마음을 속이는 스피어 피싱(Spear Phishing) [지식용어]

[시선뉴스 박진아] 피싱의 종류는 갈수록 많아지고 있습니다. 방법도 다양합니다. 그리고 최근, ‘스피어 피싱(Spear Phishing)’에 대해 주의가 요구되고 있습니다.

스피어 피싱이란(Spear Phishing) 불특정 다수의 개인정보를 빼내는 피싱(phising)과 달리 특정인을 목표로 정보를 캐내기 위한 피싱 공격을 뜻합니다. 일반적으로 지인이나 소속 회사에서 보내는 이메일인 것처럼 위장해, 사용자가 클릭하면 정보를 빼가는 해킹으로 지능형 지속 위협(APT) 해킹 수법의 일종입니다.

스피어피싱은 정부 고위관부, 유명인, 군인 등과 같은 특정인을 대상으로 개인정보를 캐내기 위한 용어로, 열대지방 어민이 하는 작살낚시(spearfishing)에 빗댄 표현입니다. 해커들은 타깃이 주로 이용하는 이메일을 해킹해 계정 정보를 먼저 확보합니다.

스피어피싱의 경우 사기범들이 특정 기업과 거래한 적이 있는 기업이나 아는 사람을 가장해 송금 등을 요청하는 탓에 피해 기업이 범죄로 의심하기가 쉽지 않습니다.

지난해 12월 한국수력원자력(한수원) 직원 정보와 기밀을 빼낸 해킹 수법은 미국 영화사 소니픽처스 엔터테인먼트 해킹 때 쓰인 것과 같은 APT(지능형 지속 위협)인 것으로 보안 전문가들의 의견이 모아지고 있습니다.

당시 불특정 다수 PC를 공격하는 디도스(DDoS·분산서비스 거부) 방식일 거라는 예측이 많았지만, 수법이 치밀하고 이메일을 통한 특정 표적 공격이 이뤄졌다는 점에서 APT 방식 가운데 하나인 스피어피싱이라는 분석입니다.

진화하는 피싱 수법, 예방이 점점 더 어려워지고 있습니다. 근본적으로 모르는 번호의 메시지나 연락처의 문자, 이메일은 확인하지 않는 것이 가장 좋은 방법이지만 범정부 차원의 예방 조치가 필요해 보입니다.

지식교양 전문채널 – 시선뉴스
www.sisunnews.co.kr