받은 편지함에 지인이 보낸 이메일이 있습니다. 발신자는 민감한 정보를 요청하고, 여러분은 그 사람을 신뢰하기 때문에 주저 없이 정보를 보냅니다. 얼마 지나지 않아 해당 정보가 노출되었거나 계정을 손상시키는 데 사용되었다는 사실을 알게 됩니다.
발신자에게 연락해 보니 해당 정보를 요청한 적이 없다는 사실을 알게 됩니다. 방금 사칭 공격의 피해자가 되었습니다. 위의 시나리오를 피하려면 사칭 공격의 작동 방식과 다양한 유형, 그리고 이를 예방하는 방법을 알아보세요.
사칭 공격이란 무엇인가요?
사칭 공격은 사이버 범죄자가 다른 사람으로 가장하여 네트워크를 손상시키거나 민감한 데이터를 훔치는 것을 말합니다. 사칭 공격은 인간 관계를 노린다는 점에서 일반적인 사이버 공격과 다릅니다.
공격자는 다른 사람으로 가장하지 않고 사용자가 알고 신뢰하는 사람으로 가장합니다. 그런 사람이 당신에게 무언가를 요구하면 당신은 그들에게 의무를 지게 될 것입니다.
사칭 공격은 어떻게 작동하나요?
사칭 공격은 피싱 공격의 한 형태로, 위협 행위자가 사회 공학적 트릭을 사용하여 사용자가 자신의 명령을 수행하도록 유인하는 것입니다.
대부분의 경우 공격자는 커뮤니케이션 속도를 제어할 수 있기 때문에 이메일 및 인스턴트 메시지와 같은 텍스트 기반 매체를 사칭 공격에 사용합니다.
일반적인 사칭 공격은 다음과 같은 방식으로 이루어집니다.
대상 식별
사칭 공격은 결코 무작위가 아닙니다. 공격자는 시간을 들여 적절한 대상을 식별합니다. 이 과정에서 가장 먼저 고려하는 것은 가치 있는 데이터의 존재 여부입니다. 공격자가 선택하는 대상은 반드시 가치 있는 데이터를 가지고 있어야 합니다.
조직이 자금력과 기밀 데이터로 인해 사이버 공격의 유일한 표적이 되던 시대는 지났습니다. 오늘날에는 침입자가 악용할 수 있는 정보를 가지고 있기 때문에 누구나 사칭 공격의 표적이 될 수 있습니다.
표적에 대한 정보 수집
공격자가 사용자를 표적으로 선택하면 사용자에 대한 광범위한 조사를 통해 사용자의 업무, 온라인 상호 작용, 가장 많이 교류하는 사람들에 대해 알아냅니다.
공격자는 소셜 미디어 및 기타 온라인 플랫폼을 통해 사용자가 상호 작용하는 사람들을 파악할 수 있습니다. 공격자는 사용자를 속이기 위해 사칭할 수 있는 가장 적합한 사람을 결정합니다.
관련 연락처의 계정 복제
사칭하기에 적합한 사람을 찾았다면 다음 단계는 사용자에게 연락할 방법을 계획하는 것입니다. 실제 사람처럼 보이게 하기 위해 해당 사람의 계정을 해킹하여 그 계정으로 연락하거나 유사 계정을 만듭니다.
연락처 사칭
사이버 범죄자는 사용자와 상호 작용하지 않고 멀리서 사칭 공격의 이전 단계를 실행합니다. 하지만 이 단계에서는 계정을 유출하거나 복제한 사람을 사칭하여 사용자에게 연락합니다. 그들은 믿을 수 있는 성향을 유지하고 평범하지 않은 행동을 하지 않습니다.
조치 시작
해커는 사용자가 자신이 사칭하는 사람이라고 생각하면 사용자에게 유리한 조치를 취해달라고 요청할 것입니다. 개인 정보 및 로그인 자격 증명을 요구하거나 돈을 송금하도록 요청할 수도 있습니다.
경우에 따라 사칭 공격은 다른 경로로 진행될 수 있습니다. 해커가 사용자의 계정을 탈취한 후 메시지를 살펴보고 필요한 리소스가 있는 연락처를 찾아냅니다. 해커는 마치 본인인 것처럼 상대방에게 연락한 다음 원하는 작업을 수행하도록 유도합니다.
사칭 공격의 유형
사칭 공격에는 공격자의 창의성과 주도성이 어느 정도 개입됩니다. 다음은 가장 일반적인 사칭 공격 유형입니다.
비즈니스 이메일 침해(BEC)
비즈니스 이메일 침해(BEC)는 위협 행위자가 이메일 서신을 통해 조직을 공격하는 상황입니다.
조직은 개방형 이메일 커뮤니케이션 정책을 운영하여 고객, 클라이언트 및 잠재 고객으로부터 이메일을 수신합니다. 범죄자는 공개 커뮤니케이션을 활용하여 회사의 임원, 비즈니스 파트너 또는 중요한 고객을 사칭하여 직원을 속여 회사를 곤란한 상황에 빠뜨리는 행동을 수행하도록 유도합니다. BEC 공격을 시작하는 대부분의 공격자는 금전을 갈취하는 것이 목적입니다.
CEO 사기
최고 경영자(CEO) 사기는 해커가 사용자의 CEO를 사칭하여 민감한 정보를 공개하거나 돈을 송금하는 등의 작업을 수행하도록 속이는 사칭 공격 기법입니다.
CEO 공격은 기업 조직에 특화된 공격입니다. CEO는 막강한 권한과 권력을 행사하기 때문에 공격자가 특정 조직의 CEO를 사칭하는 데 성공하면 쉽게 접근할 수 있습니다.
계정 탈취
계정 탈취는 침입자가 사용자의 계정을 탈취하여 사용자를 사칭하고 주변 사람들을 속여 자신의 지시를 따르도록 하는 행위입니다. 공격자는 친구, 가족 또는 동료에게 개인 정보를 공개하거나 돈을 보내달라고 재빨리 요청합니다.
사칭 공격을 어떻게 예방할 수 있나요?
소셜 미디어의 인기가 높아지면서 해커가 피해자의 소셜 미디어 페이지에서 피해자를 사칭하는 데 필요한 정보를 얻을 수 있기 때문에 사칭 공격이 증가하고 있습니다. 하지만 다음과 같은 방법으로 이러한 공격을 예방할 수 있습니다.
사이버 보안 인식 함양
사이버 범죄자는 혼자서 시스템을 공격하기 어렵습니다. 공격에 성공하려면 취약점과 내부자의 정보가 필요합니다. 사이버 위협과 공격에 민감하게 반응하면 사칭 공격을 더 잘 방지할 수 있습니다. 이러한 수준의 의식은 공격이 어떻게 작동하는지에 대한 인식에서 비롯됩니다.
예를 들어, 수신하는 모든 새 이메일에 응답하지 말고 올바른 이메일 주소에서 보낸 이메일인지 확인해야 합니다. 일부 사칭 공격은 피싱과 같은 기술을 통해 피해자의 계정을 탈취합니다. 임의의 메시지와 링크를 열지 않도록 주의하면 침입자가 계정을 쉽게 탈취할 수 없습니다.
사용자 지정 이메일 서비스 사용
사칭 공격은 이메일 메시지에서 잘 이루어집니다. 해커는 사용자가 아는 사람의 이름이 포함된 이메일 주소로 메시지를 보냅니다. 누구나 지인의 이메일 주소와 유사한 이메일 주소를 만들 수 있기 때문에 Gmail, Yahoo Mail, Hotmail과 같은 공용 이메일 서비스를 사용하면 공격의 표적이 될 위험이 더 높습니다.
사용자 지정 이메일 도메인은 보다 독점적인 이메일 ID, 계정 관리 및 고급 보안 제어 기능을 제공하여 커뮤니케이션을 보호합니다.
이메일 보안 애플리케이션 설치
이메일은 사칭 행위자들이 흔히 사용하는 매체입니다. 보안에 주의를 기울이더라도 유해한 콘텐츠에 노출될 수 있습니다. 스팸 방지와 같은 이메일 보안 도구는 의심스러운 이메일이 받은 편지함에 들어오는 것을 자동으로 방지합니다.
해커가 사용자에게 보낼 수 있는 유해하거나 사기성 이메일을 자동으로 탐지하는 바이러스 방지 이메일 소프트웨어를 사용할 수도 있습니다. 이러한 도구 중 일부는 감염된 파일을 열려고 해도 열리지 않도록 차단하는 고급 기능을 갖추고 있습니다.
사칭 이메일 주의하기
사칭 공격은 누구에게나 일어날 수 있습니다. 다른 사람을 알고 있거나 함께 일하는 한 사이버 범죄자는 그 사람과의 관계를 악용하려고 시도할 수 있습니다.
건전한 사이버 보안 문화를 조성하여 위협 행위자를 방관하지 않는 것도 좋지만, 보안 시스템을 자동화하여 사소한 부정 행위도 감지하는 것도 도움이 됩니다.