피싱 메일 : 모든 기업과 보안담당자가 알아야 할 사항

피싱메일 공격이 증가하고 있으며, 이는 그 어느때보다 정교하고 산발적임. 이러한 공격은 가해자에게 실질적인 수익성을 가져다 줄 수 있음. 

중간 사이즈 기업에 한하여 피싱공격은 연간 평균 1.6million달러이며, 이것은 주요한 공격에 대비하여 중요 보호대책을 가지지 못한 기업들의 비즈니스에 악영향을 줄 수 있음. 

 

중간 규모의 기업에 대한 평균 피싱메일 공격 비용은? 1.6million달러

 

목차

• 피싱메일 공격이란?
• 비즈니스에서 알아야 할 피싱 통계
  • 누가 피싱 메일을 시도하는가?
  • 성공적인 피싱 공격은 비즈니스에 어떤 영향을 주는가?
• 비즈니스를 안전학 유지하는 3가지 방법

 

---

피싱메일 공격이란?

 

피싱 공격 또는 피싱 사기(Pishing Scam)는 범죄자가 표적(기업)에게서 민감한 정보를 추출하기 위하여 누군가(ex. 조직의 CEO) 또는 그가 아닌 다른 기관(ex. Google)인 것처럼 가장하여 이메일을 보내는 것. 

기본적으로 가해자는 표적에게서 두려움, 호기심 또는 긴박감을 이끌어내려고 시도하므로 대상이 첨부파일을 열거나 사용자 이름, 암호 또는 신용카드와 같은 민감한 정보를 기입할 가능성이 높음. 

피싱 사기 예시

위 이미지는 Gmail 로그인 양식과 똑같아 보이지만, URL이 약간 변경되었음. 이 양식을 작성하면 해커가 Gmail계정에 대한 전체 엑세스 권한을 가지게 됨. 

Gmail 사기는 범죄자가 wide net을 사용하여 공격에 취약한 개인을 찾을 가능성을 높이고자 할 때 발생합니다. 

 

스피어 피싱(Spear Pishing)은 범죄자가 보다 개인적인 접근방식을 사용하여 한명 또는 제한된 수의 사람들을 표적으로 삼을 때 사용됩니다. 스피어 피싱 공격은 가해자가 각 개인에 맞는 언어를 사용할 수 있기 때문에 매우 효과적일 수 있음. 

 

만약 CEO가 몇몇 인물에게 이메일을 보내고, Gmail을 통해 회의 초대장을 보내어 이 메일의 링크를 통해 회의를 참석하라 했을 때, 누가 Gmail에 로그인 하지 않겠는가?

 

악의적인 링크를 사용하여 민감한 정보를 피싱한다는 아이디어는 동일하지만, 스피어 피싱은 범죄자가 더 긴박한 상황을 만들고 대상이 경계를 늦추도록 하는 방법으로 공격을 맥락화 할 수 있음. 

---

비즈니스에서 알아야 할 피싱 통계

공격으로부터 자신과 조직을 보호하기 위해서는 피싱 생태계를 이해하는 것이 중요

누가 피싱메일을 시도합니까?

• PhishME의 기업 피싱 복구 및 방어 보고서에 따르면 피싱 시도는 작년에 약 65% 증가함(2018년 기준)
• Wombat Security State of the Phish에 따르면 기업의 76%가 작년에 피싱공격을 당했다고 함
• Verizon Data Breach Investigations Report에 따르면 피싱메시지의 30%가 표적 사용자에 의해 열렸으며, 12%의 사용자가 악성 첨부 파일 또는 링크를 클릭함
• SANS Institute에 따르면 기업 네트워크에 대한 모든 공격의 95%는 성공적인 스피어 피싱의 결과임
• 시만텍에 따르면 피싱 비율은 대부분의 산업 및 조직 규모에서 증가했으며, 이는 특정 회사나 업종에 국한된 것이 아님
• Webroot 위협 보고서에 따르면 매달 약 150만개의 새로운 피싱 사이트가 생성됨

직원은 조직의 가장 취약한 보안 고리이다. 

전부는 아니더라도, 많은 직원이 피싱 이메일을 식별할 가능성이 낮음. 인텔에 따르면 전 세계 97%의 사람들이 정교한 피싱 이메일을 식별할 수 없음. 

 

성공적인 피싱 공격은 비즈니스에 어떤 영향을 주는가?

• Deloitte에 따르면 소비자의 3분의 1은 물질적인 손해를 입지 않더라도 사이버 보안 침해가 발생하면 비즈니스 거래를 중단하겠다고 말함. 
• Aviva에 따르면 회사가 공격받은 후 고객의 60%는 서비스의 해지를 고려하고, 30%는 실제로 해지함.

데이터 유출 소식이 대중에게 공개되면 브랜드 이미지 및 신뢰에 심각한 타격을 받을 수 있음.

---

비즈니스를 안전하게 유지하는 3가지 방법

1. 직원 보안 인식 강화
   • 조직의 보안과 관련하여 직원들에게 최신의 보안 공격 유형을 알리고 이를 방어하는 것은 피싱공격을 위반하는 확실한 방법임. PhishMe에 따르면 직원이 잘 훈련되고, 피싱 테스트가 올바르게 실행되고 보고되는 기업의 경우 취약성 비율(비즈니스가 피싱공격에 얼마나 취약한지를 보는 비율)이 단지 5%에 불가합니다. 
2. 보안 인식 및 피싱 방어 도구에 투자 
3. 비즈니스 암호 관리자에 투자
   • 피싱메일은 링크 또는 첨부파일을 클릭하도록 유도함. 범죄자들은 종종 링크를 사용하여 직원의 사용자 이름과 암호를 통해 엑세스 권한을 얻을 수 있으므로 이 직원을 인기사이트의 스푸핑 된 페이지로 유도함. 암호 관리자를 사용하면 이러한 가능성이 사라짐.