소셜 엔지니어링이란 무엇인가요?
소셜 엔지니어링이란 사이버 범죄자가 기술이 아닌 사람을 조종하여 본래 가져서는 안 되는 접근 권한, 정보 또는 리소스를 얻어내는 행위입니다. 해커가 시스템에 침입하는 가장 흔한 방법이 방화벽을 뚫거나 정교한 비밀번호 크래킹 알고리즘을 사용하는 것이라고 생각하실 수 있지만, 실제로는 소셜 엔지니어링의 결과로 침해 사고가 발생하는 경우가 훨씬 더 많습니다. 해커는 기술적 방어 장벽을 공략하는 대신, 조직 내 구성원이 회사의 가장 큰 보안 취약점이라는 전제하에 이들을 조종할 방법을 “설계”합니다. 악의적인 행위자는 “사회적” 상황을 꾸며 내며(대부분 해커가 직접 만들어 낸 문제입니다!), 바로 여기에서 소셜 엔지니어링이라는 이름이 유래했습니다. 간단히 말해, 소셜 엔지니어는 매우 그럴듯한 이야기를 지어내어 여러분이 자신을 위해 무언가를 해 주거나 비공개 정보에 대한 접근 권한을 넘겨주도록 속입니다.
어떤 방식으로 작동하나요?
사이버 범죄자는 여러분의 신뢰를 얻은 뒤 그 신뢰를 저버리기 위해 다양한 심리 기법을 사용합니다. 그중 몇 가지를 소개합니다.프라이밍
프라이밍은 소셜 엔지니어가 대화에 감정을 실어 어색함을 풀고 더 믿을 만한 사람처럼 보이게 하는 기법입니다. 이렇게 하면 피해자가 질문에 답할 가능성이 높아집니다. 예를 들어 오늘 아침이 얼마나 힘들었는지 이야기하며 대화를 시작하거나, 배경에 아이들이 뛰어다니는 소리가 담긴 오디오 파일을 재생한 뒤 엄마/아빠가 통화 중이니 조용히 하라고 말하는 척하기도 합니다. 아이들이란 다 그렇지요?프레이밍
인포머셜을 기억하시나요? (빌리 메이스가 좋아서 옥시클린 광고를 20분씩 보던 시절 말입니다.) 그런 광고는 제품의 가격을 절대 그대로 말하지 않습니다. 대신 “단돈 12.99!”와 같이 말합니다. 이것이 바로 프레이밍입니다. 정보를 제시하는 방식으로 그 정보를 받아들이는 방식을 조종하는 것입니다. 13이라고 하면 아주 저렴하게 느껴집니다. 사이버 범죄자도 똑같이 행동합니다. 여러분의 반응을 유도하도록 설계된 교묘한 방식으로 정보나 요청을 제시합니다. 다음에 iTunes 기프트 카드를 보내 주지 않으면 가족을 먹여 살릴 수 없다는 낯선 사람의 이메일을 받으시면, “이 사람이 처음부터 솔직하게 부탁했어도 내가 승낙했을까?”라고 스스로에게 물어보십시오.손실 회피
마리 콘도의 「정리의 힘」 열풍이 한창일 때 물건을 정리하겠다고 나섰다가 거의 아무것도 버리지 못한 경험이 있다면, 여러분만 그런 것이 아닙니다. 사람은 자신이 가진 것을 내놓는 것을 유난히 꺼립니다. 소셜 엔지니어는 이를 역이용하여, 흔히 돈과 같은 무언가를 잃을 수 있다는 가능성을 잠재적 피해자 앞에 내걸어 판단력을 흐리고 협조하거나 개인 정보를 공유하도록 유도합니다.권위 편향
부모님이 항상 옳은 것은 아니라는 사실을 깨닫기까지 얼마나 걸리셨나요? 사람들은 자신보다 권위 있는 사람의 의견을 반사적으로 신뢰하는 경향이 있으며, 권위 있는 인물이 요청하면 자신의 이익에 반하는 행동을 할 가능성도 훨씬 높아집니다. 소셜 엔지니어는 임원 같은 권위자를 사칭하여 잠재적 피해자가 요청 내용을 꼼꼼히 따져 보지 못하게 하는 경우가 많습니다.친숙성 편향
식당에서 탄산음료를 주문하는데 종업원이 코카콜라와 데이시 피즈 중 어느 것을 원하는지 묻습니다. 무엇을 고르시겠습니까? 코카콜라겠지요? 선택지가 주어지면 사람들은 가장 익숙한 옵션을 선택하고 신뢰할 가능성이 월등히 높습니다. 소셜 엔지니어는 여러 가지 행동 방안을 제시하고 여러분이 가장 익숙한 것, 즉 자신들이 선택하기를 바라는 것을 고를 것이라고 믿는 방식으로 이를 역이용할 수 있습니다.
어떤 사례가 있나요?
해커가 시스템에 침입하는 가장 흔한 방법이 방화벽을 뚫거나 정교한 비밀번호 크래킹 알고리즘을 사용하는 것이라고 생각하실 수 있지만, 실제로는 소셜 엔지니어링의 결과로 침해 사고가 발생하는 경우가 훨씬 더 많습니다.피싱
피싱은 단연코 가장 흔한 소셜 엔지니어링 유형이며, 그중 가장 널리 쓰이는 형태는 이메일 사기입니다. 이러한 이메일은 개인 정보를 공유하거나, 링크를 클릭하거나, 기기를 악성코드에 감염시키는 첨부 파일을 열도록 유인합니다. 피싱에 대해서는 다음 달에 더 자세히 다루겠습니다. 스미싱과 비싱은 각각 문자 메시지와 음성 통화를 통해 이루어지는 피싱의 변형입니다. 이들은 발신자 번호 표시 이름을 원하는 대로 설정할 수 있으므로, 여러분이 신뢰하는 사람을 사칭하여 새 번호가 생겼다고 하거나 무언가를 해 달라고 요청할 수 있습니다. 예시: 다른 지점의 재닛이 남긴 “긴급” 음성 메시지를 받습니다. 데이터베이스가 다운되어 특정 고객의 계정 정보가 당장 필요하다는 내용입니다. “재닛”에게 다시 전화를 걸어 개인 정보를 알려 주면, 피싱 공격자는 그 데이터를 이용해 해당 고객의 은행 계좌를 탈취합니다.물리적 침입
소셜 엔지니어는 때때로 직원이나 배달 기사처럼 친근한 사람으로 가장하여 건물에 들어간 뒤, 감시가 없는 틈을 타 컴퓨터를 침해하거나 기밀 문서를 뒤지기도 합니다. 예시: 우편 배달원 유니폼을 입은 사람이 여러 개의 택배 상자를 들고 힘겹게 여러분 뒤로 다가옵니다. 사무실에 들어가면서 친절하게 문을 잡아 주었지만, 알고 보니 그 배달원은 변장한 사이버 범죄자였습니다. 상자 안에는 무엇이 들어 있었을까요? 회사 컴퓨터와 서버에 연결하여 네트워크를 침해하는 해킹 장치입니다.아는 것이 힘입니다!
소셜 엔지니어는 조종의 달인이지만 정신을 지배하는 것은 아닙니다. 물론 해커는 여러분을 속이려 하겠지만, 조직을 더 잘 보호할 힘은 여러분에게 있습니다. 소셜 엔지니어링 기법에 대해 더 많이 알아 두면 악의적인 행위자를 알아차리는 데 필요한 지식을 갖추게 됩니다. 자신이 만드는 변화에 자부심을 가지시고, 새롭게 알게 된 노하우를 동료 직원(그리고 소중한 사람들)과 공유하여 모두가 안전하게 지낼 수 있도록 해 주십시오.