타이포스쿼팅이란? 도메인 공격 기법 및 예방

타이포스쿼팅 공격은 오타를 악용하여 사용자를 자격 증명을 탈취하는 가짜 도메인으로 리디렉션합니다. 공격 기법과 엔터프라이즈 예방 전략을 알아보세요.

타이포스쿼팅이란 무엇인가?

"google.com" 대신 "gogle.com"을 입력하고 Enter를 누릅니다. 몇 밀리초 만에 단순한 문자 누락을 악용하는 자격 증명 수집 페이지가 나타납니다. 그 한 번의 오타로 인해 공격자에게 기업 자격 증명이 넘어갔습니다.

타이포스쿼팅은 위협 행위자가 일반적인 오타를 악용하여 합법적인 웹사이트와 매우 유사한 도메인 이름을 등록하는 도메인 기반 공격입니다. FBI의 2023년 인터넷 범죄 보고서에 따르면, 피싱 및 스푸핑 공격(타이포스쿼팅 도메인의 주요 사용 사례)은 2023년에만 298,878건의 신고가 접수되었습니다.

CISA의 공식 지침은 타이포스쿼팅을 도메인 기반 사회공학 공격으로 정의하며, 위협 행위자가 "합법적인 도메인의 특성을 약간 변경한 스푸핑 도메인을 설정"한다고 설명합니다. 공격자는 문자 변형을 통해 사용자를 속이기 위해 "gogle.com"(문자 누락), "googel.com"(문자 전치), "googlr.com"(인접 키 오타)과 같은 도메인을 등록하여 설득력 있는 피싱 인프라를 구축합니다.

이 공격이 성공하는 이유는 인간의 인식이 기계의 정밀성과 다르기 때문입니다. 화면에서 "paypal.com"을 보지만, 브라우저는 키릴 문자 'а'(U+0430)가 포함된 "pаypal.com"으로 연결됩니다. 이 문자는 라틴 문자 'a'(U+0061)와 동일하게 표시됩니다. 해당 도메인은 PayPal이 아닌 공격자 소유입니다.

타이포스쿼팅은 별도의 사회공학적 시나리오가 필요하지 않습니다. 공격자는 예측 가능한 빈도로 발생하는 오타를 단순히 기다립니다. 수천 명의 직원이 매일 수백 개의 SaaS 플랫폼에 접근하는 엔터프라이즈 환경에서는 이러한 오타가 확률이 아닌 볼륨으로 측정되는 공격 기회가 됩니다.

이 위협의 규모를 이해하면 즉각적인 의문이 생깁니다. 기존 보안 통제는 왜 이러한 공격을 막지 못하는가?

기존 보안이 타이포스쿼팅에 실패하는 이유

타이포스쿼팅은 경계 방어를 완전히 우회하는 다단계 공격 체인의 진입점 역할을 합니다.  CISA 권고 AA23-025A에 따르면, "피싱 이메일에 연결된 1단계 악성 도메인은 주기적으로 다른 사이트로 리디렉션되어 추가 리디렉션 및 RMM 소프트웨어 다운로드를 유도합니다." 사용자가 악성 도메인으로 자발적으로 이동하기 때문에 엔드포인트 보안은 초기 침해를 감지하지 못합니다.

기존 URL 필터링은 타이포스쿼팅 도메인에 악성 평판 이력이 없기 때문에 실패합니다. DNS 로그에는 명령 및 제어 패턴이 아닌 합법적인 사용자 쿼리만 표시됩니다. SSL 인증서는 검증을 통과하여 신뢰할 수 있는 자물쇠 아이콘을 표시합니다. 보안 스택은 악성 활동이 아닌 인가된 사용자 행동으로 인식하며, 페이로드가 실행될 때까지 위협을 감지하지 못합니다.

사이버 보안 영향은 개별 자격 증명 탈취를 넘어섭니다. 카네기멜론대학교 연구에 따르면, 타이포스쿼팅 도메인은 중앙 집중식 메일 서버 인프라를 통해 매년 상당한 양의 잘못 전송된 이메일을 수신합니다. 사용자가 실수로 자사 도메인의 타이포스쿼팅 버전으로 기업 커뮤니케이션을 전송하면, 공격자는 단 한 번의 보안 경고 없이 비즈니스 인텔리전스, 재무 데이터, 전략적 커뮤니케이션을 가로챌 수 있습니다.

이러한 공격을 방어하려면, 먼저 공격자가 기만적인 도메인을 생성하는 구체적인 기술을 이해해야 합니다.

타이포스쿼팅 공격 유형

공격자는 설득력 있는 도메인 변형을 생성하기 위해 다양한 기술을 사용합니다. 연구에 따르면 약 99%의 타이포스쿼팅 도메인은 단일 문자 변형을 사용하며, 이러한 패턴은 예측 가능하면서도 효과적입니다.

1. 문자 누락은 한 글자를 제거합니다: "google.com" 대신 "gogle.com". 빠른 타이핑 시 손가락이 키를 건너뛰는 현상을 악용합니다.
2. 문자 중복은 글자를 추가합니다: "googgle.com"은 반복 문자에서의 이중 입력 오류를 노립니다.
3. 문자 전치는 인접 문자를 바꿉니다: "googel.com"은 빠른 타이핑 시 글자 순서를 뒤바꾸는 자연스러운 경향을 악용합니다.
4. 인접 키 대체는 키보드에서 인접한 문자로 교체합니다: "googlr.com"(e 옆의 r)과 같이 물리적 오타를 노립니다.
5. 동형이의어(호모그래프) 공격은 시각적으로 동일한 유니코드 문자를 대체합니다.  ICANN 연구에 따르면, 연구진은 20개월 동안 11,766개의 고유 IDN 호모그래프를 문서화했습니다. 키릴 문자 'а'(U+0430)는 라틴 문자 'a'(U+0061)와 동일하게 표시되어 "pаypal.com"이 합법 도메인과 시각적으로 구분되지 않습니다.
6. 도플갱어 도메인은 서브도메인에서 점을 생략합니다: "wwwgoogle.com" 또는 "aborofamerica.com"(boa 뒤 점 누락)과 같이 서브도메인과 도메인 사이의 점을 빼먹은 사용자를 노립니다.
7. 콤보스쿼팅은 합법적으로 보이는 단어를 추가합니다: "google-login.com" 또는 "secure-paypal.com"은 공식 서브도메인처럼 보이지만 공격자 소유입니다.
8. 잘못된 TLD 대체는 도메인 확장 혼동을 악용합니다: 회사가 company.com만 소유할 때 공격자는 company.co, company.net, company.org를 등록합니다.
9. 하이픈 변형은 하이픈을 추가하거나 제거합니다: "face-book.com"과 "facebook.com"은 브랜드명 내 하이픈 위치에 대한 혼동을 노립니다.
10. 비트스쿼팅은 하드웨어 메모리 오류로 인해 캐시된 도메인 이름의 단일 비트가 무작위로 변경되는 현상을 악용하여, 합법 도메인과 한 비트만 다른 도메인으로 트래픽을 리디렉션합니다.

이러한 각 기술의 목적은 피해자를 악성 목적지로 유도하는 것입니다. 하지만 기만적인 도메인 등록은 첫 단계에 불과합니다. 공격자가 이러한 도메인을 실제 위협으로 전환하는 방법은 다음과 같습니다.

타이포스쿼팅의 작동 방식

타이포스쿼팅 공격은 등록된 도메인을 조직에 대한 실질적 위협으로 전환하는 4단계 운영 사이클을 따릅니다.

1. 1단계: 도메인 식별 및 등록. 공격자는 알고리즘을 사용해 고가치 도메인의 오타 변형을 생성합니다. 트래픽이 많거나, 자격 증명이 가치 있거나, 금융 거래가 가능한 브랜드를 식별한 후, 여러 TLD에 걸쳐 수백 개의 변형을 등록합니다.
2. 2단계: 인프라 구축은 악성 인프라를 설정합니다. 공격자는 타이포스쿼팅 도메인의 DNS 레코드를 복제 로그인 페이지,  악성코드 배포 플랫폼, 리디렉션 체인 등으로 연결합니다. 유효한 SSL 인증서를 획득하고, 잘못 전송된 이메일을 수집하기 위해 메일 서버를 구성합니다.
3. 3단계: 트래픽 수집은 다양한 채널을 통해 발생합니다. 직접 입력 오류는 사용자가 URL을 입력할 때 사소한 오타로 발생합니다. 침해된 계정에서 발송된 이메일 캠페인에는 메시지 맥락상 합법적으로 보이는 타이포스쿼팅 링크가 포함됩니다.  FBI는 "위협 행위자가 합법적인 웹사이트 도메인의 특성을 약간 변경하여 스푸핑 사이트를 생성하고, 피해자로부터 민감한 정보를 수집한다"고 경고했습니다.
4. 4단계: 수익화는 공격자의 목적에 따라 다양한 전략을 사용합니다:

• 자격 증명 수집은 탈취된 자격 증명으로 기업 데이터에 접근할 수 있는 SaaS 플랫폼을 노립니다
• 악성코드 배포는  랜섬웨어 및 정보 탈취 악성코드를 드라이브 바이 다운로드로 전달합니다
• 이메일 가로채기는 민감한 비즈니스 정보가 포함된 잘못 전송된 커뮤니케이션을 수집합니다
• 광고 사기는 광고 네트워크로 강제 리디렉션을 통해 수익을 창출합니다
• 브랜드 사칭은 비즈니스 이메일 침해(BEC) 사기를 지원합니다

카네기멜론대학교 연구에 따르면, 타이포스쿼팅 도메인은 중앙 집중식 인프라를 통해 연간 약 80만 건의 이메일을 수신합니다.

이 운영 모델은 이론이 아닙니다. 실제 사례는 이러한 공격이 조직에 어떤 영향을 미치는지 명확히 보여줍니다.

실제 타이포스쿼팅 공격 사례

문서화된 사례는 타이포스쿼팅이 조직의 규모, 산업, 보안 성숙도와 무관하게 영향을 미침을 보여줍니다. 이 사례들은 공격으로 인한 직접적인 피해와 그에 따른 평판 리스크를 모두 입증합니다.

• Google vs. Gooogle LLC (2022): 2022년 10월, Google은 미국 뉴욕 남부지방법원에 Gooogle LLC를 상대로 소송을 제기했습니다. 이 회사는 "gooogle.com"(o가 하나 더 추가된) 등 도메인을 등록했습니다. 법원 문서에 따르면, 해당 타이포스쿼팅 도메인은 악성코드를 배포하고 Google 사용자를 대상으로 피싱 캠페인을 수행했습니다. 이 사건은 세계적으로 가장 잘 알려진 브랜드조차 지속적으로 타이포스쿼팅 위협에 직면함을 보여줍니다.
• Equifax 타이포스쿼팅 사건 (2017): 1억 4,700만 명의 소비자에게 영향을 미친 Equifax의 대규모  데이터 유출 이후, 회사 자체가 피해자들에게 타이포스쿼팅 도메인으로 안내하는 실수를 저질렀습니다. Equifax 공식 트위터 계정은 합법적인 "equifaxsecurity2017.com" 대신 "securityequifax2017.com" 링크를 게시했습니다. 해당 타이포스쿼팅 도메인은 보안 연구자가 생성했으나, 공격자가 이를 무기화했다면 혼란스러운 피해자들로부터 자격 증명을 수집할 수 있었습니다.

이러한 사례는 타이포스쿼팅이 조직을 직접적인 표적으로 삼을 뿐만 아니라, 자사 고객을 대상으로 한 공격의 의도치 않은 조력자가 될 수 있음을 보여줍니다. 그렇다면 이 공격 벡터가 다양한 산업과 대상에서 일관되게 효과적인 이유는 무엇일까요?

타이포스쿼팅이 성공하는 이유

타이포스쿼팅은 보안 투자와 무관하게 이 기법을 지속적으로 효과적으로 만드는 근본적인 공격자 이점을 악용합니다.

• 인간의 실수는 통계적으로 보장됩니다. FBI는 2023년에 298,878건의 피싱 신고를 기록했습니다. 수천 명의 직원이 매일 URL을 입력하는 엔터프라이즈 환경에서는 오타가 수학적으로 필연적으로 발생합니다. 단순한 도메인 등록만으로도 예측 가능한 인간 행동에서 발생하는 자연스러운 잘못된 트래픽을 포착할 수 있으므로, 공격자는 복잡한 익스플로잇이 필요하지 않습니다.
• 시각적 인식은 픽셀 단위로 동일한 문자를 구분하지 못합니다. 키릴 문자 'а'(U+0430)가 포함된 "pаypal.com"을 볼 때, 시각 피질은 렌더링된 글자가 동일하므로 "paypal.com"으로 인식합니다. ICANN 연구에 따르면, 공격자는 이러한 생물학적 한계를 악용해 수천 개의 고유 호모그래프 변형을 등록했습니다.
• 신뢰 지표가 무기화됩니다. 공격자는 합법적인 인증 기관에서 타이포스쿼팅 도메인용 유효한 SSL 인증서를 몇 분 만에 획득할 수 있습니다. 사용자가 검증하도록 교육받은 자물쇠 아이콘이 이제는 잘못된 신뢰를 제공합니다.  ICANN 문서에 따르면, 인증서는 연결이 암호화되었음을 증명할 뿐, 도메인 자체의 합법성을 보장하지 않습니다.
• 공격 실행에 필요한 자원이 최소화됩니다. 도메인 등록 비용은 15달러 미만이며, 몇 분 만에 완료됩니다. Let's Encrypt의 무료 SSL 인증서로 즉시 신뢰성을 확보할 수 있습니다. 피싱 키트는 자격 증명 수집 페이지 배포를 자동화합니다. 공격자는 기술적 장벽이 없어 최소 투자로 대규모 캠페인을 전개할 수 있습니다.

이러한 공격자 이점은 타이포스쿼팅 방어를 시도하는 보안팀에 상응하는 도전 과제를 만듭니다.

타이포스쿼팅 방어의 도전 과제

보안팀은 충분한 자원과 도구가 있어도 타이포스쿼팅 방어가 근본적으로 어려운 구조적 한계에 직면합니다.

• 평판 기반 탐지는 너무 늦게 도착합니다. 보안 스택은 블록리스트와  위협 인텔리전스 피드에 의존하여 공격에서 관찰된 후 악성 도메인을 식별합니다. 새로 등록된 타이포스쿼팅 도메인은 평판 이력이 전혀 없어, 첫 피해자가 이미 침해될 때까지 필터를 우회합니다.
• 변형의 규모가 모니터링 역량을 초과합니다. 단일 브랜드만으로도 문자 변형, TLD 대체, 콤보스쿼팅 조합 등 수백 개의 수학적으로 가능한 타이포스쿼팅 변형이 생성됩니다. 모든 TLD에서 모든 변형을 모니터링하는 것은 IDN 호모그래프까지 포함하면 실질적으로 인간이나 자동화된 검토 역량을 초과합니다.
• 공격 표면이 웹 도메인을 넘어 확장됩니다. 공격자는 이제 소프트웨어 패키지 저장소(NPM, PyPI, RubyGems) 및 AI/ML 모델 저장소(Hugging Face)에서도 타이포스쿼팅을 배포합니다. 개발자가 "requests" 대신 "requets"를 설치하면, 도메인 모니터링만으로는 탐지할 수 없습니다.
• 이메일 가로채기는 보안 경고를 생성하지 않습니다. 직원이 자사 도메인의 타이포스쿼팅 버전으로 내부 커뮤니케이션을 잘못 전송해도 탐지 트리거가 없습니다. 공격자는 중앙 집중식 메일 서버를 운영하며, 비즈니스 인텔리전스, 재무 데이터, 전략적 커뮤니케이션이 포함된 잘못 전송된 이메일을 조용히 수집합니다.
• 테이크다운 프로세스가 공격보다 느립니다. UDRP 신고 및 등록기관 남용 신고는 처리에 며칠 또는 몇 주가 소요됩니다. 공격자는 방어 측에서 도메인을 제거하기 전에 대체 도메인을 더 빠르게 등록하여, 방어가 항상 공격보다 뒤처지는 끝없는 순환이 발생합니다.

이러한 구조적 도전 과제는 보안팀이 실제로 공격자가 악용하는 취약점을 넓히는 일반적인 실수를 범하게 만듭니다.

타이포스쿼팅 방어의 일반적인 실수

귀 조직은 타이포스쿼팅 방어를 구현할 때 공격자가 적극적으로 노리는 취약점을 만드는 실수를 범할 수 있습니다.

• 실수 1: URL 필터링이 충분한 보호를 제공한다고 가정함. 이미 알려진 악성 도메인을 차단하는 웹 프록시와 DNS 필터링 서비스를 배포했습니다. 그러나 타이포스쿼팅 도메인은 새로 등록되어 악성 평판 이력이 없으므로 이 가정은 실패합니다.
• 실수 2: 이메일 인증 구현을 소홀히 함. 조직 도메인에 대해 DMARC를 정책 적용(p=quarantine 또는 p=reject)으로 배포하지 않았습니다. DMARC 적용이 없으면, 스푸핑된 메시지가 수신자 인박스로 도달하며, 귀사의 브랜드 평판은 직접 발송하지 않은 피싱 캠페인으로 인해 손상됩니다.
• 실수 3: 웹 도메인에만 집중하고 소프트웨어 공급망을 무시함. 보안팀은 웹 기반 타이포스쿼팅 도메인 등록만 모니터링하고, 개발자 워크스테이션의 패키지 매니저 설치는 모니터링하지 않습니다. 개발자가 pip install 명령에서 "requests" 대신 "requets"를 입력하면, 타이포스쿼팅 패키지가 개발 환경에 직접 배포됩니다.
• 실수 4: 인증서 한계를 설명하지 않고 자물쇠 아이콘 확인만 교육함. 보안 인식 교육에 공격자가 타이포스쿼팅 도메인에 대해 유효한 SSL 인증서를 쉽게 획득할 수 있다는 설명이 빠져 있습니다. 인증서는 암호화만 증명할 뿐, 합법성을 보장하지 않습니다.
• 실수 5: 효과 측정 없이 방어를 구현함. 방어용 도메인 변형을 등록하고 이메일 인증을 구성했지만, 조직을 대상으로 한 타이포스쿼팅 도메인에 사용자가 얼마나 자주 노출되는지 측정하는 모니터링을 배포하지 않았습니다.

이러한 실수를 피하려면 가시성 확보가 우선입니다. 존재를 모르는 위협은 방어할 수 없습니다.

브랜드를 겨냥한 타이포스쿼팅 탐지 방법

공격자가 타이포스쿼팅 도메인을 무기화하기 전에 이를 식별하려면 여러 데이터 소스에 대한 사전 모니터링이 필요합니다.

• 인증서 투명성 모니터링은 새로 발급된 SSL 인증서에 대한 거의 실시간 가시성을 제공합니다. 공격자가 브랜드와 유사한 도메인에 인증서를 획득하면, CT 로그가 발급 이벤트를 포착합니다. 조직명 또는 제품명이 포함된 인증서 발급에 대한 알림을 구성하십시오.
• DNS 분석은 의심스러운 등록 패턴을 드러냅니다. 짧은 시간 내 여러 TLD에서 브랜드와 유사한 도메인의 대량 등록을 모니터링하십시오. 공격자는 일반적으로 캠페인 시작 전 수십 개의 변형을 동시에 등록합니다.
• WHOIS 데이터베이스 모니터링은 타이포스쿼팅 패턴과 일치하는 신규 도메인 등록을 추적합니다. 상용 위협 인텔리전스 서비스는 알고리즘으로 타이포스쿼팅 변형을 생성하고, 등록 데이터베이스에서 일치하는 도메인이 나타나면 알림을 제공합니다.
• 타이포스쿼팅 생성 알고리즘은 Damerau-Levenshtein 거리 계산을 사용해 모든 가능한 단일 문자 변형 목록을 생성합니다. 이 도구는 모든 변형을 생성한 후, 활성 DNS 레코드와 교차 참조하여 등록된 위협을 식별합니다.
• 웹 트래픽 분석은 사용자가 타이포스쿼팅 도메인으로 이동할 때를 식별합니다. DNS 쿼리 로그, 웹 프록시 데이터, 엔드포인트 텔레메트리는 조직을 겨냥한 타이포스쿼팅 캠페인을 나타내는 잘못된 트래픽 패턴을 드러냅니다.

탐지만으로는 충분하지 않습니다. 타이포스쿼팅 위협을 식별할 수 있게 되면, 최초 침해를 방지하는 체계적인 방어가 필요합니다.

타이포스쿼팅 예방을 위한 모범 사례

타이포스쿼팅 방어는 도메인, 네트워크, 엔드포인트, 조직 수준의 취약점을 동시에 해결하는 다계층 통제가 필요합니다.

• 위험 기반 우선순위로 방어용 도메인 등록을 구현하십시오.  CIS 지침에 따르면, "일반적인 오타를 방지하기 위해 도메인 변형 등록을 고려해야 한다"고 권고합니다. 다음 네 가지 주요 범주에서 예측 가능한 타이포스쿼팅 변형을 등록하십시오:

1. 하이픈 변형(company-name.com vs companyname.com)
2. 문자 유사성을 이용한 호모글리프 변형, 특히 키릴 문자
3. 키보드 인접 오타 기반의 일반적인 철자 오류
4. 주요 TLD 대체(.com, .net, .org, .co)

• 단계적 DMARC 적용으로 이메일 인증을 배포하십시오. SPF 레코드를 구성하고, DKIM 서명을 구현하며, DMARC를 모니터 모드(p=none)로 우선 배포하십시오. 합법적 메일 소스를 검증한 후, 격리(quarantine) 및 거부(reject) 정책으로 전환하십시오.
• 암호화된 해석이 적용된 DNS 보안 통제를 구성하십시오. DNSSEC을 배포하여 DNS 응답을 암호학적으로 검증하십시오. 평판 분석이 완료될 때까지 신규 등록 도메인을 차단하는 보호 DNS 서비스를 구성하십시오.
• 자율 알림이 포함된 지속적 도메인 모니터링을 구축하십시오. 인증서 투명성 로그, WHOIS 데이터베이스, 상용 도메인 모니터링 서비스의 도메인 등록 피드에 가입하십시오. secure, login, portal, verify, account 등 일반 단어와 조직명을 결합한 콤보스쿼팅 변형을 모니터링하십시오.
• 클릭 이후 결과를 차단하는 엔드포인트 수준 보호를 구축하십시오. SentinelOne의 Singularity Platform은 의심스러운 행동이 발생할 때 엔드포인트를 격리하는 자율 대응 기능을 제공하여, 타이포스쿼팅 침해 이후 발생하는 악성코드 실행 및 자격 증명 탈취 시도를 차단합니다.
• 사용자에게 구체적인 검증 기법을 교육하십시오. 사용자가 자격 증명을 입력하기 전에 URL을 문자 단위로 직접 확인하도록 교육하십시오. 자주 방문하는 사이트는 수동 입력 대신 북마크 사용을 강조하십시오.

이러한 통제를 적용해도 일부 타이포스쿼팅 공격은 사용자에게 도달할 수 있습니다. 예방이 실패할 경우, 결과를 차단하는 엔드포인트 수준 보호가 필요합니다.

SentinelOne으로 타이포스쿼팅 공격 차단

SentinelOne의 Singularity Platform은 사용자가 타이포스쿼팅 도메인에 접근한 이후 발생하는 악성 활동에 대한 엔드포인트 수준 보호를 제공하여, 악성 사이트로의 최초 이동을 방지하는 도메인 기반 방어를 보완합니다.

자격 증명 탈취 시도 이후 엔드포인트에 악성 페이로드가 배포되면, Singularity Endpoint는 실시간으로 자격 증명 탈취를 탐지하는 행위 기반 AI를 제공합니다. 독립적인  MITRE ATT&CK 평가에 따르면, 경쟁 솔루션 대비 88% 적은 노이즈로 실제 위협에 집중할 수 있습니다.

• Purple AI 로 타이포스쿼팅 사고 대응을 가속화하십시오.  SentinelOne 연구에 따르면, Purple AI는 위협 식별 및 대응을 크게 가속화합니다. 사용자가 타이포스쿼팅 도메인에 접근한 사실을 발견하면, Purple AI는 자연어로 엔드포인트 데이터를 질의하여 어떤 시스템이 해당 도메인에 접근했는지, 이후 의심스러운 행동이 있었는지 즉시 식별합니다. 조사 워크플로우가 수시간에서 수분으로 단축됩니다. 여러 플랫폼의 DNS 로그, 웹 프록시 데이터, 엔드포인트 텔레메트리를 수동으로 상관 분석하는 대신, Purple AI에 "지난 7일간 typosquatted-domain.com을 해석한 엔드포인트와 이후 실행된 프로세스는?"이라고 묻기만 하면 됩니다. Purple AI는 영향을 받은 시스템에서 발생한 모든 포렌식 타임라인을 반환합니다.
• Storyline 기술로 전체 공격 체인 가시성 확보 타이포스쿼팅이 최초 침해 진입점이 될 때, Storyline은 이후 발생하는 모든 프로세스 생성, 네트워크 연결, 파일 수정, 레지스트리 변경을 캡처합니다. 브라우저 최초 이동부터 자격 증명 탈취, 횡적 이동 시도, 데이터 유출까지 전체 공격 진행 상황을 단일 통합 타임라인으로 확인할 수 있습니다.

SentinelOne 데모 요청을 통해 타이포스쿼팅 공격에 대한 엔드포인트 보호를 강화하십시오. Singularity Endpoint는 악성코드 실행을 차단하고, 경쟁 솔루션 대비 88% 적은 노이즈로 실시간 자격 증명 탈취 시도를 탐지하며, 행위 기반 AI 모니터링으로 공격 진행을 차단합니다.

핵심 요약

타이포스쿼팅은 예측 가능한 인간 오타를 무기화하여 2023년 FBI 신고 298,878건을 기록했으며, 자격 증명 탈취부터 랜섬웨어 배포까지 다양한 공격을 가능하게 합니다. 이 공격이 성공하는 이유는 새로 등록된 도메인에 악성 평판 이력이 없어, 실제 공격에서 관찰되기 전까지 기존 보안 통제를 우회할 수 있기 때문입니다.

효과적인 방어를 위해서는 방어용 도메인 등록, 이메일 인증(DMARC/SPF/DKIM), DNS 보안, 지속적 모니터링,  엔드포인트 보호 등 다계층 통제가 필요합니다. 타이포스쿼팅 공격으로 사용자가 침해될 경우, SentinelOne Singularity Platform은 경쟁 솔루션 대비 88% 적은 노이즈로 자격 증명 탈취 및 악성코드 실행을 탐지하는 행위 기반 AI를 제공하여, 도메인 기반 침해 이후 악성 활동에 신속하게 대응할 수 있습니다.

자주 묻는 질문

타이포스쿼팅이란?

타이포스쿼팅은 위협 행위자가 일반적인 오타를 악용하여 합법적인 웹사이트와 매우 유사한 도메인 이름을 등록하는 도메인 기반 사이버 공격입니다. 

공격자는 문자 누락(gogle.com), 문자 전환(googel.com), 인접 키 오타(googlr.com), 또는 다른 알파벳의 시각적으로 유사한 문자를 사용하여 도메인을 생성합니다. 사용자가 실수로 이러한 도메인에 접속하면 자격 증명 탈취 페이지, 악성코드 배포, 또는 민감한 정보를 탈취하기 위한 사기성 콘텐츠에 노출될 수 있습니다.

타이포스쿼팅과 피싱의 차이점은 무엇인가요?

타이포스쿼팅은 오타를 악용하여 사용자를 공격자가 제어하는 도메인으로 리디렉션하는 반면, 피싱은 사회공학적 기법을 이용해 사용자가 악성 링크를 클릭하도록 유도합니다. 타이포스쿼팅은 별도의 메시지 작성 없이 공격자가 유사 도메인을 등록하고 자연스럽게 잘못 입력된 트래픽을 기다리기만 하면 됩니다. 

두 공격은 종종 함께 사용되며, 타이포스쿼팅 도메인이 피싱 캠페인의 랜딩 페이지로 활용됩니다.

SSL 인증서로 타이포스쿼팅을 방어할 수 있나요?

아니요. 공격자는 합법적인 인증 기관에서 타이포스쿼팅 도메인에 대한 유효한 SSL 인증서를 발급받아 브라우저에 신뢰할 수 있는 자물쇠 아이콘을 표시할 수 있습니다. 

인증 기관은 신청자가 도메인을 제어하는지만 확인하며, 도메인의 정당성은 검증하지 않습니다. HTTPS는 암호화와 도메인 제어만을 보장하며, 사용자가 의도한 조직에 도달했는지는 확인하지 않습니다.

어떤 산업이 타이포스쿼팅 위험에 가장 많이 노출되어 있나요?

미국 보건복지부에 따르면, 헬스케어와 금융 산업이 타이포스쿼팅을 포함한 사회공학 공격의 주요 표적 산업입니다. 

SaaS 및 웹메일 플랫폼이 볼륨 기준으로 가장 자주 표적이 되는 부문이며, 금융 서비스는 은행 자격 증명을 노린 IDN 동형이의어 공격으로 인해 상당한 위험에 노출되어 있습니다.

방어적 도메인 등록으로 타이포스쿼팅을 예방할 수 있나요?

방어적 등록은 위험을 줄일 수 있지만 완전히 제거할 수는 없습니다. 하나의 도메인만으로도 문자 대체, TLD 대안, 콤보스쿼팅 조합 등 수백 개의 변형이 생성될 수 있습니다. 

방어적 등록은 단일 문자 누락, 일반적인 전치, 주요 TLD 대안 등 발생 확률이 높은 변형에 집중하세요. DNS 필터링, 이메일 인증, 엔드포인트 보호와 결합하여 다계층 방어를 구축해야 합니다.

조직은 타이포스쿼팅 도메인에 얼마나 신속하게 대응해야 하나요?

조직은 식별 즉시 대응해야 합니다. 타이포스쿼팅 도메인은 등록 후 수 시간 내에 악용될 수 있습니다. 모니터링 시스템이 조직의 명명 패턴과 일치하는 신규 등록 도메인을 식별하면, 신속하게 악성 사용 여부를 분석해야 합니다. 

악성으로 확인된 경우, DNS 차단, 웹 프록시 필터, 이메일 게이트웨이 규칙을 동시에 적용하고, 호스팅 제공업체 및 등록기관에 삭제 요청을 제출해야 합니다.