[데일리시큐]안랩, “다양한 내용으로 위장한 피싱 메일 주의” 당부

내용 요약

안랩은 최근 급여 변동, 이메일 수신 실패 등을 위장한 피싱 메일 공격 사례 증가를 경고했습니다. 공격자들은 정교한 피싱 사이트를 이용해 사용자의 계정 정보를 탈취하려 시도하며, 특히 자연스러운 메일 내용과 정상 웹사이트와 유사한 피싱 페이지를 통해 사용자의 의심을 피하려는 고도화된 수법을 사용하고 있습니다.

핵심 포인트

• 급여 변동, 이메일 수신 실패 등 다양한 주제로 위장한 피싱 메일 공격 증가
• 정상 웹사이트와 구분이 어려운 정교한 피싱 페이지를 활용
• 첨부파일이나 URL 클릭 유도를 통해 계정 정보 탈취 시도
• 사용자의 각별한 주의와 보안 인식 강화 필요

기술 세부 내용

1️⃣ Phishing (피싱)

• 정의: 사용자를 속여 개인 정보(아이디, 비밀번호, 금융 정보 등)를 탈취하는 사회 공학적 공격 기법.
• 공격 방식: 이메일, 문자 메시지, 웹사이트 등을 통해 사용자를 속여 악성 링크 클릭이나 파일 다운로드를 유도. 이를 통해 악성코드 감염 또는 피싱 사이트로 이동시켜 정보 탈취.
• 본문 적용: 뉴스 본문에서 공격자는 "급여 변동"이나 "이메일 수신 실패"와 같은 내용으로 위장한 피싱 메일을 발송하여 사용자들을 속이고 피싱 사이트로 유인하여 계정 정보 탈취를 시도.
• ️ 대응 방안: 출처가 불분명한 이메일/문자 메시지의 링크 클릭 및 첨부파일 실행 자제, 의심스러운 웹사이트 접속 금지, 강력한 비밀번호 사용 및 정기적인 변경, 이메일/문자 메시지 발신자 확인, 스팸 필터링 기능 활용, 보안 소프트웨어 최신 버전 유지 및 실시간 감시 기능 활성화.

2️⃣ Phishing Site (피싱 사이트)

• ️ 정의: 정상 웹사이트를 모방하여 사용자를 속이고 개인 정보를 입력하도록 유도하는 위조 웹사이트.
• 특징: 정상 사이트와 매우 유사한 디자인과 인터페이스를 사용하여 사용자의 의심을 피하기 어려움. URL 주소도 유사하게 만들어 혼동을 유발하는 경우가 많음.
• 본문 적용: 뉴스 본문에서 공격자는 "정상 웹사이트와 구분이 어려운 정교한 피싱 페이지를 제작"하여 사용자들을 속이고 계정 정보를 탈취하려 시도.
• ️ 대응 방안: URL 주소를 꼼꼼히 확인 (정상 사이트와 미묘한 차이 존재 가능성), 웹사이트의 보안 인증서 확인 (HTTPS, 자물쇠 아이콘), 의심스러운 웹사이트 접속 자제, 개인 정보 입력 전 웹사이트의 신뢰도 확인, 피싱 방지 솔루션 사용.

3️⃣ Social Engineering (사회 공학)

• ️ 정의: 사람의 심리를 이용하여 속이고 정보를 탈취하거나 특정 행위를 유도하는 기법.
• 공격 방식: 권위, 긴급성, 호기심 등을 자극하여 사용자의 판단력을 흐리게 만들고 원하는 정보를 얻거나 특정 행위를 하도록 유도.
• 본문 적용: 공격자는 '급여 변동'이나 '이메일 수신 실패'와 같은 내용을 이용하여 사용자의 긴급성과 호기심을 자극하여 피싱 메일을 열어보도록 유도하는 사회 공학적 기법을 사용.
• ️ 대응 방안: 출처 불명의 요청에 대한 경계심 유지, 개인 정보 요청에 대한 신중한 대응, 보안 교육 및 훈련을 통해 사회 공학적 공격에 대한 인식 제고.

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=166831