소셜 엔지니어링이란
소셜 엔지니어링은 말 그대로 사회적 기술을 이용하여 사람의 행동에 영향을 미치는 것입니다. 사이버 범죄자는 사람들이 호기심을 느끼거나 허를 찔렸을 때 기밀 정보를 자발적으로 넘기거나 링크를 클릭하는 경우가 많다는 점을 악용합니다. 이들은 우리의 감정과 신뢰하고 믿으려는 마음을 이용합니다. 위의 예시에서 사기범은 친구와의 정서적 유대감과, 그 메시지에 신속하게 반응하려는 성향을 이용하려 했습니다.사이버 범죄자가 사용하는 전술
이는 새로운 일이 아닙니다. 범죄가 생겨난 이래로 사람들은 다른 사람의 신뢰를 악용하여 원하는 것을 얻는 방법을 터득해 왔습니다. 다만 시대 분위기가 변함에 따라 전술도 달라집니다. 오늘날에는 팬데믹, 폭동, 우주선 발사와 같은 소재가 이메일의 링크를 클릭하거나 첨부 파일을 다운로드하도록 유도하는 데 이용되고 있습니다. 사회가 다시 문을 열면서 이러한 주제는 더욱 악용되고 있습니다. 최근 통계에 따르면 사이버 공격의 상당수가 어떤 형태로든 소셜 엔지니어링에 의존합니다. 사기범은 전화, 사무실 또는 온라인을 통해 접근합니다. 범죄자가 가장 흔히 사용하는 전술은 다음과 같습니다.- 프리텍스팅(Pretexting): 핑계나 거짓말을 이용하여 우리의 주의를 끄는 방법입니다. 피싱(Phishing): 신뢰할 수 있는 기관에서 보낸 것처럼 꾸민 이메일을 받고, 기밀 정보를 제공하도록 요구받는 방법입니다. 비싱(Vishing): 피싱과 같지만 전화로 이루어지는 방법입니다. 대가성 제안(Quid Pro Quo): 정보를 제공하는 대가로 혜택을 약속하는 방법으로, 예를 들어 IT 기술자라고 하면서 PC를 수리해 주겠다며 그러려면 비밀번호가 필요하다고 전화하는 경우가 이에 해당합니다. 이메일 및 계정 해킹(Email and accounts hacking): 위 사례처럼 사이버 범죄자가 친구의 Facebook 계정에 로그인하여 모든 소셜 미디어 연락처에 미끼를 던지는 방법입니다.
어떻게 스스로를 보호할 수 있을까요?
잠재적 위험을 줄이고 사기범이 놓은 함정을 피하기 위해 할 수 있는 일들이 있습니다. 온라인에서 안전하게 지내기 위해 다음 수칙을 따르시기를 권장합니다.- 서두르지 말고 항상 경계하십시오. 사기범은 여러분이 행동하기 전에 다시 생각하지 않기를 바랍니다. 그래서 이들이 보내는 메시지나 전화에는 긴박감이 담겨 있습니다. 잠시 멈추고 숨을 고른 뒤 의심스러운 활동을 헬프데스크에 신고해도 괜찮습니다.
- 요청하지 않은 메시지는 모두 의심하십시오. 이메일이 알고 있는 회사에서 보낸 것처럼 보이더라도, 검색 엔진에 해당 회사의 주소를 직접 입력하거나 신뢰할 수 있는 출처를 통해 찾아서 웹사이트를 방문하십시오.
- 은행이나 기타 기관에서 계정과 관련된 중요한 정보가 있다며 전화가 오면, 전화를 끊고 해당 기관의 것으로 알고 있는 번호로 직접 전화하십시오.
- 금융 정보나 비밀번호를 요구하는 요청에는 절대 응답하지 마십시오.
- 링크가 “공식적으로 보이더라도” 클릭하기 전에 항상 확인하십시오.
- 유효한 것이라고 확신하지 않는 한 첨부 파일을 열거나 다운로드하지 말고, 링크도 클릭하지 마십시오.
- 무언가에 당첨되었다고 축하하거나 무료로 받을 수 있다고 약속하는 메시지는 절대 믿지 마십시오. 안타깝게도 그런 경우는 결코 없습니다.
- 모든 기기에 우수한 백신 소프트웨어를 설치하고 최신 상태로 유지하십시오. 스팸 필터는 높은 수준으로 설정하십시오.
- 어떻게 해야 할지 확신이 서지 않는다면 IT 및 보안 팀에 문의하십시오.
- 교육을 받고, 또 받고, 또 받으십시오! 소셜 엔지니어링에 대해 더 많이 알수록 더욱 경계하게 되고 더 안전해집니다. 사기범은 지금 이 순간에도 수법을 바꾸며 더욱 교활해지고 있으므로, 정기적으로 지식을 새롭게 하고 최신 정보를 갖추는 것이 중요합니다.