소셜 엔지니어링(Social Engineering) : 인간 심리를 악용한 사이버 위협

소셜 엔지니어링(Social Engineering)은 사이버 범죄자가 인간의 심리적 약점을 이용해 정보를 탈취하거나 시스템에 접근하는 공격 기법입니다.

공격자는 기술적 해킹 대신 인간의 신뢰, 두려움, 호기심을 조작하여 피해자가 자발적으로 민감한 정보를 제공하거나 악성 코드를 다운로드하도록 유도합니다.

이러한 공격은 기술적 방어막을 우회할 수 있기 때문에 더욱 치명적입니다. 사이버 보안 환경에서 소셜 엔지니어링은 여전히 가장 위협적인 공격 방식 중 하나로 자리 잡고 있습니다.

소셜 엔지니어링의 원리

소셜 엔지니어링은 인간의 심리적 특성을 교묘히 이용하는데,  일반적으로 피싱, 스피어 피싱, 프리텍스팅, 베이팅 등 다양한 기법을 통해 사람들이 정보를 제공하도록 만듭니다.

 

공격자는 사용자의 신뢰, 긴급성, 탐욕 같은 기본적인 심리적 반응을 자극하여 목표를 달성합니다.

주요 심리적 기법

• 신뢰성 조작:  신뢰할 수 있는 기관(검찰, 경찰 과 같은)이나 인물(지역 정치인, 경제인 등)로 위장하여 피해자가 의심 없이 정보를 제공하게 만듭니다. 
• 긴급감 유발: 피해자가 빠르게 행동하도록 유도하기 위해 "계정이 잠긴다"거나 "즉시 처리해야 한다"는 식의 메시지를 보내 긴급한 상황을 연출합니다.
• 탐욕 자극: 금전적 보상이나 거액의 상금을 제안해 사용자가 위험한 링크를 클릭하거나 악성 소프트웨어를 다운로드하게 유도합니다.

소셜 엔지니어링 공격의 유형

소셜 엔지니어링 공격은 다양한 형태로 나타나며, 각 기법은 인간의 심리를 공략하는 데 중점을 둡니다. 주요 공격 유형은 다음과 같습니다:

피싱(Phishing)

피싱은 가짜 이메일이나 메시지를 통해 사용자가 악성 링크를 클릭하게 하거나 가짜 웹사이트에 로그인하도록 유도하는 방법입니다. 일반적으로 많이 보이는 방법이며, 실제적으로 많은 사람들이 피싱사기에 피해를 입고 있습니다. 

최근 피싱 공격은 더욱 정교해져서, HTTPS 인증을 갖춘 가짜 웹사이트도 많이 등장하고 있습니다. 2022년 기준으로 130만 개 이상의 피싱 사이트가 탐지되었으며, 이는 15% 이상 증가한 수치입니다.

스피어 피싱(Spear Phishing)

스피어 피싱은 특정 개인이나 조직을 표적으로 삼아 맞춤형 공격을 수행하는 방식입니다. 일반적인 피싱보다는 조금 전문적인 정보를 취득하려는 목적인 경우가 많습니다. 대상의 직무와 업무 관련 정보를 미리 조사한 후 신뢰할 만한 이메일을 보내 피싱을 시도합니다. CEO나 고위 임원을 대상으로 한 웨일 피싱(Whaling)도 스피어 피싱의 일종입니다.

프리텍스팅(Pretexting)

프리텍스팅은 공격자가 가짜 신분을 내세워 피해자로부터 중요한 정보를 얻어내는 기법입니다. 예를 들어, IT 부서나 은행 직원을 사칭해 피해자의 비밀번호나 계좌 정보를 요구합니다.

검찰, 경찰, 은행원 등을 사칭하여 피싱하는 경우처럼 프리텍스팅은 신뢰할 수 있는 가짜 배경 이야기를 기반으로 피해자를 속이기 때문에 매우 효과적입니다.

베이팅(Baiting)

베이팅은 피해자의 호기심을 자극하여 악성 프로그램을 설치하게 하는 기법입니다. 예를 들어, 공공장소에 악성 코드가 포함된 USB 드라이브를 일부러 떨어뜨려 피해자가 이를 주워 자신의 컴퓨터에 연결하게 하는 방식이나, 카카오톡 또는 SNS를이용하여 첨부파일을 실행하게 만드는 경우가 대표적입니다.

 

최근에는 무료 소프트웨어나 음악 파일을 제공하는 가짜 광고를 통해 악성 프로그램을 유포하는 경우도 증가하고 있습니다.

테일게이팅(Tailgating)

테일게이팅은 물리적 접근을 이용한 소셜 엔지니어링 공격으로, 허가받지 않은 사람이 허가받은 사람을 따라 보안 구역에 침입하는 방식입니다. 공격자는 배달원으로 위장하거나, 다른 사람과 함께 출입문을 통과해 보안 구역에 무단으로 들어갑니다.

최신 소셜 엔지니어링 트렌드

2023년과 2024년의 주요 소셜 엔지니어링 트렌드는 모바일 피싱, 비즈니스 이메일 침해(BEC), 랜섬웨어와의 결합이 두드러집니다. 또한, 팬데믹 이후 원격 근무와 디지털 전환이 가속화되면서 사이버 범죄자들은 새로운 공격 기법을 개발하고 있습니다.

모바일 피싱(Smishing)과 SMS 피싱

모바일 기기를 대상으로 한 SMS 피싱(스미싱)이 급증하고 있습니다. 2021년 이후 매년 700% 이상 증가하는 폭발적인 증가 추세를 보이고 있으며, 악성 링크가 포함된 문자 메시지로 피해자를 유도하는 방식이 보편화되었습니다.

비즈니스 이메일 침해(Business Email Compromise, BEC)

BEC는 기업의 임원이나 재무 담당자를 목표로 하여 금전적 이익을 노리는 소셜 엔지니어링 공격입니다. 미국 FBI에 따르면, 2021년 BEC 공격으로 기업들이 24억 달러 이상의 손실을 입었으며, 지속적으로 증가하는 추세입니다.

랜섬웨어와 소셜 엔지니어링

랜섬웨어 공격은 주로 소셜 엔지니어링을 통해 시작됩니다. 사용자가 악성 이메일을 열어 랜섬웨어가 설치되면, 시스템을 암호화하고 그 대가로 금전을 요구하는 방식입니다. 2022년에는 랜섬웨어로 인한 피해 비용이 450만 달러에 달했습니다.

소셜 엔지니어링 공격의 방어 전략

소셜 엔지니어링 공격은 기술적 방어만으로는 충분히 막을 수 없습니다. 인간의 심리를 공략하기 때문에, 사용자 교육과 보안 인식 제고가 필수적입니다. 다음은 소셜 엔지니어링 공격을 예방하기 위한 주요 방어 전략입니다.

정기적인 보안 교육

모든 직원들이 최신 소셜 엔지니어링 공격 기법에 대해 정기적으로 교육받아야 하고, 피싱 이메일 시뮬레이션을 통해 실제 상황에서 어떻게 대처해야 하는지를 훈련하는 것이 좋습니다. 

다중 인증(Multi-Factor Authentication, MFA) 도입

비밀번호만으로는 충분한 보안이 제공되지 않기 때문에, 다중 인증(MFA)과 같은 방식을 통해 비밀번호 외에도 추가적인 인증 방법을 요구해 보안을 강화 해야 합니다. 

3. 의심스러운 메시지 및 링크 주의

이메일이나 문자로 받는 모든 링크와 첨부파일은 출처를 확인하고 열어야 하며, 특히 금전적 보상을 제안하는 메시지는 항상 의심해야 합니다. 정식 기관에서 보낸 것처럼 보이더라도, 전화나 공식 웹사이트를 통해 이중 확인하는 것이 중요합니다.

---

소셜 엔지니어링은 인간의 심리를 교묘하게 이용하는 매우 위험한 사이버 공격 방식입니다. 기술적 보안 체계가 아무리 견고하더라도, 사람의 실수는 이를 무력화시킬 수 있습니다. 피싱, 스피어 피싱, BEC, 랜섬웨어 등의 다양한 공격 기법이 사용되며, 이들은 시간이 지날수록 더욱 정교해지고 있습니다. 따라서 기업과 개인은 정기적인 보안 교육과 보안 인식 제고를 통해 소셜 엔지니어링 공격에 대비해야 하며, 기술적 방어뿐만 아니라 심리적 방어 전략도 함께 구축하는 것이 필수적입니다.