당신이 해킹을 당하는 이유? (3)
가장 강력한 보안은 사람에게서 시작됩니다.
앞선 글에서 우리는 화려한 해킹 기술이 아니라 사람의 습관과 심리를 파고드는 공격을 살펴봤습니다. 약관을 확인하지 않는 습관, 무료라는 말에 무너지는 경계심, 의심 없이 누르는 링크까지 말입니다.
이 모든 공격에는 공통된 이름이 하나 있습니다. 바로 '소셜 엔지니어링'입니다.
소셜 엔지니어링, 결국은 '사기'입니다.
소셜 엔지니어링이라는 말은 낯설게 들릴 수 있습니다. 하지만 보안을 조금이라도 접해본 사람이라면 다른 이름으로 이미 들어봤을 것입니다. 우리말로는 '사회공학기법'이라고 부릅니다.
거창한 이름과 달리 실체는 단순합니다. 해킹에서 소셜 엔지니어링은 '사람을 속여 돈이 될 만한 정보나 파일을 훔치는 행위'를 뜻합니다. 대단한 기술력이 담긴 무언가가 아니라, '사기' 그 이상도 이하도 아닙니다.
오래전부터 사회 문제가 되어 온 보이스피싱이 소셜 엔지니어링의 대표적인 예입니다. 보이스피싱 범죄자는 전화를 받은 사람이 스스로 계좌이체를 하도록 정밀하게 시나리오를 짜고 접근합니다.
지인을 사칭하기도 하고, 경찰이나 검사, 국세청 직원을 사칭하기도 합니다. 그럴듯한 말로 상대가 자신을 철저하게 믿도록 만드는 것, 그것이 소셜 엔지니어링의 본질입니다.
소셜 엔지니어링 범위는 생각보다 넓습니다.
해외에서는 보이스피싱을 '비싱(Vishing)'이라고 부릅니다. 목소리를 뜻하는 Voice와 피싱(Phishing)을 합친 말로, 이 역시 소셜 엔지니어링 공격 기법의 하나로 분류됩니다.
소셜 엔지니어링이라는 개념은 우리가 흔히 아는 것보다 훨씬 넓은 범위를 아우릅니다. 대표적인 유형만 꼽아도 다음과 같습니다.
- 피싱(Phishing) : 가짜 이메일이나 웹사이트로 정보를 빼내는 공격
- 비싱(Vishing) : 전화 통화를 이용한 음성 사기, 우리에게 익숙한 보이스피싱
- 스미싱(Smishing) : 문자메시지(SMS)의 링크를 미끼로 삼는 공격
- 워터링 홀(Watering Hole) : 표적이 자주 찾는 웹사이트를 미리 감염시켜 두는 공격
- 프리텍스팅(Pretexting) : 그럴듯한 상황과 배역을 지어내 신뢰를 얻는 공격
- 웨일링(Whaling) : 경영진처럼 '큰 물고기'를 노리는 표적형 공격
- 테일게이팅(Tailgating) : 출입이 허가된 사람을 뒤따라 물리적 공간에 침입하는 방식
범위가 넓다고 해서 미리 겁먹을 필요는 없습니다. 이름은 제각각이어도 뿌리는 하나, '사람을 속인다'는 점에서 모두 같기 때문입니다.
왜 소셜 엔지니어링을 계속 강조할까요?
현재 발생하는 해킹 피해의 대부분이 바로 이 소셜 엔지니어링을 통해 일어나기 때문입니다.
듣기만 해도 머리가 지끈거리는 보안 취약점을 한 번 설명하는 것보다, 소셜 엔지니어링을 열 번 쉽게 설명하는 편이 훨씬 낫다고 봅니다. 후자가 독자의 보안 인식을 실질적으로 끌어올리기 때문입니다. 그리고 높아진 보안 인식은 곧 해킹을 당하지 않게 해주는 '보안 면역력'이 됩니다.
이 글을 끝까지 읽었다면 먼저 축하의 말을 전하고 싶습니다. 적어도 지금 우리가 얼마나 많은 공격에 둘러싸여 있는지 스스로 가늠할 수 있게 되었기 때문입니다. 사용자의 방심이든 범죄자의 위장 능력이든, 공격자는 목적을 이루기 위해 어떤 방법이든 동원합니다. 100% 보안이 불가능하다고 말하는 이유가 여기에 있습니다.
의심의 벽을 지키는 법
세상에 사기를 당하고 싶은 사람은 없습니다. 그래서 우리는 낯선 연락 앞에서 일단 의심부터 하는 것이 당연합니다.
문제는 공격자가 그 의심의 벽을 허무는 방법을 잘 알고 있다는 점입니다. 그 방법의 핵심이 바로 신뢰 관계를 교묘하게 파고드는 것입니다. 보이스피싱과 소셜 엔지니어링의 피해 사례를 나란히 놓고 보면 놀라울 만큼 방식이 닮아 있습니다. 누군가로 위장해 신뢰를 얻고, 그 신뢰를 통해 상대를 무너뜨립니다.
그래서 소셜 엔지니어링에 대비하는 방법은 보이스피싱에 대비하는 방법과 다르지 않습니다. 상대가 누구든 일단 의심하고, 스스로 사실을 확인하는 것입니다.
예를 들어 경찰청에서 보낸 신호 위반 안내 메일을 받았다고 해봅시다.
메일 속 링크를 누르는 대신, 경찰청 교통민원 서비스(경찰청교통민원 24, http://www.efine.go.kr)에 직접 접속해 조회해 보면 됩니다. 조회 내역에 해당 위반이 없다면, 당신은 해커 한 명을 잡아낼 기회를 얻은 셈입니다.
이럴 때는 한국인터넷진흥원(KISA)이 운영하는 보호나라(http://www.boho.or.kr)에 신고할 수 있습니다.
지금 당신의 메일함이 가장 위험합니다.
미국 최대 무선 통신망을 운영하는 버라이즌(Verizon)이 발표한 '2020 데이터 침해 조사 보고서(2020 Data Breach Investigations Report)'는 이 위험의 무게를 숫자로 보여줍니다. 소셜 엔지니어링 공격의 96%가 이메일을 통해, 약 3%가 웹사이트를 통해, 약 1%가 모바일 문자(SMS)를 통해 발생했습니다.
압도적인 비중이 이메일에 몰려 있습니다. 지금 이 순간에도 당신의 메일함에는, 문자로 오는 공격보다 훨씬 많은 위험이 조용히 쌓이고 있다는 뜻입니다.
세 편에 걸쳐 이야기했지만 결론은 처음과 같습니다.
해킹은 컴퓨터를 공격하기에 앞서 사람의 습관과 신뢰를 공격합니다. 그리고 그 공격을 막아내는 가장 확실한 방어선은, 최신 보안 제품이 아니라 '일단 의심하고 직접 확인하는' 당신의 마음가짐과 행동입니다.
우리의 일상이 항상 안심할 수 있도록, 일단 적절한 의심을 합시다.
'리투인 매거진' 카테고리의 다른 글
| 당신이 해킹을 당하는 이유? (2) (0) | 2026.06.23 |
|---|---|
| 당신이 해킹을 당하는 이유? (1) (0) | 2026.06.19 |