과 같은 필요한 정보를 수집합니다.
2. 가해자는 피해자의 신뢰를 얻기 위해 접촉을 시작합니다.
3. 가해자는 다음 중 하나입니다.
   1. 피해자의 긴박감을 유발할 수 있는 가치 있는 것을 제공합니다.
   2. 일반적으로 가상의 위협으로 대상 피해자에게 두려움을 심어줍니다(예: "귀하의 계정이 곧 삭제되며 귀하의 신원을 확인해야 합니다").
4. 피해자는 속아서 자신의 개인 정보나 자격 증명을 누설합니다.

예를 들어:

1. 가해자는 Gmail 사용자를 대상으로 삼고 Gmail 플랫폼과 정책을 조사했습니다.
2. 가해자는 Google의 공식 주소와 유사한 이메일 주소(예: "Google.biz" 도메인 이름)를 사용하여 Gmail 사용자에게 이메일을 보냈습니다.
3. 이메일은 즉각적인 조치(예: 비밀번호 변경, 보안 질문 변경 등)가 필요한 정책 위반을 사용자에게 알리고 이메일에는 Gmail 로그인 페이지와 거의 동일한 가짜 웹사이트에 대한 링크가 포함됩니다.
4. 피해자는 가짜 로그인 페이지에 현재 자격 증명을 입력하고 자격 증명은 공격자에게 효과적으로 전송됩니다.

이것은 사이버 범죄자들이 일상적으로 수행하는 다양한 피싱 기술과 계획의 한 예일 뿐입니다. 그러나 피싱 공격을 몇 가지 주요 유형으로 분류할 수 있으며 이에 대해서는 아래에서 설명합니다.

다양한 유형의 피싱 공격

1. 이메일 피싱

가장 기본적인 유형의 피싱 사기는 이름에서 알 수 있듯 가해자가 알려진 브랜드나 사람을 사칭하면서 이메일을 보내는 것입니다.

이메일에는 악성 웹사이트에 대한 링크나 수신자의 기기를 감염시키는 악성코드가 포함된 첨부 파일이 포함됩니다.

식별 방법:

사이버 범죄자들이 이메일 피싱을 시작하는 데 점점 더 정교해지고 있지만 일반적으로 다음 징후를 찾을 수 있습니다.

• 발신자 이메일 주소의 도메인 이름을 확인하고 합법적인지 확인하십시오.
• 이메일에 연락처 정보가 포함되어 있는 경우 이 연락처 정보를 이메일이 보낸다고 주장하는 회사 웹사이트의 연락처 정보와 대조하십시오.
• 단축 링크를 클릭하지 마십시오. 이는 Secure Email Gateway를 속이는 데 사용되는 일반적인 기술입니다.
• 합법적으로 보이는 로고를 다시 확인하고 소스 코드를 봅니다. 악성 HTML 속성을 포함하는 경향이 있습니다.
• 이메일에 텍스트가 거의 없고 본문에 이미지/사진만 있는 경우 합리적으로 의심하십시오. 이미지에 악성 코드가 숨겨져 있을 수 있습니다.

2. 스피어 피싱

스피어 피싱은 일반적으로 이메일을 기본 통신 매체로도 사용하므로 이메일 피싱의 변형으로 간주될 수 있습니다.

주요 차이점은 스피어 피싱의 보다 표적화된 접근 방식에 있으며 일반적으로 단일 피해자(또는 소수의 피해자 그룹)를 대상으로 합니다.

가해자는 먼저 소셜 미디어, 회사 웹 사이트 등 피해자에 대한 정보를 수집하기 위해 대상 피해자에 대한 철저한 조사를 수행한 다음 수집된 실명( 피해자의 상사나 HRD 관리자)의 전화번호 등으로 피해자의 신뢰를 얻습니다.

결국 피해자는 그들이 사용한 유효한 정보로 인해 사기꾼의 신원을 믿게 되어 가해자의 함정에 빠지게 됩니다.

식별 방법:

스피어 피싱 공격을 식별하는 것은 가해자가 수행한 연구의 양과 그들이 사용한 겉보기에 유효한 정보로 인해 더 어려울 수 있습니다. 그러나 다음을 찾으십시오.

• 사용자 이름과 암호를 입력해야 하는 암호로 보호된 파일이나 문서가 포함된 상사 또는 회사의 중요한 사람이 보낸 것이라고 주장하는 이메일입니다. 이것은 자격 증명을 훔치는 일반적인 계획입니다.
• 일반적으로 의심되는 발신자의 직무를 고려할 때 비정상적으로 보이는 모든 요청을 인지하십시오.
• 또 다른 일반적인 계획은 Google 드라이브, Dropbox 또는 기타 클라우드 기반 스토리지 서비스에 저장된 문서에 대한 링크를 갖는 것입니다. 이러한 링크는 종종 악성 웹사이트로 리디렉션됩니다.

3. 포경

스피어 피싱 전술의 또 다른 변형인 고래잡이 또는 종종 "CEO 사기"라고도 하는 것은 가해자가 OSINT(오픈 소스 인텔리전스) 기술을 사용하여 조직의 CEO 또는 최고 경영진의 이름을 찾은 다음 가짜를 사용하여 그 사람을 가장하는 것과 관련됩니다. 이메일 주소.

그런 다음 가해자는 회사 직원을 표적으로 삼아 수취인에게 계좌 자격 증명, 은행 정보를 요청하거나 송금을 요청하기까지 합니다.

식별 방법:

• 발신자의 이메일 주소를 다시 확인하고 공식 회사 이메일 주소에서 온 것인지 확인하십시오. 일반적인 속임수는 이메일이 개인 주소에서 왔다고 주장하는 것입니다(즉, 현재 직장 이메일에 액세스할 수 없음).
• 주저하지 말고 회사의 다른 사람들에게 확인하거나 전화에서 보낸 이메일이라고 주장하는 사람에게 알려주십시오.
• 이메일이 이전에 연락한 적이 없는 회사의 누군가가 보낸 것이라고 주장하는 경우 각별히 주의하십시오.

4. HTTPS 피싱

우리 중 많은 사람들은 HTTPS 웹사이트가 종단 간 암호화되어 개인 정보 및 자격 증명을 제출할 때 안전하다는 교육을 받았습니다.

그러나 많은 스캐머는 피싱 이메일에 링크된 가짜 웹사이트에서 HTTPS 프로토콜을 사용하여 피싱 시도에 이 지식을 활용합니다.

식별 방법:

• 링크가 하이퍼텍스트를 사용하여 실제 URL을 숨기는지 확인하십시오.
• 링크가 단축되지 않았는지 다시 확인하고 URL의 모든 부분이 표시됩니다.

5. 비싱

보이스 피싱(Voice Phishing)의 줄임말로, 이름에서 알 수 있듯 전화를 통해 발생하는 피싱 시도입니다.

일반적으로 가해자는 스트레스가 많은 계절, 기간 또는 이벤트와 일치하는 바쁜 시간에 전화를 걸어 기존 회사의 직원이라고 주장하고 절박감을 고조시킵니다.

전화를 걸면 공황 상태가 되어 수신자를 혼란스럽게 하여 보안 실수를 하고 민감한 정보를 누설하도록 하는 것입니다.

식별 방법:

• 통화가 발신자 유형에 대해 비정상적인 작업을 요청하는 경우, 특히 민감한 정보나 개인 정보를 요청하는 경우 합리적으로 의심하십시오.
• 발신자 번호가 비정상적인 위치에서 오는 경우 또는 차단된 경우 다시 확인하십시오.
• 알 수 없는 번호로 걸려온 전화의 정체를 확인할 수 있는 모바일 애플리케이션을 사용하세요. iOS 및 Android 기기 모두에 이러한 앱이 많이 있습니다.
• 스트레스가 많은 시기나 상황에서 모르는 번호로 걸려오는 전화는 받지 않는 것이 가장 좋습니다.

6. 스미싱

SMS 피싱(SMS Phishing)의 줄임말로 문자 메시지(SMS)를 통한 피싱 시도입니다.

일반적으로 가해자는 기존 조직이나 회사에서 보낸다고 주장하는 문자 메시지를 보내고 문자 메시지에는 악성코드가 포함된 링크 및/또는 악성 웹사이트로 리디렉션되는 링크가 포함됩니다.

많은 사람들이 문자 메시지를 개인적이고 "무해한" 것으로 보는 경향이 있기 때문에 스미싱은 피해자를 방심할 수 있습니다.

식별 방법:

• 링크를 클릭하기 전에 문자 메시지가 요청한 작업과 관련된 알림이 있는지 여부를 문자 메시지가 주장하는 회사의 웹 사이트에 직접 확인하십시오.
• 주저하지 마시고 회사의 합법적인 웹사이트에 나와 있는 번호로 연락하여 문자 메시지의 적법성을 확인하십시오.
• 링크를 클릭하거나 제안된 조치를 취하기 전에 보낸 사람의 지역 번호와 번호를 검토하고 연락처 목록과 비교하십시오.

7. 낚시꾼 피싱

낚시꾼 피싱은 소셜 미디어 사용자를 대상으로 하는 특정 유형의 피싱으로, 주로 알려진 회사나 개인을 사칭하는 가짜 소셜 미디어 계정을 사용하는 가해자가 관련됩니다.

낚시꾼 피싱은 특히 소셜 미디어에서 기업과 고객 간의 상호 작용이 더욱 빈번해지고 예상된다는 사실을 활용합니다. 가해자는 알림 및 DM을 통해 표적 피해자와 교전하여 보안 실수를 하도록 속입니다.

식별 방법:

• 계정에 파란색 체크 표시가 있는지 다시 확인하십시오(인증된 계정).
• 악성 웹사이트로 리디렉션할 수 있는 링크가 포함된 알림에 주의하십시오.
• 링크를 거의 공유하지 않는 사람(또는 귀하에게 메시지를 보낸 적이 없는 사람/계정)이 보낸 DM의 링크는 링크가 합법적으로 보이더라도 클릭하지 마십시오.
• 당신에게 거의 메시지를 보낸 적이 없는 아는 사람에게서 DM이 오는 경우, 스푸핑되거나 새로 생성된 계정일 수 있으므로 계정을 다시 확인하십시오.

8. 파밍

파밍은 "피싱(phishing)"과 "파밍(farming)"의 합성어로 다소 발전된 형태의 피싱입니다.

일반적인 파밍 기술은 가해자가 DNS를 하이재킹하여 특정 웹사이트에 접속하려는 사용자를 대신 가짜 웹사이트로 리디렉션하는 것을 포함합니다.

정교한 파밍 시도는 탐지하기가 매우 어려울 수 있습니다.

식별 방법:

• HTTPS 대신 HTTP를 사용하는 경우 웹사이트의 URL을 다시 확인하십시오.
• 가짜 웹사이트를 나타낼 수 있는 오타, 일치하지 않는 색상, 부적절한 디자인, 얇은 콘텐츠 등과 같은 불일치를 찾으십시오.

피싱으로부터 비즈니스를 보호하는 방법

위에서 우리는 주요 유형의 피싱 기술을 인식하는 방법과 이러한 기술로부터 자신을 보호하기 위한 기본 단계를 배웠습니다.

이 섹션에서는 다양한 피싱 공격으로부터 자신과 비즈니스를 보호하기 위해 따라야 할 몇 가지 중요한 모범 사례에 대해서도 설명합니다.

1. 직원 교육

피싱은 기본적으로 사회 공학 이므로 가장 먼저 직원이 피싱 시도를 인식하고 자격 증명/민감한 정보를 보호하는 데 필요한 교육 및 훈련을 받아야 합니다.

피싱 인식 교육을 직원 온보딩 프로그램의 일부로 만들고 새로운 방법론과 추세를 포함하도록 교육을 정기적으로 새로 고칩니다.

2. 다단계 인증 요구

다단계 인증을 요구하면 직원이 자격 증명을 누설하도록 속이는 상황에서 성공적인 피싱의 위험을 완화할 수 있습니다.

다단계 인증을 사용하면 직원이 네트워크 및 애플리케이션에 로그인하기 전에 암호 외에 다른 정보를 제공해야 합니다.

2차(또는 그 이상) 정보는 다음과 같습니다.

• 얼굴 ID 또는 지문과 같은 생체 인식
• 그들이 알고 있는 것: 다른 비밀번호, PIN, 보안 질문에 대한 답변 등
• 가지고 있는 것: 페어링할 장치, 키 카드, USB 동글 등

3. 정기 백업

성공적인 피싱 공격은 랜섬웨어를 포함한 맬웨어 감염을 일으킬 수 있으며, 이로 인해 특정 파일/앱에 대한 액세스 권한이 상실되고 시스템이 완전히 실패할 수도 있습니다.

이 위험을 완화하려면 데이터를 정기적으로 백업하십시오.

3-2-1 백업 원칙을 따르는 것이 좋습니다. 2개의 서로 다른 매체에 데이터 사본 3개, 그 중 1개는 오프사이트에 보관합니다.

피싱 공격에서 브랜드 사칭 방지

피싱과 관련된 또 다른 문제는 사이버 범죄자가 피싱 계획의 일부로 도메인 또는 브랜드 이름을 사용하는 경우입니다.

기술적으로 귀하의 잘못은 아니지만 피싱 공격의 피해자는 사기꾼이 가장하는 브랜드를 비난하여 브랜드 평판에 부정적인 영향을 미칠 수 있습니다.

사이버 범죄자가 귀하의 브랜드를 사칭하는 것을 100% 방지하는 것은 불가능하지는 않더라도 매우 어려울 수 있지만 귀하의 비즈니스에서 위험을 완화하기 위해 취할 수 있는 조치가 있습니다.

• 웹사이트에서 SSL 인증서(HTTPS)를 사용합니다. 이렇게 하면 사기꾼이 웹사이트를 가장하려고 할 때 가짜 인증서와 함께 합법적인 SSL 인증서를 받아야 합니다. 이것은 그들을 낙담시킬 수 있습니다.
• DKIM 또는 DMARC와 같은 프로토콜을 사용하여 비즈니스에서 보내거나 받는 이메일에 인증을 추가하세요. 이렇게 하면 외부 당사자가 도메인 이름을 사용하여 거짓 이메일을 보내는 것을 방지하여 이메일 피싱을 효과적으로 방지할 수 있습니다.
• 도메인 이름의 변형(다른 TLD, 잠재적인 철자 오류 등)을 등록하여 이러한 변형이 피싱 시도에 사용되는 것을 방지하십시오.
• Red Points 도메인 관리를 사용하여 비즈니스 도메인 이름을 실시간으로 보호하십시오. Red Points는 수동 개입 없이 자동 조종 장치의 다양한 플랫폼에서 도메인 이름을 사용하여 피싱 시도를 효과적으로 포착할 수 있습니다. Red Points는 또한 평판에 부정적인 영향을 미치기 전에 가짜 사칭 웹사이트를 제거하는 데 도움이 될 수 있습니다.

무엇 향후 계획

사기꾼과 사이버 범죄자가 수행하는 다양한 유형의 피싱 공격이 있지만 모든 피싱 공격에는 다음과 같은 공통된 특징이 있습니다.

• 긴박감 조성: 가해자는 종종 가상의 긴급 위협으로 당신을 놀라게 하거나 제한된 시간 제안으로 당신을 유인함으로써 신속하게 행동할 것을 촉구합니다. 일부 피싱 사기는 응답할 시간이 몇 분 밖에 없다고 알려 주기도 합니다.
• 너무 좋은 사실: 피싱은 종종 관심을 끌고 매력적인 제안과 주장을 포함합니다. 예를 들어, iPhone을 획득했다고 주장하고 링크를 클릭하도록 요청합니다.
• 비정상적인 발신자: 웹사이트의 URL과 발신자의 이메일 주소에 특히 주의하십시오. 모르는 사람이 보낸 이메일이거나 비정상적인 내용이 보이면 아무 것도 클릭하지 마십시오.
• 의심스러운 링크: 100% 확실하지 않은 경우 링크를 클릭하지 마십시오. 링크 위로 마우스를 가져가면 실제 URL을 확인하고 해당 URL이 합법적인지 주의 깊게 확인할 수 있습니다.
• 위험한 첨부 파일: 100% 확신할 수 없는 이메일의 첨부 파일을 클릭하지 마십시오. 첨부 파일에는 맬웨어, 랜섬웨어 또는 기타 바이러스가 포함될 수 있습니다.

피싱 공격을 피할 수 있는 단일 방법은 없지만 위의 팁을 조합하여 피싱 공격을 방지하고 피해를 완화할 수 있습니다.

강력한 사이버 보안 인프라와 모범 사례를 구축하는 것 외에도 피싱을 방지하는 또 다른 중요한 요소는 교육 입니다. 피싱 및 기타 사회 공학 계획과 관련하여 조직은 지식이 가장 적은 사람만큼만 안전합니다.