윤암의 세상 살아가는 이야기

[CSO]지난 몇 년간 악성 링크나 첨부 파일을 유포할 목적으로 접근하는 피싱이나, 이메일 도용 등의 범죄가 유행하고 있다. 미국 국토안보부 산하 컴퓨터긴급대응팀(US-CERT)에 따르면 연방, 주, 지역 정부와 기업, 국민, 그리고 해외의 사례를 통틀어 2010년 발생한 보안 사건 중 53%가 피싱 관련 피해인 것으로 조사되었다.

최근 피싱의 특징은 그 방식이 보다 직접적으로 변하였다는 점이다. 즉, 피싱의 대상이 특정 기관이나 개인으로 좁혀지고 있는 것이다. 실제로 최근 마케팅 기업 엡실론(Epsilon)의 고객 이메일 데이터베이스 유출사고 직후 보안 전문가들은 유출된 정보를 이용하여 행해지는 피싱에 대비할 것을 은행 이용자들에게 당부하였다.

그 당시의 피싱 범죄자들은 수백 개의 단체 메시지를 보내 한 두건의 피해자를 낚는 방식을 사용하였다. 그러나 오늘날의 피셔들은 한 개인이나 소규모의 인원을 대상으로 한 전문적이고 사회 공학(social engineering)적인 내용의 메시지가 훨씬 효과적이라는 사실을 깨달았다. 게다가 이처럼 전체 네트워크를 위태롭게 하는 피싱은 이제 한 대의 기기만으로도 가능해졌다.

보안 인식 자문기관 피시미(PhishMe)의 짐 헨슨은 “오늘날에는 법률 지원 팀의 이메일을 도용하여 현재 진행중인 소송에 관한(실제로는 컴퓨터 파괴 프로그램이 첨부된) 두 세 통의 이메일을 보내는 것 만으로도 기업 경영에 피해를 줄 수 있다”고 경고했다.

모든 이메일을 의심하라.

자문해 보라. 누가 이 메일을 보냈을까? 발신자가 누구인지 확실치 않다면, 이는 귀찮은 스팸이거나 피싱 메일일 것이다. 구글과 같은 검색엔진을 통해 발신자의 도메인을 알아보는 것도 좋은 방법이라.

헨슨은 “천천히 시간을 가지고 당신이 무엇을 하고 있는지 생각해보라. 바쁘더라도 몇 분만 생각해보면 당신의 하루 전체를 망쳐버리는 일은 없을 것이다”라고 말했다.

첨부파일에 주의하라.

수신한 이메일에 첨부된 이미지나 파일을 다운로드 할 생각인가? 헨슨은 한번 더 생각해 보길 권유한다. 이러한 ‘이미지'나 파일에는 당신이 컴퓨터에 침입하지 않길 바라는 악성 콘텐츠가 포함되어 있을 위험이 있다. 그리고 그것을 다운로드 할 경우, 당신은 수백 통의 스팸과 광고 메일에 시달리거나, 심할 경우에는 컴퓨터 안의 모든 정보가 해커의 손에 넘어가게 될 수도 있다.

수신자가 불명확한 이메일을 받거나, 심지어는 당신이 아는 누군가가 보낸 경우라도, 첨부파일을 다운로드 하기 전에는 반드시 확인절차를 걸치길 바란다.

어떠한 행동을 요구하는 요청이나 명령은 무시하라.

헨슨은 “이메일이 당신에게 무언가를 수행하도록 요구한다면, 잠시 멈추어 함정에 빠지지 않도록 잘 생각해 보라”고 조언했다. 너무 좋은 조건을 제시하거나 복잡한 설명이 덧붙여진 경우, 함정일 가능성은 더욱 높기 때문이다다.

헨슨에 따르면, 범죄자들은 보상과 권위, 두 가지 방식을 이용해 피해자을 속인다고 한다.

권위에 기댄 사기에서, 이메일은 당신이 해야 할 무언가를 제시해 주며, 메시지의 발신자는 권위를 지닌 누군가로 표시된다. IT 관련자가 당신에게 당신의 컴퓨터가 감염되었다는 사실을 알려주거나, 인력 개발담당자가 당신에게 기업 설문을 요청하는 식이다. 이러한 메시지는 또한 당신에게 무언가가 ‘잘못 전달'되었다 거나, 당신의 은행 계좌에 누군가 침입했다는 생각을 하도록 당신을 속인다.

보상을 이용한 방식에는, 추첨을 통한 경품 당첨사실을 알리며 개인 정보를 요구하는 경우 등이 있다. 엔슨은 이 모든 것들에 대해 “그냥 전부 무시하라”고 말했다.

링크를 확인하라.

이 링크가 어디로 연결되어 있나? 거의 대부분의 피싱 메일에는 당신의 클릭을 유도하는 링크가 설정되어 있다. 그들은 그 링크가 당신의 페이스북 계정이나 은행 웹사이트로 연결된다고 말하지만, 정말 어디로 연결된 것인가?

링크의 연결 주소를 알아보는 가장 간단한 방법은 그 위에 마우스 커서를 위치 시키고 윈도우 브라우저의 좌측 하단을 확인하는 것이다. 그곳에서 당신은 링크를 클릭하였을 때 연결되는 URL 주소를 확인할 수 있다. 만일 이곳에 IP주소(192.168.1.1 와 같은 형식의)가 나타난다면, 이 링크는 당신을 원치 않는 곳으로 연결시켜 줄 위험이 크다.

전화를 사용하라.

전화를 잊지 말라. 과거 우리들 대부분은 이를 이용하여 의사소통을 해왔다. 그리고 이는 오늘날에도 유용한 통신수단이다. 만일 믿지 못하겠다면, 혹은 이메일 메시지를 활용하기엔 급박한 상황이라면, 지금 당장 전화기를 사용해보라.

헨슨은 “아는 사람에게라면, 전화해보라(물론 문자 메시지를 보내도 좋다!)”고 말했다.

또한 헨슨은 발신자가 누구인지 모를 경우에도, 첨부파일을 다운받지 말라고 조언한다. 대신 회사 디렉터리에서 발신자나 발신기업의 전화번호를 찾아 전화를 걸어, 그 이메일이 해당 개인 또는 기업에서  정상적으로 발송된 것인지 우선 확인해 보라.@

IDG Korea
CSO, PC World, Computer World, CIO, Macworld 등으로 잘 알려진 IDG는 90여 개국에서 180여 미디어를 발행하는 글로벌 테크놀로지 미디어로, 전 세계에 1억 4000만 명의 독자를 대상으로 미디어, 리서치, 컨퍼런스, 이벤트 등 다양한 테크놀로지 관련 서비스를 제공하고 있습니다.

http://www.idg.co.kr/event/whitepaper/whitepaper_list.jsp?input_tag=AH000