이메일 위협 설명: 피싱, 멀웨어, 스팸, 스피어 피싱 및 웨일링

이메일 위협은 매우 다양한 형태로 나타나지만, 보통 돈을 보내게 하거나 금융 정보를 공유하게 하거나 비즈니스 관련 정보를 넘기도록 속이기 위한 악성 메시지입니다. 스팸, 멀웨어, 바이러스 같은 성가신 문제부터 스피어 피싱, 웨일링, business email compromise처럼 막대한 금전적 피해를 초래하는 표적 공격까지 다양합니다. 

어떤 것은 너무 뻔해서 웃음이 나올 정도로, 사기를 감추려는 노력조차 들어가지 않았습니다.

하지만 모든 사기가 그런 식이라고 생각하지는 마세요. 이메일 사기는 점점 더 교활하고 창의적으로만 보입니다. 이런 종류는 iPad를 끌어안고 자라난 가장 컴퓨터에 능숙한 Z세대조차도 알아차리기 전에 한 번쯤 다시 보게 만들 수 있습니다. 너무 악랄하지만 않았다면, 한 걸음 물러서서 그 접근 방식에 감탄할 수도 있을 정도죠. 우리는 피싱과 기타 일반적인 이메일 사기를 인식하고 방어하는 방법을 보여드리겠습니다.

이메일 위협이란 무엇인가요?

이메일 위협은 강력한 디지털 방화벽을 뚫으려 하기보다 실제 사람을 노립니다. 목표는 사용자가 악성 링크를 클릭하거나 비밀번호를 드러내도록 속이는 것입니다. 그렇게 되면 공격자는 돈을 훔치거나, 컴퓨터에 바이러스를 설치하거나, 신원을 도용한 뒤 더 큰 표적으로 넘어갈 수 있는 최적의 위치에 서게 됩니다. 

왜 이메일 위협이 존재하나요?

이메일은 세계에서 가장 인기 있는 소통 수단 중 하나이지만, 실제로는 그다지 안전하지 않기 때문에 이메일 위협이 존재합니다. 전 세계 거의 모든 기업이 이메일로 소통하며, 어떤 직원에게든 연락하려면 그 사람의 이메일 주소만 알면 됩니다. 그다음부터는 숙련된 공격자가 내부로 파고드는 것이 쉽습니다. 그 이유는 다음과 같습니다: 

1. 모든 사람에게는 이메일 주소가 있습니다: 이메일은 공개 우편함처럼 작동합니다. 인터넷 연결만 있으면 누구나 휴대폰이나 컴퓨터로 직접 메시지를 보낼 수 있습니다.

2. 이메일은 오래된 기술입니다: 이메일의 기본 기술은 수십 년 전에 신뢰를 전제로 만들어졌습니다. 발신자가 자신이 주장하는 사람인지 자동으로 이중 확인하지 않습니다.

3. 인간은 쉽게 속습니다: 공격자는 긴급한 부탁을 하는 관리자처럼 가장할 수 있습니다. 게다가 AI 도구는 사기범이 그럴듯하고 실수 없는 메시지를 작성하는 데도 도움을 줄 수 있습니다. 

4. 저렴하고 수익성 높음: 수백만 통의 이메일을 보내는 데는 비용이 거의 들지 않습니다. 단 한 사람만 속아 넘어가도 사기범은 수천 달러를 훔칠 수 있습니다.
   

다양한 종류의 이메일 위협 

1. 피싱 – 가장 흔한 유형의 이메일 위협입니다. 공격자는 Netflix, Google 또는 은행 같은 인기 브랜드로 위장한 대량 이메일을 보내고, 사용자가 링크를 클릭해 가짜 웹사이트로 이동한 뒤 비밀번호를 입력하도록 속이려 합니다.
   

2. 비즈니스 이메일 침해(BEC) – 사기범은 CEO, 관리자 또는 신뢰받는 비즈니스 파트너인 척하며 재무 부서의 누군가를 설득해 돈을 사기범의 은행 계좌로 바로 송금하게 하려 합니다.
   

3. 멀웨어와 랜섬웨어 – 이 공격에서는 이메일에 숨겨진 바이러스가 포함되어 있습니다. 파일을 열면 파일을 훔치거나 몸값을 지불할 때까지 컴퓨터 전체를 잠그는 소프트웨어가 다운로드됩니다.
   

4. 스푸핑과 사칭 – 공격자는 이메일의 "보낸 사람" 줄을 바꿔 신뢰하는 사람이 보낸 것처럼 보이게 합니다. 글자를 숫자로 바꾸거나 실제 회사 이름과 거의 똑같아 보이는 도메인을 등록할 수도 있습니다.
   

5. QR 코드 피싱("Quishing") –  공격자는 PDF 첨부파일 안에 QR 코드를 포함한 이메일을 보냅니다.Attackers. 스마트폰 카메라로 코드를 스캔하면 컴퓨터의 보안 도구를 벗어나 이메일 필터가 막아줄 수 없는 가짜 로그인 사이트로 이동하게 됩니다. 

과거를 잠깐 돌아보며

우리 중 많은 사람들은 이메일 사기의 아주 초기 시절을 기억합니다—우리가 더 순진했지만 동시에 이메일을 덜 신뢰하던 평온한 시절이었죠. 사기 메일을 받으면, 왜 발신자가 우리가 도움을 줄 적임자라고 생각했는지 이해하려고 혼란스러운 흥미를 가지고 읽곤 했습니다.

누가 The Spanish Prisoner를 기억하나요? 막대한 부를 가진 불운한 사람이 감옥에서 풀려나기 위해 몸값을 내는 데 우리의 도움이 절실히 필요하다고 하던 사기였죠. 재미있게도 이 사기는 실제로 이메일보다 앞서, 19세기 초에 시작되었습니다. 어딘가의 괴짜 Internet Surfer가 분명 이것을 디지털화하기로 한 모양입니다.

요즘 이메일 사기는 디지털 형식의 강점을 훨씬 더 잘 활용합니다. 일부 고전적인 사기와 달리, 온라인에서 쉽게 결제를 처리할 수 있는 능력, 가장 중요한 소통 수단으로서 이메일에 대한 의존 증가, 소셜 미디어의 발전 등 인터넷이 수년에 걸쳐 제공하게 된 이점을 활용합니다.

피싱 이메일의 일반적인 징후

다양한 유형의 이메일 사기를 자세히 살펴보기 전에, 이메일 사기/스팸을 식별하는 데 도움이 되는 몇 가지 일반적인 규칙을 공유하겠습니다. 이들은 모두 공통 요소를 갖고 있기 때문입니다 — 발신자, 제목 줄, 본문 텍스트, 그리고 아마도 가장 중요한, 읽히고 믿어져야 한다는 점입니다.

회사/발신자 이름

주의할 점:

1. 오타 또는 잘못된 표기 방식 — Paypal vs. PayPal.

2. 지나치게 설명적이거나 그럴듯하지 않은 것 — AA Car Emergency vs. AA.

3. 거래하거나 이용하지 않는 회사 — Lloyds를 이용하는데 Barclays에서 온 메모.

4. 이상해 보이는 모든 것 — 기호나 이상한 이름의 회사부터 어색한 띄어쓰기까지, 때로는 발신자에게서 뭔가 잘못된 느낌이 듭니다.

발신 이메일 주소

주의할 점:

1. 어울리지 않는 이메일 주소 — 회사 이름과 맞지 않는 무언가.

2. 유사한 주소 — 실제 회사를 닮도록 설계된 주소입니다. 이는 도메인(@paypalcare.com)일 수도 있고 TLD(@paypal.club)일 수도 있습니다.

3. 오류— 주소의 오타나 기타 불규칙한 점.

제목 줄

주의할 점:

1. 긴박감을 유발하도록 설계된 문구 — ‘경고: 최종 결제 통지’.

2. 지나치게 과장된 표현 — ‘5분 만에 £1000 벌기’.

3. 강한 감정적 반응을 유발하는 언어 — ‘채용되었습니다! 내일부터 출근하세요!’

4. 오타 — 사기꾼들이 좋은 문법으로 유명한 것은 아닙니다.

5. 과도한 문장부호나 이모지 사용 — 실제 회사 중 이런 것을 사용하는 곳은 거의 없습니다.

6. ‘Re’의 존재 — 실제로는 답장한 적이 없는데 이전에 답장한 것처럼 보이게 하려는 용도로 사용될 수 있습니다.

7. 버튼과 첨부파일— 의심스러운 이메일에서는 항상 버튼 클릭이나 첨부파일 다운로드를 삼가세요.

본문 텍스트

주의할 점:

1. 믿기 어려운 약속— 제목 줄과 비슷하지만, 본문에는 더 길게 설명할 공간이 있어 거짓말을 더 설득력 있게 만들 수 있습니다.

2. 개인 정보를 요구하는 행동 유도 — 특히 주소나 카드 정보.

3. 기억나지 않는 것에 대한 언급— 참석한 적 없는 행사부터 받은 적 없는 서비스까지

4. 사칭— 친구나 친척이라고 주장하지만, 말투가 그 사람답지 않습니다.

이제 사기꾼들이 이메일의 여러 부분을 어떻게 조작할 수 있는지에 대한 배경을 알았으니, 구체적인 예시를 살펴보겠습니다.

이메일 위협의 유형

멀웨어

많은 사람들에게 멀웨어 공격은 아마도 우리가 실제로 두려워했던 첫 번째 종류의 악성 이메일이었을 것입니다. 그 당시에는 아마 그냥 이메일 바이러스라고 불렀을 겁니다. 열면 화면이 검게 변하고, 게임 끝. 그런 종류의 것이었죠.

실제로 멀웨어는 매우 다양한 악성 공격을 포괄하며 — 솔직히 말해 그중 일부는 컴퓨터가 순식간에 죽는 것보다 훨씬 더 무섭습니다.

키 입력 감시? 모르는 사이 CPU 자원 소모? 사용자 감시? 5분마다 수상한 광고가 뜨게 만들기? 그렇습니다. 멀웨어는 사용자가 모르는 사이 컴퓨터에 숨어드는 매우 다양한 작은 프로그램을 포괄하며, 그 기능은 악의적인 장난꾸러기 수준에서 본격적인 범죄자 수준까지 다양합니다. 이들은 교묘하게 숨어들고, 종종 제거하기도 까다롭습니다 — 거기에 있다는 사실을 안다면 말이죠.

멀웨어를 감지하는 방법

위에 나열된 증상 중 하나라도 겪고 있다면 멀웨어일 가능성이 높습니다. 이것이 이메일에서 왔을 수도 있지만 반드시 그런 것은 아닙니다. 이런 프로그램이 컴퓨터에 침투하는 다른 방법도 있습니다 — 다운로드, 수상한 웹사이트, 심지어 악성 하드웨어 장치까지요. 길에서 USB 메모리를 주워도, 안에 뭐가 있는지 확인하지 마세요.

멀웨어로부터 자신을 보호하세요

너무 당연한 말일 수 있지만, 멀웨어 탐지 소프트웨어를 사용해 보세요. 하지만 평판이 좋은 제품을 선택하세요.

애초에 멀웨어를 예방하는 방법을 Google에서 검색하면, 가장 먼저 나오는 조언은 안티바이러스 소프트웨어를 설치하라는 것입니다. 개인적으로는 2010년대 후반 이후로 이걸 실제로 한 사람을 아는 경우가 없지만, Gemini가 1초의 일부분의 일부분 만에 내놓은 한 줄짜리 답변으로 집약된 인류의 지식과 대중적 경험 전체에 제가 무슨 수로 반박하겠습니까?

그렇다고 해도 운영체제가 제공하는 위협 보호는 초기보다 전반적으로 훨씬 좋아졌고, 특히 Windows는 위협 방지를 위해 업데이트됩니다. 하지만 더 중요한 것은 많은 이메일 소프트웨어가 우리를 대신해 일을 하고 있다는 점입니다. 의심스러운 이메일이 우리에게 도달하기 전에 걸러내 주기 때문입니다.

멀웨어에 대한 우수한 보호를 내세우고, 이메일이 도달하기 전에 스캔해 주는 이메일 제공업체를 찾는 것이 좋습니다. 이는 특히 심리적 공격을 피하는 데 유용합니다(이 부분은 곧 다루겠습니다).

예방이 아니라 보호의 관점에서 말하자면, 이런 공격에 당했을 때를 대비해 정기적인 백업을 유지하는 것이 좋습니다. 개인적으로는 Mega Sync 같은 것을 추천하는데, 파일을 저장할 때마다 업데이트됩니다.

피싱

요즘에는 이메일 피싱 사기를 가장 자주 접하게 될 가능성이 큽니다. 왜일까요? 중독성 있는 멜로디나 봄 냄새처럼, 우리 모두는 그 유혹에 취약하기 때문입니다. 그렇다면 피싱은 어떻게 식별할 수 있을까요?

피싱 공격이 효과적인 이유는 그 다재다능함 때문입니다. 때로는 피싱을 알아차리기 어렵지 않습니다. 피싱은 무엇이든 될 수 있습니다: 말 그대로 누군가가 개인 데이터를 입력하게 만드는 모든 것입니다. 개인 데이터를 공유하거나 누군가에게 돈을 보내야겠다고 느끼게 만드는 이유를 떠올려 보세요. 그것은 피싱 이메일이 될 가능성이 있습니다.

다음은 몇 가지 예시일 뿐이며, 기억해야 할 핵심은 이러한 모든 이메일이 진짜처럼 보이지만 실제로는 가짜라는 점입니다:

1. 비밀번호 재설정 알림.

2. 누락된 은행 정보를 입력하세요.

3. 배송을 활성화하려면 우편 주소를 완성하세요.

4. 구독을 갱신하세요.

5. 당신은 경품 당첨자입니다!

6. 도움이 필요하다는 친구의 요청.

7. 세금 환급 알림.

8. 자선 기부 요청.

피싱 사기를 본 적이 없다면, 정말 피시라고 할 수 있을까요? 그만큼 어디에나 있어서 이메일에서 이를 상상하지 않기 어려울 정도입니다. 하지만 피싱하는 방법은 하나만이 아닙니다…

스피어 피싱과 웨일링

스피어 피싱과 웨일링은 특정 개인을 노리며, 종종 더 공격적인 수법을 사용합니다.

스피어 피싱은 보통 여러 출처에서 얻은 개인적 지식을 이용해 더 설득력 있는 이메일을 만듭니다. 개인 정보를 바탕으로 작성되기 때문에 실제 친구나 상황을 언급하거나, 심지어 은행 등을 더 그럴듯하게 사칭할 수도 있습니다. 이런 일이 자신에게는 일어나기 어려울 것 같다고 느낀다면, 대부분의 사람들이 자신이 생각하는 것보다 온라인에 공개된 정보가 훨씬 많다는 점을 기억하세요.

누군가가 당신의 친구인 척하면서, 10년 전에 둘 다 참석했던 아주 구체적인 사건을 언급한다면 왜 믿지 않겠습니까? 당신이 Facebook에 그 일을 자세히 올렸고 그 게시물이 공개로 보인다는 사실을 떠올리기까지는 시간이 걸릴 수 있습니다. 그들이 돈을 빌려 달라고 하면, 아마 도와주고 싶을지도 모릅니다.

우리 모두는 스피어 피싱에 취약하며, 이것이 더 뻔한 사기보다 더 위험하게 만듭니다. 다행스러운 단서 하나는 스피어 피싱 사기를 성공적으로 수행하는 데 필요한 조사 수준이 대부분의 사기범에게는 부담스럽다는 점입니다. 응답하는 사람이 더 적더라도 대량 이메일에 기대를 거는 편이 더 쉽습니다. 하지만 미래에는 AI가 바로 이 지점에 개입하게 될까요? 우리는 경계를 늦추지 말아야 합니다.

웨일링

그렇다면 웨일링이란 무엇일까요? 여러 면에서 웨일링 공격은 스피어 피싱과 거의 같지만, CEO 같은 부유한 개인을 표적으로 삼는다는 점이 다릅니다.

안타까운 현실은 그들의 지위가 시간을 들여 노릴 만한 더 좋은 표적이 되게 할 뿐 아니라, 다른 요인들(예: 부, 책임, 시간 부족, 넓은 인맥) 때문에 악용할 수 있는 잠재적 약점도 여러 가지 있다는 점입니다. 예를 들어, PA나 비서에게 CEO의 승인 도장이 있다고 믿게 만들기만 하면 될 수도 있습니다. 그래서 상업적 웨일링은 언제나 나쁜 일인 듯합니다.

스피어 피싱과 웨일링으로부터 보호하는 방법

위의 일반 가이드에 나열된 내용 외에도 강력한 스팸 필터링을 설정해야 합니다. 피싱 이메일이 빛을 발하는 지점은 결국 인간적인 요소입니다. 멀웨어가 단순한 속임수라면, 어떤 수준에서는 피싱은 우리가 공모자가 되기를 요구합니다. 결국 우리가 직접 정보를 넘겨줘야 하기 때문입니다. 앞서 논의했듯이, 이는 우리의 감정적 반응에 호소하는 방식으로 이루어집니다.

따라서 애초에 그것과 접촉하지 않도록 하는 것이 가장 강력한 대응 방법입니다. 스팸 필터는 사람이 할 수 없는 여러 요소를 바탕으로 이메일을 평가합니다. 블랙리스트, 알려진 행동 패턴, 심지어 베이지안 필터링으로 알려진 방법까지 교차 참조합니다. 이는 이메일의 내용을 알려진 스팸 및 정상 이메일과 비교해 스팸일 확률을 계산합니다. 또한 좋은 스팸 필터는 다른 사용자가 무엇을 스팸으로 표시하는지도 반영해 사용자 피드백 루프라고 하는 것을 형성합니다.

손상된 비즈니스 이메일

지금까지 살펴본 모든 것과는 조금 다르게, 이것은 합법적인 이메일 계정이 손상되었다는 반대 방향의 관점에서 출발합니다. 꼭 비즈니스 계정일 필요는 없지만, 이 항목에서는 비즈니스 계정이라고 가정할 때 이야기할 만한 더 흥미로운 요소들이 있습니다.

사기범이 불법적으로 비즈니스 이메일 계정에 접근할 수 있다면, 직원인 척하며 자금을 요청하거나 민감한 데이터가 포함될 수 있는 다른 내부 시스템에 대한 접근까지 요구할 수 있습니다.

비즈니스 계정을 손상시키는 것은 많은 기업, 특히 큰 기업에 내재된 또 다른 사회적 특성도 활용합니다. 모든 직원이 서로를 다 알 가능성은 낮다는 점입니다. 여기에 직장 환경에서는 사람들이 예의를 지켜야 한다는 사실이 더해지면, 이런 이메일은 개인 계정보다 추가적인 이점을 갖게 됩니다.

이로부터 보호하는 방법

모든 직원이 2단계 인증(email 2FA)을 사용하고 강력한 비밀번호를 선택하도록 하면 도난/해킹된 계정의 위험을 크게 줄일 수 있습니다. 2FA는 누군가 침입을 시도하면 계정 소유자가 항상 알 수 있게 해주며, 강력한 비밀번호는 무차별 대입 공격을 더 어렵게 만듭니다.

회사를 떠난 직원의 계정을 즉시 비활성화하면 향후 문제가 발생할 가능성도 줄일 수 있습니다. 먼지만 쌓인 채 방치된 사용하지 않는 계정들의 무덤은 그저 사고를 기다리는 것과 같습니다.

가짜 청구서

여러분이 눈치채고 있을 수 있는 주제 중 하나는 서로 다른 감정의 극단을 악용하는 것입니다. 지금까지 우리는 CEO의 두려움이나 부주의, 그리고 한 직원이 다른 직원에게 보이는 것으로 여겨지는 무관심을 살펴보았습니다. 이제 분노를 살펴봅시다.

누군가가 여러분이 자신에게 돈을 빚졌다고 주장하며 즉각적인 상환을 요구합니다. 그들은 화가 나 있으며, 여러분 자신의 기억을 의심하게 만드는 말을 하거나, 실제가 아닐지도 모른다고 확신할 수 없는 상황을 만들어 냅니다. 독설과 분노가 이어지다 보면, 결국 그들에게 돈을 지불하는 편이 더 쉬워 보일 정도가 됩니다.

이것이 우리 중 많은 사람에게는 그다지 가능성 있어 보이지 않을 수 있지만, 어쩌면 그것이야말로 가장 나쁜 점일지도 모릅니다. 아마도 ‘우리’는 그들의 표적이 아닐 가능성이 큽니다. 그들의 성공 대상은 취약한 사람들일 것입니다. 정말로 기억하지 못하거나, 낯선 사람을 더 쉽게 신뢰하는 사람들 말입니다.

예방

우리가 이메일로 받는 무작위 청구서에 우리는 돈을 지불하지 않을 것이라고 가정한다면, 이 기회를 빌려 온라인 경험이 더 적은 주변 사람들과 이야기해 보라고 권하는 것도 좋겠습니다. 사기를 식별하는 데 도움이 필요한지 물어보고, 누군가가 돈을 요구한다고 해서 그 주장이 정당한 것은 아니라는 점을 설명해 주세요. 결국 우리는 서로를 돌봐야 하며, 누구도 누군가가 뻔한 사기에 그대로 걸어드는 모습을 보고 싶어 하지는 않습니다.

사람들이 쉽게 따라갈 수 있도록 안내할 수 있는 자료가 있습니다.

스팸 vs 피싱 vs 멀웨어

스팸은 이 셋 중 가장 덜 위험합니다. 마케터와 광고주는 할인 상품과 제품을 홍보하는 자동 메시지를 대량으로 보냅니다. 받은편지함에서 이를 정리하는 것은 번거롭지만, 적극적으로 돈을 훔치거나 컴퓨터를 해치려는 것은 아닙니다.

반면 피싱은 훨씬 더 위험합니다. 이러한 이메일은 사용자를 속여 악성 링크를 클릭하게 하고, 그 링크는 사용자 이름과 비밀번호 같은 민감한 정보를 훔치도록 설계된 가짜 로그인 페이지로 연결됩니다.

멀웨어는 종종 무해한 첨부파일로 위장해 이메일을 통해 도착합니다. 이를 열면 키 입력을 기록하거나, 개인 파일을 훔치거나, 전체 시스템에 접근하지 못하게 잠그는 위험한 프로그램이 기기에 설치될 수 있습니다.

핵심 차이점:

• 스팸은 무언가를 판매하려고 합니다.

• 피싱은 사용자가 자신의 정보를 넘기도록 속이려 합니다.

• 멀웨어는 사용자의 컴퓨터를 직접 감염시키려 합니다.

자신과 타인을 보호하기

진지하게 말하자면, 스팸이든 사기든 결코 웃어넘길 일이 아닙니다. 사람들은 실제로 피해를 입고, 돈을 잃고, 나중에 스스로를 바보처럼 느끼기도 합니다.

우리는 자신을 보호하는 여러 방법을 제안했지만, 결국 핵심은 세 가지입니다:

가능한 한 많은 보안을 활성화하세요

제공업체가 제공하는 것이 무엇이든, 2FA, 자동 생성 비밀번호, 심지어 암호화까지 모두 설정하세요. 이런 기능들은 계정을 탈취하기 조금 더 어렵게 만들어 줍니다.

보안 중심 제공업체를 선택하세요

기업 입장에서 강력한 스팸 관리 소프트웨어와 빈번한 보안 업데이트를 제공하는 업체는 아마도 가장 좋은 지속적 보호 수단일 것입니다. 우리가 설명한 대부분의 사기는 스팸 관리에서 시작되고 끝납니다. 우리가 그것들을 보지 못하면, 문제가 될 일도 없습니다.

항상 최신 동향을 파악하세요

피싱 사기는 끊임없이 진화합니다. 그들은 받은편지함이 아니라 당신을 노리므로, 당신 자신이 최고의 방어선입니다.

스팸과 사기에 속지 않기 위해 사용하는 방법이 있나요? 여러분의 이야기를 듣고 싶습니다! 아래 댓글 섹션에 생각이나 질문을 남겨 주세요