최근 러시아와 시리아에서 GPS 스푸핑 사례가 급증하고 있습니다. 아직 소식을 접하지 못하셨다면, 최근 사건들은 공격자들이 셀룰러 통신망을 이용해 최첨단 군사 시설, 현대 경제, 그리고 모든 소비자에게 막대한 피해를 입힌 사례들입니다. 10월에 발생한 볼티모어 카운티 스푸핑 사기는 악명 높았는데, 경찰관을 사칭해 주민들의 개인 및 금융 정보를 빼내는 수법이었습니다.
의료 분야의 피싱 공격이 45% 급증했습니다! AI 강화 피싱 캠페인이 이제 조직을 표적으로 삼으며 성공 가능성을 높이고 있습니다. 기술 발전 덕분에 기술력이 부족한 공격자들도 이러한 공격을 감행하고 있습니다. 위협 환경이 진화하고 있으며, 이는 매우 우려스러운 상황입니다.이 가이드에서는 스푸핑과 피싱의 차이점에 대해 알아야 할 모든 것을 다룹니다. 피싱과 스푸핑의 위험성에 대해 논의할 것입니다. 또한 이를 방지하는 방법과 안전을 유지하기 위해 취할 수 있는 조치도 알아보실 수 있습니다.
스푸핑이란 무엇인가?
스푸핑은 공격자가 회사 내 승인된 주체를 사칭하여 사용자를 속이려는 시도를 말합니다. 잘 만들어진 스푸핑은 사용자의 감정을 악용하고 심리적으로 조작합니다. 사용자는 자신이 특정 행동을 취하도록 유인당하고 있다는 사실을 눈치채지 못할 것입니다. 스푸핑은 두 가지 요소를 사용합니다: 스푸핑 자체(가짜 웹사이트, 게시물 또는 이메일)와 사회공학적 공격 (공격자가 결국 사용자를 스푸핑으로 유도하는 과정)입니다. 스푸핑은 알 수 없는 출처의 통신을 위장할 수 있습니다. 또한 사용자에게 알려진 신뢰할 수 있는 웹사이트를 모방하여 민감한 정보를 공개하도록 유도할 수 있습니다.
피싱이란 무엇인가?&
피싱은 조직, 기관, 기업에 대량 이메일을 발송하는 것을 포함합니다. 피싱은 개인이 아닌 집단 내 사람들을 대상으로 합니다. 피싱의 목적은 피해자가 즉각적인 행동을 취하도록 유도하는 것입니다. 이러한 이메일의 제목은 공감, 분노, 탐욕 또는 긴급함을 불러일으킬 수 있습니다. "믿기 어려울 정도로 좋은" 제안이나 복권 사기도 피싱에 포함될 수 있습니다. 피싱 이메일 메시지에는 악성 웹사이트로 연결되는 링크가 포함될 수 있으며, 심지어 바이러스가 포함된 첨부 파일도 포함될 수 있습니다. 사용자가 이러한 요소와 상호작용할 때마다 민감한 정보를 노출하거나 시스템이 동결될 수 있습니다.
스푸핑 및 피싱의 위험성과 위협
FBI에 따르면, 사이버 범죄자들은 스푸핑이 진짜라고 믿게 만들기 위해 당신을 속이려 할 것입니다. 사용자가 위협을 감지했다고 생각할 때, 공격자는 세부 사항을 왜곡하고 추가 정보를 제공하여 더 설득력 있게 만듭니다. 스푸핑과 피싱은 모든 주요 비즈니스 이메일 침해(BEC) 사기의 핵심 요소입니다. 때로는 범죄자들이 신뢰를 얻기 위해 돈을 보내거나, 사기가 너무 현실적으로 보이도록 세부 정보를 누설하기도 합니다.
스푸핑과 피싱의 위험성은 다음과 같습니다:
- 스푸핑된 이메일은 대규모 데이터 유출을 초래할 수 있습니다. 스푸핑에 사용된 악성코드는 민감한 정보를 탈취하고, 시스템 장애를 일으키며, 네트워크 활동을 기록할 수 있습니다. 피싱 이메일은 금융 사기로 이어질 수도 있습니다.
- 스푸핑과 피싱 모두 조직의 생산성 손실을 초래할 수 있습니다. 기업은 운영을 회복하기 위해 업무 흐름과 배송 효율성을 높여야 합니다. 무엇이 잘못되었는지 파악하고 근본 원인을 규명하기 위해 분주하게 움직입니다. 이러한 활동은 비즈니스 수행, 고객 확보, 우수한 성과 제공에 사용할 수 있었던 시간을 소모합니다.
- 사이버 범죄자들이 신원을 도용한 후 어떤 일을 저지를지 예측할 수 없습니다. 그들은 당신을 사칭하여 고객을 속이고 돈을 훔치며 추가적인 평판 손상을 초래할 수 있습니다. 그 여파는 심각하며, 때로는 회복이 불가능할 수도 있습니다. 재정적 손실은 복구할 수 있지만, 비즈니스는 예전과 같지 않을 것입니다. 시장에서의 입지가 위태로워집니다.
스푸핑 vs 피싱: 사례
스푸핑과 피싱은 다양한 방식으로 발생할 수 있습니다. 가장 대표적인 스푸핑 사례는 다음과 같습니다:
- 이메일 스푸핑—스푸퍼는 신뢰할 수 있는 도메인에서 발송된 것처럼 보이도록 이메일 주소를 변경할 수 있습니다. 예를 들어, 'Google.com'을 'Google.org' 또는 'Googl.com'으로 변경할 수 있습니다. 그들은 가짜 이메일 ID를 사용하여 사용자에게 연락을 시도합니다.
- 발신자 ID 스푸핑—발신자 ID 스푸핑은 다소 복잡합니다. 신뢰할 수 있는 지역이나 번호로 누군가가 전화를 걸어오는 경우입니다. 알 수 없는 번호를 자동 차단하는 경우, 사기꾼들은 귀하가 이전에 거래했던 오래된 재활용 번호(예: 다른 사용자에게 할당된 비활성화된 SIM 카드)를 사용할 수 있습니다.
- 웹사이트 스푸핑은 누군가가 세부 정보나 정보를 수집하기 위해 가짜 웹사이트를 만들 때 발생합니다. 예를 들어, 사기꾼은 은행 웹사이트를 사칭하고(PayPal 페이지를 복제하여) 실제 사이트처럼 보이도록 위장할 수 있습니다.
- GPS 스푸핑 – GPS 스푸핑은 GPS 시스템에 잘못된 신호를 보내 오도하려고 시도합니다. 그 결과, 당신은 잘못된 위치에 도착하여 곤란한 상황에 처하게 됩니다.
- ARP 스푸핑: ARP 스푸핑는 IP 시스템을 대상으로 가짜 메시지를 보냅니다. 로컬 인터넷 네트워크는 이를 사용자로 인식하여 실수로 민감한 데이터를 잘못된 위치로 전송합니다. 이것을 우편 배달부가 당신의 소포를 당신 대신 이웃이나 잘못된 주소로 배달하는 것으로 생각해보세요.
피싱의 일반적인 예는 다음과 같습니다:
스피어 피싱 – 스피어 피싱 사기 수법은 개인이나 조직의 특정 구성원을 대상으로 한 표적 이메일에 구실을 추가합니다.
고래 사냥(Whaling) – 웨일링은 고위 직원, CEO, CTO 및 막강한 권한을 가진 개인을 표적으로 삼습니다. 공격자에게 더 큰 이익을 가져다줄 가능성이 있기 때문에 이들이 표적이 됩니다.
비싱 – 보이스 피싱은 인스턴트 메시징, 이메일 또는 문자가 아닌 음성을 통해 민감한 데이터를 탈취합니다. 공격자는 기술 지원팀 구성원으로 위장하여 사용자를 속여 시스템에 악성 코드를 설치하도록 하는 것이 일반적인 비싱 사기 수법입니다.
스미싱—스미싱은 SMS를 이용해 피싱 공격을 실행합니다. 이러한 공격은 피해자의 이해력과 읽기 능력의 취약점을 악용하여 SMS 링크를 클릭하도록 유도합니다.
스푸핑과 피싱: 한눈에 보기
스푸핑과 피싱을 한눈에 파악하고 싶으신가요? 아래는 두 공격의 유사점과 차이점에 대한 개요입니다.
1. 대상층
스푸핑은 조직 내 특정 개인이나 고위 직원을 표적으로 삼습니다. 목표는 그들의 신뢰를 얻어 회사 내부 정보를 입수하는 것입니다. 이는 일반적으로 대중에게 공개되지 않는 정보입니다. 스푸핑 이메일은 회사의 CEO, 고위 직원, 공급업체 또는 비즈니스 파트너와 접촉을 시도할 수 있습니다. 피싱 이메일의 대상은 더 광범위한 집단이나 전체 조직입니다. 피싱은 숫자 게임으로, 가능한 한 많은 사람에게 도달하여 일부가 공격에 걸리기를 기대합니다. 미끼에 걸린 피해자를 포착하는 방식입니다.
2. 내용과 노력
스푸핑과 피싱의 핵심 차이점은 내용입니다. 스푸핑 내용은 일반적으로 특정 개인이나 조직을 모방하는 데 초점을 맞추며, 추가적인 세부 사항이 거의 필요하지 않습니다. 피싱 공격에서는 사이버 범죄자들이 사용자명과 비밀번호 같은 민감한 정보를 탈취하기 위해 가짜 웹사이트, 양식 또는 로그인 페이지를 자주 제작합니다. 피싱 사기에는 종종 "귀하의 계정이 해킹당했습니다—여기를 클릭하여 해결하세요!"와 같은 긴급함을 강조하는 문구가 포함되어 피해자가 생각 없이 행동하도록 유도합니다.
&스푸핑과 피싱 공격에 투입되는 노력 수준은 다를 수 있습니다. 스푸핑의 경우 공격자는 알려진 출처(비즈니스 파트너나 공급업체 등)를 통해 간단한 이메일을 위조하여 공격을 시작할 수 있습니다. 반면 피싱의 경우 웹사이트, 앱, 공식 커뮤니케이션 채널 구축에 노력과 자금을 투자해야 합니다. 대부분의 사이버 범죄자는 피싱 계획을 실행하기 전에 가짜 웹 페이지, 양식, 로그인 인터페이스를 생성합니다.3. 사회공학적 기법
사회공학적 피싱 기법은 공포, 긴급함, 심지어 탐욕을 노립니다. 반면 스푸핑은 친숙함을 조성하는 데 주로 의존합니다. 상사, 공급업체, 동료 등 잘 알려진 연락처를 사칭함으로써 스푸핑 공격은 발신자가 신뢰할 수 있다는 가정을 이용합니다. 피싱은 악용이나 조작에 의존하는 반면, 스푸핑은 신뢰와 안심감을 구축하는 데 초점을 맞춥니다.
스푸핑 대 피싱: 주요 차이점
스푸핑과 피싱의 핵심 차이점은 다음과 같습니다.
| 특징 | 스푸핑 | 피싱 |
|---|---|---|
| 목적 | 신뢰할 수 있는 출처로 위장하여 피해자를 속여 대화를 유도하기 위함. | 피해자로부터 민감한 정보나 금전을 탈취하기 위함. |
| 피해자 | 주로 특정 개인이나 조직, 특히 가치 있는 데이터를 보유한 대상. | 일반 개인이지만, 스피어 피싱 공격의 표적이 되기도 함. |
| 공격 기법 | 이메일 주소, 전화번호, 웹사이트 등 가짜 발신자 신원을 사용합니다. | 민감한 정보를 탈취하기 위해 설계된 사기성 이메일이나 웹사이트를 포함합니다. |
| 일반적인 전략 | 이메일 스푸핑, 발신자 ID 스푸핑, DNS 스푸핑, 가짜 웹사이트. | 스피어 피싱, 보이스 피싱(vishing), SMS 피싱(smishing), 가짜 양식 및 링크. |
스푸핑과 피싱 공격 구분 방법
스푸핑 공격을 식별할 수 있는 몇 가지 방법은 다음과 같습니다.
- 돈, 민감한 정보 또는 비정상적인 행동을 요구하는 메시지는 종종 스푸핑입니다. 대부분의 신뢰할 수 있는 기관은 이메일을 통해 이러한 정보를 요구하지 않습니다.
- 문장에서 어색한 표현을 찾으세요. 문체에 갑작스러운 변화가 있거나, 흔한 문법 오류가 있거나, 어색한 표현이 있다면 답을 찾은 것입니다.
- 보낸 사람의 이메일 주소에서 사소한 불일치를 확인하세요. 오타, 추가 문자 또는 스푸핑된 주소를 나타낼 수 있는 기타 사소한 이름 변경 사항을 찾으세요.
피싱 공격을 식별할 수 있는 몇 가지 방법은 다음과 같습니다.
- 피싱 이메일은 종종 허위적인 긴급함을 조성합니다. 계정이 잠겼거나 문제를 방지하기 위해 정보가 필요하다고 주장할 수 있습니다.
- 이메일 내 링크를 클릭하지 않고 마우스를 올려보세요. 표시되는 URL이 해당 회사 공식 웹사이트와 다르게 보인다면 피싱 시도일 가능성이 높습니다.
- 무료 상품을 제공한다는 제안을 받았다면 피싱 이메일일 가능성이 높습니다. 빠르게 부자가 되는 방법을 약속하는 메시지를 받으면 주의하세요.
위협 인텔리전스 강화스푸핑 대 피싱 방지 팁
피싱 및 스푸핑 공격을 방지하려면 사전 예방적 보안 조치와 경계가 필요합니다. 스푸핑 대 피싱 방지 팁은 다음과 같습니다:
- 수신 거부된 이메일의 링크를 클릭하지 마십시오. 도메인에 대한 인증 프로토콜(예: SPF(Sender Policy Framework), DKIM(DomainKeys Identified Mail), DMARC(Domain-based Message Authentication, Reporting, and Conformance))을 설정하세요. 이를 통해 합법적인 이메일을 확인하고 공식 도메인을 스푸핑하기 매우 어렵게 만들 수 있습니다.
- 보안 자동화 워크플로우를 감독할 보안 담당자를 고용하세요. 고급 보안 솔루션도 어느 정도 오류가 발생하기 쉽습니다. 이러한 사례를 조사하고 발견하기 위해서는 인간의 통찰력이 필요합니다.
- 직원들에게 피싱 및 스푸핑 사례에 대처하는 방법에 대한 정기적인 사이버 보안 인식 교육과 지침을 제공하십시오. 의심스러운 출처의 링크를 클릭하지 않도록 교육하십시오. 직원들에게 공격자와의 상호작용 위험성, 대처 방법, 피싱 및 스푸핑 위험의 중요성을 교육하십시오.
- 소프트웨어를 최신 상태로 유지하고 시스템을 정기적으로 패치하십시오. 사용자 인증을 위해 다중 인증(MFA)을 사용하십시오.
- 직원들이 피드백과 우려 사항을 익명으로 제출하도록 장려하십시오. 조기 탐지, 예방 및 위협 대응에 대한 인센티브와 보상을 제공하십시오. 이는 사이버 보안 인식 문화를 조성하고 스푸핑 및 피싱 위협을 제거할 가능성을 높이는 데 도움이 될 것입니다.
결론
스푸핑과 피싱 공격은 사이버 범죄자들이 사용하는 두 가지 독특한 공격 기법입니다. 이를 효과적으로 방어하려면 그 작동 방식을 이해하는 것이 필수적입니다.
스푸핑은 신뢰받는 개인이나 단체를 사칭하는 반면, 피싱은 더 넓은 범위를 노리며 감정적 요인을 조작하는 데 의존합니다. 두 형태 모두 사회공학적 기법을 기반으로 하지만 세부 수준에서 차이가 있습니다. 피싱은 공격 환경 구축에 중점을 두고 개인적 상호작용은 상대적으로 덜 중요시합니다. 반면 스푸핑에서는 공격자가 인간적 상호작용과 정보 교환에 집중합니다. 피싱 및 스푸핑 공격을 방어하려면 지금 바로 SentinelOne를 사용해 보세요.
"FAQs
SentinelOne 제품을 사용하면 스푸핑 및 피싱 공격으로부터 보호할 수 있습니다. 맞춤형 권장 사항을 위해 팀에 문의하십시오.
"현재는 이메일뿐만 아니라 SMS(스미싱)나 음성 통화(비싱), 소셜 미디어를 통해서도 발생합니다.
"즉시 비밀번호를 변경하고, 피해를 입은 기관이나 담당자에게 알리며, 계정에서 의심스러운 활동을 모니터링하세요. 필요한 경우 당국이나 IT 부서에 해당 사건을 신고하십시오.
"이메일 발신자 주소의 미세한 변형을 주의하십시오. 또한 민감한 정보 요청이나 의심되는 발신자의 평소 스타일과 맞지 않는 어색한 문장도 의심해야 합니다.
"