피싱 (Phishing)

신뢰 기관을 사칭해 개인정보·금융정보를 탈취하는 사회공학적 사이버 공격

피싱 (Phishing)

개요

피싱(Phishing)은 신뢰할 수 있는 기관이나 개인을 사칭하여 이메일·문자메시지·전화·가짜 웹사이트 등을 통해 사용자의 개인정보, 금융정보, 로그인 자격증명을 탈취하는 사회공학적 사이버 공격이다. 'fishing(낚시)'과 'phreaking(전화 통신 해킹)'의 합성어로, 미끼를 던져 피해자가 스스로 정보를 넘기도록 유도한다는 의미를 담고 있다. 기술적 취약점이 아니라 인간의 심리적 허점(신뢰, 공포, 긴급성, 호기심)을 노리기 때문에 방화벽이나 백신만으로는 완전한 차단이 어렵고, 조직 보안 사고의 상당수가 피싱에서 시작된다.

주요 내용

어원과 역사

'피싱'이라는 용어는 1996년경 미국 온라인 서비스 아메리카 온라인(AOL) 이용자 계정을 탈취하던 해커 집단에서 처음 등장한 것으로 알려져 있다. 초기에는 AOL 사칭 이메일로 계정 정보를 빼내는 단순한 수법이었으나, 2000년대 금융권 온라인 뱅킹이 확산되면서 은행 사칭 피싱이 급증했다. 이후 공격 대상이 개인에서 기업·정부기관으로 확대되고, 수법도 대량 무작위 발송에서 표적형 정밀 공격으로 진화했다.

작동 원리

전형적인 피싱 공격은 다음 단계로 진행된다. 첫째, 공격자는 피해자가 신뢰할 대상(은행, 택배사, 정부기관, 거래처 임원 등)을 선정한다. 둘째, 실제와 거의 동일한 이메일 주소·발신번호·웹페이지를 위조한다. 셋째, '계정이 정지되었습니다', '결제 실패', '택배 주소 오류' 등 긴급성을 자극하는 메시지로 즉각적인 클릭·입력·송금을 유도한다. 넷째, 피해자가 입력한 아이디·비밀번호·카드번호·인증번호가 공격자 서버로 전송된다. 마지막으로 탈취한 정보로 계정 탈취, 무단 결제, 2차 공격(랜섬웨어 유포 등)을 수행한다.

주요 유형

  • 이메일 피싱: 가장 전통적인 형태로, 대량 발송 또는 특정 조직 구성원을 겨냥한 스피어 피싱(Spear Phishing)으로 나뉜다.
  • 웨일링(Whaling): CEO·임원 등 고위 경영진을 표적으로 삼아 고액 송금이나 기밀 문서를 빼내는 공격이다.
  • 스미싱(Smishing): 문자메시지(SMS)에 악성 링크를 첨부하는 방식으로, 국내에서 가장 빈번하게 발생하는 유형 중 하나다.
  • 비싱(Vishing): 보이스피싱이라고도 하며, 전화로 기관·은행 직원을 사칭해 송금이나 인증번호를 요구한다.
  • 파밍(Pharming): DNS나 호스트 파일을 조작해 정상 주소를 입력해도 가짜 사이트로 접속되게 만드는 수법이다.
  • 클론 피싱(Clone Phishing): 실제로 수신했던 정상 메일을 복제해 첨부파일이나 링크만 악성으로 바꿔 재발송한다.
  • 큐싱(Qshing): QR코드와 피싱을 결합한 형태로, 결제·주차·전자출입명부 등을 사칭해 악성 앱 설치를 유도한다.
  • 중간자 공격(MITM): 가짜 로그인 페이지와 실제 서비스 사이에서 세션을 가로채 2단계 인증까지 우회한다.

피해 규모와 영향

피싱은 개인에게는 금전 손실, 계정 탈취, 2차 신원 도용을 초래하고, 기업에는 영업비밀 유출, 랜섬웨어 감염, 공급망 마비, 막대한 복구 비용과 평판 손실을 안긴다. 특히 BEC(Business Email Compromise, 기업 이메일 침해)는 단일 사고로 수억 원대 송금 피해를 발생시켜 국제 보안 업계가 가장 경계하는 위협 중 하나로 꼽는다.

탐지와 대응

조직 차원에서는 이메일 게이트웨이의 스팸·악성 링크 필터링, DMARC/SPF/DKIM 등 발신 도메인 인증, 다중요소 인증(MFA) 도입, 링크 클릭 시 샌드박스 검사, 임직원 대상 정기 모의 훈련이 효과적이다. 개인 차원에서는 발신 주소와 도메인 철자를 확인하고, 긴급을 요구하는 메시지일수록 공식 대표번호로 재확인하며, 출처가 불분명한 링크·첨부파일을 열지 않고, 계정마다 다른 비밀번호와 인증 앱 기반 2단계 인증을 사용하는 것이 핵심이다. 피해를 인지한 즉시 비밀번호 변경, 카드 정지, 금융사 신고, 경찰(112) 및 한국인터넷진흥원(118) 신고를 진행해야 피해 확산을 줄일 수 있다.

최신 동향

2024~2025년 피싱의 가장 큰 변화는 생성형 AI의 결합이다. 챗GPT 등 대규모 언어모델(LLM)을 활용해 문법 오류 없는 자연스러운 다국어 피싱 메일이 대량 생산되고, 몇 초 분량의 음성만으로 임원 목소리를 복제한 '딥보이스 비싱'과 영상 통화 딥페이크 사기가 실제 금융 사고로 이어지고 있다. 또한 피싱 키트의 서비스형 범죄(CaaS, Cybercrime-as-a-Service)화로 전문 지식이 없는 범죄자도 손쉽게 캠페인을 운영할 수 있게 되었다. 방어 측에서는 피싱 방지 인증(FIDO2·패스키)과 제로트러스트 아키텍처, AI 기반 이상행위 탐지가 확산되고 있으며, 각국 규제기관은 금융사·플랫폼에 사기 피해자 보호와 신속한 계정 차단 의무를 강화하는 추세다. 모바일 중심의 큐싱·악성 앱 유포가 급증하면서, 스마트폰 자체의 보안 설정과 공식 앱스토어 외 설치 제한도 중요한 방어선으로 부각되고 있다.

관련 주제

  • [[스미싱]]
  • [[보이스피싱]]
  • [[랜섬웨어]]
  • [[사회공학 공격]]
  • [[다중요소 인증]]
  • [[개인정보보호법]]
  • [[제로트러스트]]
  • [[딥페이크]]