피싱이란 무엇인가요?

23 분 읽기

보이스 피싱의 줄임말인 비싱은 사이버 범죄자들이 전화나 음성 통신으로 사람들을 속여 민감한 정보를 드러내거나, 돈을 송금하거나, 접근 권한을 부여하거나, 공격자에게 도움이 되는 다른 행동을 취하는 사회 공학 공격이에요.

보이스피싱은 기존의 피싱과 유사하지만, 주로 사기성 이메일이나 웹사이트에 의존하는 대신 공격자가 음성 통신을 이용하여 신뢰를 구축하고 대상을 조종합니다.

공격자는 은행, 기술 회사, 정부 기관, 임원, IT 지원팀 또는 기타 신뢰할 수 있는 개인 및 조직을 사칭할 수 있습니다. 발신자 ID 스푸핑과 AI 생성 음성 등 기술이 점점 더 정교해지면서 사기성 전화가 더 확실해질 수 있어요.

핵심 요약

비싱 (보이스 피싱) 은 전화 통화나 음성 메시지를 이용해 개인을 속여 민감한 정보를 드러내거나 자격 증명을 공유하거나 무단 액세스를 허용하는 사회 공학 공격이에요.
공격자들은 신분 위장과 긴급성을 이용하여 피해자들을 속입니다. 일반적인 수법으로는 IT 지원팀, 금융 기관 또는 임원으로 위장하고 종종 발신자 ID 스푸핑이나 AI가 생성한 음성을 합법적으로 보이게 사용하는 것이 포함돼요.
비싱 공격은 더 큰 보안 침해로 이어질 수 있어요. 탈취된 자격 증명이나 무단 접근은 공격자가 추가 시스템을 침해하고, 권한을 상승시키며, 조직 환경 전체에 걸쳐 횡적으로 이동할 수 있도록 허용할 수 있습니다.
Preventing vishing requires both employee awareness and technical security controls. Organizations should combine security training, identity verification, threat detection, and network visibility to reduce risk and limit the impact of successful attacks.

보이스피싱은 어떻게 작동하나요?

비싱 공격은 단순히 기술적 취약점을 악용하는 것이 아니라 소셜 엔지니어링에 의존해요.

공격자는 일반적으로 피해자가 긴박감, 두려움, 호기심 또는 신뢰를 느끼도록 고안된 그럴듯한 시나리오를 만들어냅니다. 공격자는 피해자에게 정보를 제공하거나 특정 행동을 취하도록 설득하려고 시도합니다.

일반적인 피싱 공격에는 다음 단계가 포함될 수 있어요.

공격 대상 선정: 공격자는 공격 대상으로 삼을 개인 또는 조직을 특정합니다.
조사: 공격자는 소셜 미디어, 공개 웹사이트, 유출된 데이터 또는 기타 출처에서 정보를 수집할 수 있습니다.
사칭: 공격자는 신뢰할 수 있는 개인이나 조직인 척 가장합니다.
조작: 공격자는 피해자가 신속하게 행동하도록 긴급성이나 다른 이유를 만들어냅니다.
정보 또는 접근 권한: 피해자는 자격 증명, 인증 코드, 금융 정보 또는 원격 접근 권한을 제공하도록 요청받을 수 있습니다.
악용: 공격자는 획득한 정보 또는 접근 권한을 이용하여 사기 행위를 저지르거나, 계정을 탈취하거나, 추가 시스템에 접근합니다.

보이스피싱의 효과는 피해자에게 요청이 합법적이라고 믿게 만드는 데 크게 좌우됩니다.

비싱 공격의 예가 뭐예요?

일반적인 비싱 공격에는 발신자가 은행이나 금융 기관을 대표하는 것처럼 행동하는 것이 포함돼요.

발신자는 피해자의 계정에서 의심스러운 활동이 감지되었으므로 즉각적인 확인이 필요하다고 주장할 수 있습니다. 공격자는 계좌 번호, 비밀번호, PIN 번호 또는 일회용 인증 코드를 요구합니다.

직장 공격에서는 사이버 범죄자가 조직의 IT 부서를 사칭하여 직원에게 계정에 문제가 있다고 말할 수 있어요. 공격자는 직원에게 로그인 자격 증명을 제공하도록 요청하거나, 다단계 인증(MFA) 요청을 승인하도록 요구하거나, 원격 접속 소프트웨어를 설치하도록 요구할 수 있습니다.

공격자가 접근 권한을 획득하면 추가 시스템을 침해하거나 조직 환경 내에서 측면으로 이동하려고 시도할 수 있습니다.

피싱과 보이스피싱의 차이점은 무엇인가요?

피싱은 광범위한 유형의 소셜 엔지니어링 공격으로 공격자들이 신뢰할 수 있는 출처를 사칭하여 피해자를 속여 정보를 공개하거나 위험한 행동을 취하도록 합니다.

전통적인 피싱 공격은 일반적으로 이메일을 이용합니다.

비싱은 공격을 할 때 전화나 음성 메시지 같은 음성 통신을 사용해요.

두 공격 모두 속임수에 의존하지만 통신 채널은 달라요. 피싱 이메일은 사용자를 사기성 로그인 페이지로 연결할 수 있으며, 보이스피싱 공격자는 피해자에게 전화를 통해 동일한 계정 정보를 제공하도록 유도할 수 있습니다.

보이스피싱과 스미싱의 차이점은 무엇인가요?

비싱과 스미싱은 모두 서로 다른 통신 채널을 사용하는 피싱의 한 형태입니다.

보이스피싱은 음성 통화 또는 음성 메시지를 이용합니다.
스미싱은 SMS 또는 문자 메시지를 이용합니다.

공격자는 이러한 기술들을 조합하여 사용할 수도 있습니다. 예를 들어, 피해자는 특정 전화번호로 전화를 걸도록 지시하는 사기성 문자 메시지를 받을 수 있습니다. 그러면 공격자가 전화로 소셜 엔지니어링 공격을 계속할 수 있어요.

비싱 공격이 왜 효과적이에요?

피싱 공격은 인간 행동을 악용해요.

사람들은 특히 발신자가 박식해 보이거나 신뢰할 수 있는 기관을 대표한다고 주장할 때, 자신에게 직접 말하는 사람을 더 신뢰하는 경향이 있습니다.

공격자들은 일반적으로 다음과 같은 주장을 내세워 긴급성을 조성합니다.

계정이 해킹당했습니다.
결제는 즉시 승인되어야 합니다.
비밀번호가 곧 만료됩니다
수상한 활동이 감지되었습니다.
해당 직원의 접근 권한이 비활성화됩니다.
금융 거래는 검증되어야 합니다.
고위 임원이 즉각적인 도움이 필요합니다.

압력으로 인해 피해자들은 요청 내용을 독립적으로 검증하는 데 시간을 투자하지 않을 수 있습니다.

보이스피싱 공격자는 어떤 정보를 노리는가?

피싱 공격자는 사기 행위를 저지르거나 시스템에 접근하는 데 도움이 되는 정보를 얻으려고 시도할 수 있습니다.

여기에는 다음이 포함될 수 있습니다:

사용자 이름과 비밀번호
다중 요소 인증 코드
재무 정보
신용카드 또는 직불카드 번호
은행 계좌 정보
주민등록번호 또는 기타 개인 정보
직원 정보
보안 질문과 답변
회사 내부 정보
애플리케이션 또는 보안 시스템에 관한 정보

비교적 무해해 보이는 정보라도 공격자가 향후 공격을 더 확실하게 만드는 데 도움이 될 수 있어요.

AI 비싱이 뭐예요?

AI 비싱은 인공 지능을 사용하여 음성 기반 소셜 엔지니어링 공격을 더 확실하고 개인화되고 확장 가능하게 만들어요.

제너레이티브 AI와 음성 복제 기술로 실제 사람의 목소리와 비슷한 사실적인 오디오를 만들 수 있어요. 공격자는 이러한 기능을 이용하여 임원, 동료, 가족 구성원 또는 기타 신뢰받는 사람을 사칭하고 피해자가 민감한 정보를 공유하거나 접근 권한을 부여하도록 유도할 수 있습니다.

프론티어 AI 모델이 더 강력해짐에 따라 공격자들은 비싱 캠페인의 더 정교한 부분을 자동화할 수도 있어요. 이러한 변화로 인해 친숙한 목소리나 설득력 있는 대화를 신원 증명으로 삼는 것이 점점 더 어려워지고 있습니다. 사용자는 자격 증명, 금전, 민감한 정보 또는 시스템 접근과 관련된 비정상적인 요청을 신뢰할 수 있는 통신 채널을 통해 독립적으로 확인해야 합니다.

‍

발신자 번호 위조(Caller ID Spoofing)란 무엇인가요?

발신자 번호 위조는 공격자가 수신자의 휴대전화에 표시되는 정보를 조작하여 통화가 다른 번호나 기관에서 걸려온 것처럼 보이게 하는 행위입니다.

예를 들어, 사기 전화는 은행, 정부 기관, 지역 전화번호 또는 심지어 조직의 내부 고객 지원 센터에서 걸려온 것처럼 보일 수 있습니다.

발신자 번호 정보는 조작될 수 있으므로, 표시된 전화번호가 익숙해 보인다고 해서 해당 통화가 합법적이라고 단정해서는 안 됩니다.

비싱 공격의 경고 신호는 뭐예요?

보이스피싱의 잠재적 경고 신호는 다음과 같습니다.

예기치 않은 비밀번호 또는 인증 코드 요청
즉각적인 조치를 취해야 한다는 압박
계정 폐쇄, 재정적 손실 또는 기타 결과에 대한 위협
송금 요청 또는 상품권 구매 요청
소프트웨어 설치 또는 원격 접속 제공 요청
개인 정보나 회사 정보를 요구하는 전화입니다.
예상치 못한 MFA 승인 요청
전화를 건 사람이 당신이 해당 기관에 개별적으로 연락하는 것을 만류하는 내용입니다.
일반적인 회사 절차를 우회하는 요청

민감한 정보, 금전, 자격 증명 또는 시스템 접근 권한과 관련된 예기치 않은 요청은 독립적으로 검증해야 합니다.

어떻게 하면 비싱 공격을 막을 수 있어요?

조직은 직원 교육, ID 제어, 검증 절차, 모니터링, 기술 보안 조치를 조합하여 피싱 리스크를 줄일 수 있어요.

직원들은 다음과 같은 교육을 받아야 합니다:

전화로 비밀번호나 인증 코드를 공유하지 마세요.
예상치 못한 요청은 신뢰할 수 있는 채널을 통해 확인하세요.
긴급하거나 위협적인 표현 사용에 주의하십시오.
예상치 못한 MFA 요청은 절대 승인하지 마세요.
금융 거래 시에는 정해진 절차를 따르십시오.
보안팀에 의심스러운 전화 신고하세요.
신원 확인이 안 된 발신자의 요청에 따라 소프트웨어를 설치하지 마십시오.

조직은 또한 민감한 요청을 검증하는 명확한 절차를 수립하여 직원들이 합법적인 IT, 재무 및 경영진 커뮤니케이션이 어떻게 이루어져야 하는지 알 수 있도록 해야 합니다.

보이스피싱 전화를 받으면 어떻게 해야 할까요?

보이스피싱 시도로 의심되는 경우, 발신자가 요구하는 정보 제공이나 행동을 절대 하지 마십시오.

통화를 종료하고 알고 있고 신뢰할 수 있는 전화번호나 연락 채널을 이용하여 해당 기관이나 담당자에게 직접 연락하십시오.

회사 계정이나 장치와 관련된 통화인 경우 조직의 보안팀이나 IT 팀에 사건을 신고하세요.

자격 증명이나 인증 정보가 이미 제공되었으면 영향을 받는 암호를 변경하고 보안팀은 공격자가 계정이나 다른 시스템에 접근했는지 조사해야 해요.

비싱이 데이터 침해로 이어질 수 있어요?

예. 비싱 공격이 성공하면 공격자에게 대규모 사이버 공격의 초기 진입점이 될 수 있는 자격 증명이나 액세스 권한을 줄 수 있어요.

일단 시스템에 침입하면 공격자는 권한 상승, 민감한 데이터 접근, 추가 계정 탈취 또는 시스템 간 이동을 시도할 수 있습니다.

이것이 바로 초기 소셜 엔지니어링 공격을 방지하는 것이 중요한 이유예요. 하지만 조직에는 사용자 보안 침해 성공 시 공격자가 할 수 있는 일을 제한하는 통제도 필요해요.

비싱과 측면 이동

성공적인 비싱 공격이 반드시 공격의 끝을 의미하지는 않아요. 이것이 시작일 수 있습니다.

공격자가 유효한 자격 증명을 탈취하거나 직원을 설득하여 접근 권한을 획득하면, 공격자는 합법적인 사용자처럼 보일 수 있습니다. 그런 다음 추가 시스템을 탐색하고, 애플리케이션에 액세스하고, 권한을 상승시키고, 민감한 데이터 또는 중요 리소스로 측면 이동을 시도할 수 있습니다.

시스템 간 불필요한 통신을 제한하면 최초 침입 후 공격자가 이용할 수 있는 경로를 줄일 수 있습니다.

조직은 비싱 공격 이후 활동을 어떻게 감지할 수 있나요?

보안팀은 초기의 사기 전화 이후를 살펴보고 자격 증명, endpoints 또는 계정이 손상되면 어떻게 되는지 모니터링해야 해요.

워크로드 간의 예상치 못한 통신, 비정상적인 네트워크 연결, 일반적으로 통신하지 않는 시스템에 대한 접근, 기타 동작 변화는 공격자가 접근 권한을 확장하려는 시도일 수 있습니다.

네트워크 가시성과 상황별 보안 인텔리전스는 팀이 의심스러운 활동을 조사하고 공격자가 다음에 이동을 시도할 수 있는 위치를 이해하는 데 도움이 될 수 있어요.

Illumio Insights로 위협이 확산되기 전에 탐지하세요

설득력 있는 보이스피싱 전화에 응답하는 것을 항상 막을 수는 없습니다. 하지만 그 다음에 일어날 일은 제한할 수 있습니다.

Illumio Insights는 보안팀에 환경 전반의 커뮤니케이션에 대한 가시성을 제공하고 초기 침해 후 의심스러운 연결, 위험한 경로, 잠재적 측면 움직임을 식별하는 데 도움이 돼요.

Turn network activity into actionable intelligence and uncover threats before they become widespread breaches.

Illumio Insights 살펴보기 →

자주 묻는 질문

피싱이란 무엇을 의미하나요?

비싱은 음성 피싱을 의미합니다. 이는 전화 통화나 기타 음성 통신을 이용하여 피해자를 속여 민감한 정보를 제공하거나 위험한 행동을 하도록 유도하는 사회 공학적 기법입니다.

피싱은 사이버 공격인가요?

네. 피싱은 소셜 엔지니어링 사이버 공격의 일종입니다. 기술적 취약점에만 의존하는 게 아니라 사람을 표적으로 삼아요.

보이스피싱의 예는 무엇인가요?

공격자는 IT 지원 담당자를 사칭하여 직원에게 전화를 걸어 계정에 문제가 있다고 주장할 수 있습니다. 공격자는 직원에게 비밀번호, 다단계 인증(MFA) 코드 또는 인증 요청 승인을 요구할 수 있습니다.

피싱과 비싱의 차이점은 무엇인가요?

피싱은 일반적으로 사기성 이메일이나 웹사이트를 이용하여 피해자를 속이는 수법입니다. 보이스피싱은 전화 통화와 같은 음성 통신을 이용합니다. 둘 다 사회 공학의 한 형태입니다.

AI를 낚시에 사용할 수 있어요?

맞아요.공격자는 AI로 생성되거나 복제된 음성을 사용하여 신뢰할 수 있는 사람으로 가장하고 사기성 전화를 더 설득력 있게 만들 수 있어요.

조직은 어떻게 보이스피싱으로부터 자신을 보호할 수 있을까요?

조직은 보안 인식 교육, 강력한 인증, 검증 절차, 모니터링, 네트워크 가시성, 세분화를 결합할 수 있어요. 이러한 조치는 성공적인 공격을 방지하고 자격 증명이나 시스템이 손상된 경우 미치는 영향을 제한하는 데 도움이 될 수 있어요.

피싱 공격이 기업에 위험한 이유는 무엇일까요?

성공적인 비싱 공격은 자격 증명, 금융 정보, 민감한 데이터나 내부 시스템을 노출시킬 수 있어요. 공격자가 조직 환경에 접근 권한을 획득하면, 해당 발판을 이용하여 권한을 상승시키고 다른 리소스로 이동할 수 있습니다.

용어집으로 돌아가기