최근 기업 대상 타겟 공격 급증 (피싱 vs 창 피싱 vs 포경 공격) - 거래처 위장한 가짜 송금 요구

피싱 이메일이 링크를 클릭하고 신용카드 세부사항을 웹사이트의 눈에 띄는 곳에 입력하라는 타이포로 가득 찬 메시지였던 시대는 지났다. 버라이즌의 수치에 따르면, 오늘날의 피싱 공격은 진일보하고 정교하며 믿을 수 있는 것으로 나타나, 아마도 왜 직원 중 22%가 2018년에 피싱 이메일을 클릭했는지 설명해 줄 것이다.

피싱 공격은 어떻게 더 교묘해지는가? 자, 두 마리의 물고기를 낚아채려는 희망으로 넓은 그물을 내놓는 대신에, 사이버 범죄자들은 점점 더 그들의 공격에서 선택적이 되어가고 있다. 사이버 범죄자들은 단 하나의 고부가가치 목표에 노력을 집중함으로써 개인에 맞춘 맞춤형 공격을 만들 수 있어 후퍼 착지 가능성을 극대화할 수 있다.

다양한 유형의 피싱 공격과 소기업 소유주로서 자신을 보호할 수 있는 방법에 대해 더 자세히 알아보려면 계속해서 읽어보라.

피싱 작동 방식

피싱은 공격자가 대상으로부터 민감한 정보를 추출하기 위해 합법적인 실체인 체하는 사회공학 공격의 일종으로 총칭하는 말이다. 무언가를 잡으려는 희망으로 거대한 그물을 바다에 던지는 어부처럼, 대부분의 일반적인 피싱 공격은 믿을 수 없을 정도로 광범위한 공격 범위를 가지며, 종종 수천 또는 수백만 명의 사람들에게 배포될 것이다.

이런 의미에서 피싱 공격은 숫자놀이가 매우 많다. 공격자는 표적이 미끼를 잡을 가능성이 낮다는 것을 이해하지만, 공격 범위가 너무 넓기 때문에 적어도 몇몇 사람들은 대응할 가능성이 있다. 피싱 공격은 가장 흔하게 이메일을 통해 전달되지만 소셜 미디어, 전화, SMS를 통해서도 전송될 수 있다.

피싱 공격의 예

1.기술지원사기

기술지원 사기는 아마도 피싱 공격의 가장 고전적인 사례일 것이다. 일반적으로 컴퓨터에 문제가 있다는 경고(예: 악성 프로그램 감염, 인기 있는 온라인 서비스에서의 데이터 침해 또는 불법 활동을 위해 시스템을 사용했다는 주장) 및 문제를 해결할 수 있는 웹 사이트에 대한 링크를 전자 메일 또는 브라우저 팝업 형태로 제공한다. 웹사이트는 실제 거래처럼 보일 수도 있지만, 당신이 개인 정보를 입력할 때 그것은 당신의 자료를 범죄자들의 손에 직접 보낸다. 마이크로소프트의 글로벌테크지원스캠리서치에 따르면 2018년 기술지원 사기사건으로 손실을 본 소비자가 6%에 이른다고 한다.

2. 가짜 송장 (인보이스)

가짜 송장 피싱 공격은 몇 년 전부터 있어 왔는데, 안타깝게도 곧 사라질 것 같지는 않다. 이런 유형의 공격에서, 범죄자들은 전형적으로 유명한 기술 회사로서 포즈를 취하며 당신이 최근에 그들로부터 구매했다는 것을 보여주는 가짜 송장을 발송한다. 이메일은 당신이 요금에 이의를 제기하거나 자동 과금을 중단할 수 있는 웹사이트에 대한 링크를 포함하고 있다. 웹사이트에 당신의 세부사항을 입력하는 것은 당신의 정보를 범죄자들에게 보내는데, 그들은 그 데이터를 사기나 신분 도용을 저지르기 위해 사용할 수 있다.

3. 페이스북 메시지

소셜 미디어는 일반적으로 알고 신뢰하는 사람의 계정을 통해 공격이 전달되기 때문에 피싱의 강력한 공격 벡터가 되어, 더욱 설득력이 있으며, 피싱 링크를 클릭할 가능성이 높아진다. 메시지의 내용은 다양할 수 있지만, 그것은 종종 당신이 무언가를 얻었거나, 리스퀘 사진에 태그가 붙었거나, 새로운 직업 기회를 가졌다고 주장한다. 첨부 링크를 클릭하면 개인 정보를 훔치거나 컴퓨터에 악성 프로그램을 설치할 수 있는 사기성 웹 사이트로 이동하게 된다.

창 피싱이란?

스피어 피싱은 일반 피싱 공격보다 훨씬 선택적이고 정교하다. 스피어 피싱은 대개 특정 조직의 구성원을 대상으로 금융 데이터, 직원 자격 증명, 지적 재산 및 고객의 개인 신상 정보와 같은 중요한 정보에 접근할 수 있도록 하는 것을 포함한다. 이러한 유형의 공격은 보통 피싱 공격보다 훨씬 더 수익성이 높기 때문에 범죄자들은 그들의 목표물을 조사하고 공격을 계획하는데 오랜 시간을 소비할 수 있다. 스피어 피싱은 보통 빠른 돈을 벌려는 무작위 사이버 범죄자들보다는 정부 지원의 공격자들에 의해 행해진다.

포경 공격이란?

포경공격은 하위직원이 아닌 조직 내 고위직에 집중하는 창피싱의 일종이다. 많은 포경 공격은 민감한 회사 정보에 대한 높은 수준의 접근을 가진 CEO, CFO 및 다른 임원들을 목표로 한다. 일부 포경 공격은 C-suite 회원들을 가장하고 그들의 권한을 다른 부서의 직원들에게 민감한 정보를 공개하도록 설득하는 것을 포함한다.

포경 공격은 개인화된 만큼 정교하다. 이러한 유형의 공격에 사용되는 전자 메일과 웹 사이트는 전문적으로 설계되고, 결함이 없는 단어를 사용하며, 어떤 의미와 목적을 위해서라도 완전히 합법적으로 나타난다. 착시현상을 더하기 위해 공격자들은 스푸핑된 이메일 주소와 실제 회사나 정부 기관의 로고와 연락처 정보를 사용할 수 있다.

또한 이 공격을 개인화하기 위해 범죄자들은 링크드인, 페이스북, 트위터에서 종종 데이터를 끌어오는 등 가능한 한 많은 정보를 수집하기 위해 많은 노력을 할 것이다. 이를 통해 대상자의 이름, 직함, 기타 개인 정보를 참조할 수 있어 공격이 더욱 진정성이 있는 것으로 보인다.


포경 공격의 예

1.시게이트는 직원 1만 명의 W-2세무서 사본을 공개

2016년 데이터 저장 기술 대기업 시게이트의 HR 부서는 이 회사의 최고 경영자인 스티븐 uczo로부터 분명해 보이는 이메일을 받았다. 이 이메일은 직원들의 2015년 W-2 세금 양식과 이름, 사회보장번호, 소득, 주소 등 개인 신상 정보를 복사해 달라고 요청했다. HR은 이 요청을 충족시켰고, 그 결과 거의 10,000명의 현재와 과거의 직원들이 사이버 범죄자들에게 바로 보내지게 되었다.

2. 급여 정보를 스냅챗으로 넘기다

스냅챗은 사이버 공격에도 낯설지 않지만 2016년 한 직원이 직원들 중 일부에 대한 급여 정보를 공개하도록 속아 넘어가면서 소셜 미디어 플랫폼은 다시 데이터 침해의 중심에 서게 되었다. 이 공격에서, 급여 팀의 한 구성원은 스냅챗 CEO인 에반 스피겔로부터 직원 급여 정보를 요청받은 이메일을 받았다. 그 데이터는 공격자에게 적법하게 넘겨졌고 그 직후에 정보가 유출되었다.

3. FACC CEO가 사기범에게 5천6백만 달러를 송금한 후 실직

FACC는 보잉과 에어버스 등 고객이 있는 오스트리아의 항공기 제조회사다. 2016년 이 회사는 성공적인 포경 공격의 희생양이 되어 재무부가 사기범들에게 5600만 달러를 송금하게 된 것으로 드러났다. 이번 공격에 대한 자세한 내용은 공개된 적이 없는 반면 월터 스테판 FACC 대표는 "심각하게 직무유기"해 해임됐고, 이 회사의 CFO도 공격 직후 직장을 잃었다.


피싱, 창피싱, 포경: 무엇이 다른가?

피싱, 창 피싱, 포경 공격은 많은 유사점을 지니고 있는데, 주로 세 가지 모두 표적에서 정보나 돈을 끌어내기 위해 사칭하는 것을 포함한다. 하지만, 그들은 또한 알아야 할 몇 가지 미묘한 차이점도 가지고 있다.

전형적인 피싱 공격은 사기 행각에 "품질보다 양" 접근법을 취한다. 공격은 종종 간단하고, 비교적 쉽게 식별할 수 있으며, 수천 또는 수백만 명의 사람들에게 배포된다.

창피싱은 더 선택적이다. 이들 공격은 민감한 데이터를 얻기 위해 특정 조직이나 직원을 대상으로 한다. 창피싱에 사용되는 자산은 더욱 정교하여 적발하기 어려울 수 있다. 창피싱 공격은 계획 및 실행에 훨씬 더 오랜 시간이 걸리는 반면, 그 보상은 광범위한 피싱 공격보다 훨씬 더 많은 이익을 얻을 수 있다.

포경기는 창 피싱의 일종이다. 그것은 높은 수준의 권한과 중요한 회사 데이터에 대한 접근을 가진 특정 조직의 고위, 고부가 가치 목표물을 목표로 한다. 포경 공격은 준비하는 데 몇 주 또는 몇 달이 걸릴 수 있으며, 결과적으로 공격에 사용된 이메일은 매우 설득력이 있다.

중소기업이 창피싱과 포경 공격으로부터 방어할 수 있는 방법

1. 피싱과 포경공격에 대해 직원들에게 교육한다.

당신의 조직의 모든 레벨, 특히 고위 경영진, 그리고 HR과 급여 담당자들은 피싱 또는 포경 공격의 징후를 식별하는 방법에 대한 교육을 받아야 한다. 여기에는 스푸핑된 발신인 이름과 이메일 주소를 검색하는 방법, 요청되지 않은 첨부 파일을 주의하는 방법, 소프트웨어를 최신 상태로 유지하고 링크를 클릭하기 전에 URL을 두 번 확인하는 방법 등이 포함될 수 있다. 자세한 내용은 피싱 공격을 방지하는 방법에 대한 이전 블로그 게시물을 확인하십시오.

2. 매니저에게 소셜 미디어에서 공유되는 내용을 고려하도록 유도

위에서 언급했듯이, 사이버 범죄자들은 정기적으로 소셜 미디어 플랫폼을 추적하여 그들의 목표물에 대한 정보를 찾고, 그 정보를 이용하여 그들의 피싱과 포경 공격에 추가적인 합법성을 추가한다. 고용 장소, 주소, 생년월일 등의 데이터를 모두 사용해 공격에 무게를 더할 수 있다. 직원들이 소셜 미디어를 사용하는 것을 전면적으로 금지할 수는 없을지 모르나 직원(특히 관리자 및 임원)에게 소셜 미디어에 대한 과도한 공유를 피하고 가능한 한 개인 정보를 보호하기 위해 개인 정보 보호 설정을 변경하도록 권장하십시오.

3. 브라우저용 피싱 방지 확장 설치

요즘 모든 주요 웹 브라우저에는 상당히 효과적인 피싱 보호 기술이 내장되어 있지만, 비즈니스를 안전하게 유지하기 위해 전용 브라우저 확장 설치를 고려할 수 있다. 예를 들어 Emsisoft Browser Security는 (어베스트의 경우 웹감시와 시큐어 웹브라우저) 피싱 공격을 차단하고 악성코드를 유포하는 것으로 알려진 웹 사이트에 접속하는 것을 방지하며, 사용자의 프라이버시를 손상시키지 않는 방식으로 접근한다.

4. 금전적 요구와 민감한 정보 확인

피싱과 포경 공격은 인간의 실수에 의존한다. 금융 및 민감한 데이터 요청을 검증하기 위한 프로세스를 개발하고 시행하여 슬립 업의 위험을 줄인다. 예를 들어, 요청을 수행하기 전에 2차 통신 채널을 통한 요청 확인을 의무화할 수 있다. 따라서, 만약 계좌에 있는 누군가가 CFO로부터 많은 돈을 낯선 계좌로 송금하라고 지시하는 이메일을 받는다면, 직원은 전화나 채팅, 또는 직접 연락을 해서 요청을 이중으로 확인해야 할 것이다. 그러나 이메일을 통해서는 안 된다.

5. 누군가 미끼를 잡을 경우에 대비한 시스템을 갖추고 있다.

누군가가 피싱 공격에 속할 경우, 피해를 제한할 수 있는 시스템을 갖추고 있는지 확인하고 싶을 것이다. Emsisoft Anti-Malware (어베스트 백신)와 같은 신뢰할 수 있는 바이러스 백신 소프트웨어에 투자하는 것은 일부 피싱 공격에서 전달될 수 있는 악성 프로그램을 방지하는 데 매우 중요한 반면, 좋은 백업 전략은 컴퓨터를 안전한 상태로 복원하는 데 도움이 될 수 있다.

피싱으로부터 비즈니스를 안전하게 보호

피싱과 포경 공격은 모든 규모의 기업들에게 지속적인 위협으로 남아 있다. 기본적인 피싱 공격은 보통 1마일 떨어진 곳에서 발견될 수 있지만, 창 피싱과 포경은 식별하기가 훨씬 더 어렵다. 좋은 소식은 안보를 중요시하는 기업들이 그 위협을 억제하기 위해 할 수 있는 많은 것들이 있다는 것이다. 피싱의 위험성에 대해 직원을 교육하고, 검증 프로세스를 확립하고, 최악의 경우를 대비한 시스템을 갖추면, 당신은 모든 유형의 피싱 공격으로부터 회사를 보호할 수 있는 더 나은 준비가 될 것이다.

최근 국내에서도 포경공격을 통해 회계 담당자를 통해 타겟 공격으로서 거래처 결제통장 변경을 통해 송금을 요청하는 사기에 희말리는 사례가 증가하고 있습니다. 사기 금액도 몇 천달러 수준이 아니라 1억에서 3억 정도로 항상 거래처에 송금하는 금액 수준으로 목표화하기 때문에 의심할 수 없도록 일상적인 거래관계로 위장하고 있는 것이 특징이며 이는 중소기업에게는 꽤나 큰 피해 금액이 됩니다. 어떤 경우 수백억을 털린 경우도 국내 사례가 있는 것으로 추정되고 있어 즉각적으로 기업 경영자, 회계담당자에 대한 주의교육을 실시할 필요가 있습니다. 특히 개인도 위협에 대한 에방이 중요하지만 기업에서의 대응은 더 중요합니다.

본 내용은 (주)소프트메일이 공급하고 있는 엠시소프트에서 기획한 기사입니다.

https://blog.emsisoft.com/en/32736/phishing-vs-spear-phishing-vs-whaling-attacks/?ref=ticker190219

어베스트코리아 (주)소프트메일

http://www.avastkorea.com 

http://www.emsisoft.co.kr