피싱 공격은 점점 더 정교해지고 표적화되고 있습니다. 따라서 인터넷 사용자가 악성 링크를 식별하는 방법을 아는 것이 그 어느 때보다 중요해졌습니다. 공격자들은 교묘하게 위장된 피싱 링크를 사용하여 사람들을 속이는 등 인간의 실수를 계속해서 악용하고 있습니다. 클릭하는 사용자는 로그인 정보나 개인 정보, 심지어 금융 정보와 같은 민감한 정보를 노출하는 경우가 많습니다.
피싱 링크를 식별하고 이러한 공격의 희생자가 되지 않기 위한 전문가 팁을 살펴보겠습니다.
피싱은 인간의 신뢰를 악용하는 가장 흔하고 효과적인 사이버 공격 수법 중 하나입니다. 사이버 범죄자들은 신뢰할 수 있는 기관에서 보낸 것처럼 위장한 이메일, 문자 메시지 또는 소셜 미디어 게시물을 제작합니다. 이러한 메시지에는 악성 링크가 포함되어 있는 경우가 많으며, 이 링크를 클릭하면 가짜 웹사이트로 이동하거나 악성코드가 다운로드되거나 시스템이 파괴됩니다. 훨씬 더 빈번하게 발생하는 또 다른 공격 방식은 해커가 브라우저에서 인증 토큰을 탈취하여 사용자의 이메일 계정이나 심지어 은행 계좌에 로그인하는 것입니다!
2023년 버라이즌 데이터 유출 조사 보고서는 지난 20년간의 사이버 공격을 분석한 결과, 20년 내내 변함없이 가장 큰 원인이 피싱 공격이라는 결론을 내렸습니다. 피싱 공격은 도메인 스푸핑(오타를 이용한 도메인 도용 ) , URL 단축, 구독 취소 링크, 심지어 보안 로고 제공 등 다양한 기법을 사용하여 사용자를 속이고 허위 보안 또는 정당성을 부여합니다.
링크의 진위 여부를 확인하는 가장 간단한 방법 중 하나는 데스크톱이나 노트북에서 링크 위에 마우스를 올려놓는 것입니다. 이렇게 하면 화면 왼쪽 하단의 작은 상자에 실제 URL이 나타납니다. 링크가 발신 도메인과 일치하지 않는 경우(예: PayPal에서 보낸 것처럼 보이지만 "paypa1.com"으로 연결되는 이메일)는 위험 신호입니다. 모바일 기기에서는 링크를 열기 전에 길게 눌러 URL을 확인할 수 있는 경우가 많습니다. 클릭하기 전에 URL이 정확한지 항상 다시 한번 확인하세요. 의심스러운 경우 해당 업체를 구글에서 검색하여 적절한 도메인을 확인하세요.
일반적인 피싱 수법은 URL에 철자 오류나 미묘한 변화를 주어 합법적인 것처럼 보이게 하는 것입니다. 예를 들어, 피싱 링크는 "microsoft.com" 대신 "micros0ft.com"을 사용하거나, 글자를 비슷하게 생긴 숫자나 기호로 대체할 수 있습니다. 이러한 사소한 변화는 특히 급한 경우 간과하기 쉽습니다. 도메인 이름에 비슷한 글자가 있는 경우 외에도 도메인 끝에 "S"가 하나만 추가되어 있는지 주의 깊게 살펴보세요. Google이나 AI 검색을 통해 공급업체의 정확한 도메인을 검색하여 URL의 정확성을 다시 한번 확인하세요.
대부분의 합법적인 웹사이트는 브라우저 주소창에 자물쇠 아이콘으로 표시되는 HTTPS(Hypertext Transfer Protocol Secure)를 사용하여 브라우저와 웹사이트 간의 데이터를 암호화합니다. 그러나 사이버 범죄자들이 이를 알아채고 일부 피싱 웹사이트는 HTTPS를 사용하여 보안을 강화하고 있습니다. HTTPS는 좋은 신호이지만, 완벽한 것은 아닙니다. 이메일 출처, URL, 메시지의 맥락과 같은 다른 요소도 항상 고려해야 합니다.
bit.ly나 tiny.url 같은 URL 단축 서비스는 소셜 미디어 게시물이나 이메일에서 긴 URL을 줄이기 위해 흔히 사용됩니다. 이러한 서비스는 합법적인 용도로도 유용하지만, 링크의 실제 목적지를 숨기는 단점도 있습니다. 바로 이 때문에 피싱 공격자들이 악성 URL을 숨기는 데 이러한 단축 서비스를 이용하는 경우가 많습니다. 특히 원치 않는 메시지에서 단축 URL을 발견했다면 클릭하지 않는 것이 좋습니다. CheckShortURL.com 같은 URL 확장 서비스를 이용하면 전체 링크를 확인한 후 사이트를 방문할지 여부를 결정할 수 있습니다.
피싱 공격자들이 사용하는 또 다른 수법은 합법적인 회사 이름을 하위 도메인에 삽입하여 URL을 만드는 것입니다. 예를 들어, 피싱 링크는 "login.microsoft.com.attacker.com"처럼 보여 Microsoft 웹사이트인 것처럼 속일 수 있습니다. 항상 실제 도메인 이름(이 경우 "attacker.com")을 주의 깊게 확인하고 예상치 못한 하위 도메인에 주의하십시오. 합법적인 조직은 로그인 페이지나 공식 커뮤니케이션에 복잡한 하위 도메인을 거의 사용하지 않습니다. 추가 문자가 포함된 비정상적으로 긴 URL이 표시되면 피싱 시도일 가능성이 높습니다.
계정 폐쇄 협박이나 개인 정보 유출 경고와 같이 긴급성을 조성하는 메시지는 생각 없이 행동하게끔 유도하기 위해 만들어졌습니다. 마찬가지로, 감정에 호소하는 메시지 또한 생각 없이 클릭하게 만드는 교묘한 수법일 수 있습니다. 이메일의 '좋아요' 버튼조차도 악성 코드가 숨겨져 있을 수 있습니다. 수신 거부 링크도 마찬가지입니다. 어떤 이메일에도 성급하게 반응하지 마세요. 이러한 메시지에 포함된 링크를 클릭하기 전에 항상 발신자의 신뢰성을 확인하는 시간을 가지세요.
아는 사람에게서 온 이메일이라도 첨부 파일이나 링크가 포함된 예상치 못한 이메일을 받았다면, 클릭하기 전에 발신자에게 다시 한번 확인하세요. 발신자의 이메일 계정이 해킹당했을 가능성이 있으며, 당신은 해커들이 즐겨 사용하는 비즈니스 이메일 침해(BEC) 공격에 휘말릴 수 있습니다. 발신자에게 확인할 때는 이메일을 보내거나, 전화를 걸거나, 문자를 보내는 등의 다른 방법을 사용하지 마세요. 해커가 발신자의 이메일 계정을 장악하고 있을 가능성이 있으므로 이메일은 절대 사용하지 않는 것이 좋습니다.
피싱 이메일은 종종 고객님의 이름을 직접 언급하는 대신 "고객님, 안녕하세요"와 같이 모호한 인사말을 사용합니다. 이는 발신자가 고객님의 개인 정보에 접근할 권한이 없을 가능성이 높다는 경고 신호입니다.
해커들이 가장 선호하는 공격 방식은 피싱 이메일이라는 점을 명심하세요. 수백만 명에게 놀랍도록 복잡하고 설득력 있는 이메일을 보내는 데 드는 비용은 극히 적습니다. 그들은 여러분이 생각 없이 빠르게 반응하기를 간절히 바랍니다. 항상 주의 깊게 살펴보고, 의심을 품고, 무엇이든 클릭하기 전에 링크와 발신자를 반드시 확인하세요. 하지만 실수로 클릭해 버렸다면 어떻게 해야 할까요? 이런 상황에 처했을 때 어떻게 대처해야 하는지 알려 드리겠습니다.
실수로 피싱 링크를 클릭한 경우, 잠재적 피해를 최소화하기 위해 신속하게 조치를 취하세요.
맬웨어가 다운로드된 경우, 인터넷 연결을 끊으면 원격 서버와의 통신을 차단할 수 있습니다. 이렇게 하면 감염된 컴퓨터가 해커의 명령(파일 암호화, 해커에게 파일 전송, 맬웨어 다운로드 등)을 실행하는 것을 방지할 수 있습니다. 컴퓨터 전원을 끄면 추가적인 암호화 루틴이 실행되지 않습니다. 이를 통해 IT 부서는 안전 모드로 부팅하거나 부팅 가능한 드라이브를 끄고 검사를 수행하여 추가 피해를 방지하고 감염을 제거할 수 있습니다.
클릭 후 발생한 상황을 분석할 수 있는 도구와 모니터링 기능을 제공합니다. 또한 컴퓨터 악성코드 검사, 이메일 계정에서 모든 참여자 로그아웃, 인증 정보 재설정 등 다양한 서비스를 제공합니다. 바로 이런 상황에서 도움을 드릴 수 있습니다!
바이러스 백신 및 맬웨어 방지 소프트웨어를 사용하여 기기를 검사하여 의심스러운 활동이나 다운로드되었을 수 있는 파일이 있는지 확인하세요.
로그인 자격 증명을 입력한 경우 손상된 계정과 동일한 자격 증명을 사용하는 다른 계정의 비밀번호를 즉시 변경하세요.
가능하다면 2FA를 활성화하여 계정 보안을 한층 더 강화하고 공격자가 계정에 접근하기 어렵게 만드세요.
패스키는 하나의 웹사이트에서만 계정을 잠금 해제하는 데 사용되는 독특한 암호화 키입니다. 이는 도용되거나 우회될 수 있는 기존의 복잡한 비밀번호나 다중 인증보다 훨씬 효과적입니다. 따라서 패스키는 해커의 공격을 방어하는 강력한 도구입니다.
이제 피싱 공격을 탐지하고 피하는 방법을 터득했으니, 피싱 시뮬레이션을 통해 이러한 기술을 연습해야 합니다. 조직의 모든 지식 근로자에게 이러한 연습을 확대해야 합니다. 체력 단련과 마찬가지로, 여러분과 직원들은 근육 기억을 형성하기 위해 이러한 팁들을 꾸준히 연습해야 합니다. 운동을 멈추면 체력이 떨어지고, 피싱 시뮬레이션 연습을 멈추면 심각한 실수를 저지르게 되며, 직원 중 한 명이 그렇게 할 수도 있습니다. 이메일을 주의 깊게 검토하고 대응하지 않는 것과 같은 바람직한 행동을 가르치고 보상하는 긍정적이고 교육적인 피싱 시뮬레이션에 참여하세요. 가짜 링크를 클릭하는 것과 같은 잘못된 행동을 처벌하는 피싱 테스트는 지양하고, 최종 사용자에게 무엇을 검토해야 하는지 제대로 교육하지 못하는 피싱 테스트는 피하세요.
CyberHoot은 직원들의 사이버 보안 역량을 강화하는 데 필요한 솔루션을 제공합니다. 교육 후 테스트를 실시하고, 분기별 및 연간으로 우수한 보안 점검 행동에 대해 보상을 제공합니다.
피싱 공격은 계속해서 진화하고 있으며, 사이버 범죄자들은 악성 링크를 합법적인 링크처럼 위장하는 데 더욱 능숙해지고 있습니다. 하지만 이 글에서 제시하는 조언과 전문가 팁을 따르면 피싱 사기의 피해자가 될 가능성을 줄일 수 있습니다. 더욱 경각심을 갖고 보안을 강화하세요.
아직 가입할 준비가 안 되셨나요? 더 자세히 알아보고 싶으신가요? CyberHoot 데모를 보고, 궁금한 점을 질문하고, 새로운 소식을 받아보실 수 있는 월간 웨비나에 참석하세요.
최신 사이버 보안 동향, 팁, 모범 사례를 알아보고 공유하세요. 또한 주의해야 할 새로운 위협도 알려드립니다.
저자: Katie Boquetti | 편집: Craig Taylor Craig Taylor의 편집: Claude Code가...
더보기
저자: 케이티 보케티 | 편집: 크레이그 테일러 크레이그 테일러 편집글: 우리는 이미 오래전부터 알고 있었죠...
더보기
저자: Katie Boquetti | 편집: Craig Taylor Craig Taylor의 편집: CAPTCHA는 다음 사항을 테스트해야 합니다...
더보기
