피싱 공격: 작동 원리 및 예방 방법

핵심 요약: 피싱은 가짜 이메일, 전화, 웹사이트를 사용하여 자격증명을 도용하는 가장 널리 퍼져 있는 사이버 공격 벡터 중 하나입니다. 효과적인 방어는 보안 도구와 지속적인 경계, 그리고 요청하지 않은 통신에 대한 의심 문화를 결합해야 합니다.

사이버 범죄자들은 개인 정보를 훔치고 시스템을 침해하기 위해 전술을 끊임없이 다듬고 있습니다. 피싱은 여전히 그들이 가장 효과적으로 사용하는 무기입니다. FBI 인터넷범죄신고센터(IC3)는 2023년에 298,878건의 피싱 및 스푸핑 신고[1]를 접수했으며, 이는 IC3가 추적하는 다른 어떤 범죄 유형보다도 많은 수치입니다. 또한 Verizon의 2024 데이터 침해 조사 보고서(Data Breach Investigations Report)에 따르면 사용자가 피싱 이메일에 속아 넘어가기까지 걸리는 중앙값 시간은 60초 미만[2]이었습니다.

이러한 공격은 가짜 이메일, 전화 통화, 문자 메시지, 웹사이트를 사용하여 사람들을 속여 자격증명을 제공하도록 합니다. 각 유형이 어떻게 작동하는지 이해하는 것이 진정한 방어를 구축하는 첫 번째 단계입니다.

피싱 유형	수법	주요 표적
이메일 피싱	신뢰받는 브랜드를 모방한 대량 가짜 이메일	불특정 다수 — 자격 증명, 결제 정보
스피어 피싱	피해자에 대한 세부 정보를 활용한 맞춤형 이메일	특정 개인 또는 조직
보이스피싱(비싱)	은행이나 기술 지원팀을 사칭한 음성 통화	금융 정보, 계정 접근
스미싱	악성 링크가 포함된 가짜 SMS 문자	모바일 사용자, 배송/택배 사기
고래 낚시(휘일링)	경영진 또는 C-스위트를 겨냥한 고도로 표적화된 공격	송금, 민감한 기업 데이터 (관련 비즈니스 이메일 침해 범주는 2023년 신고된 손실액 29억 달러[1]를 기록)
파밍	정상 URL을 조용히 가짜 사이트로 리디렉션	대규모 로그인 자격 증명
클론 피싱	실제 이메일을 복제하고 악성 링크를 바꿔 끼움	원래 발신자를 신뢰하는 피해자

피싱 시도를 감지하는 방법

피싱 메시지는 공통적인 위험 신호를 공유합니다. 이를 빠르게 발견하면 자격증명 도용과 맬웨어 감염을 예방할 수 있습니다.

발신자 주소를 확인하세요. 공격자는 종종 표시 이름을 위장하지만 잘못된 도메인을 사용합니다. “support@amaz0n-security.com”의 이메일은 Amazon이 아닙니다. 발신자 필드 위에 마우스를 올려 실제 주소를 확인하세요.

긴급성과 위협을 확인하세요. “24시간 내에 계정이 잠깁니다”와 같은 메시지는 생각할 틈을 주지 않고 서둘러 행동하도록 압박합니다. CISA는 긴급하거나 감정에 호소하는 표현[3], 특히 즉시 응답하지 않으면 심각한 결과가 생긴다고 주장하는 메시지를 주요 경고 신호로 꼽습니다.

클릭하기 전에 링크를 검사하세요. 모든 링크 위에 마우스를 올려 대상 URL을 미리 봅니다. 링크 텍스트는 “bankofamerica.com”이지만 URL이 “boa-secure-login.xyz”를 가리키면 즉시 메시지를 닫으세요.

문법이나 서식 오류에 주의하되, 이것만 믿지는 마세요. 철자 오류, 어색한 간격, 일관되지 않은 로고는 사기성 메시지의 신호일 수 있습니다. 다만 CISA는 AI로 작성된 메시지는 문법이 완벽할 수 있다[3]고 밝히고 있으므로, 발신자, 링크, 그리고 요청 내용 자체를 확인하세요.

실제로 작동하는 예방 모범 사례

탐지만으로는 충분하지 않습니다. 조직과 개인은 피싱 시도가 받은편지함에 도달하기 전에 차단하기 위해 계층화된 방어가 필요합니다.

다단계 인증(MFA)을 활성화하세요. Microsoft에 따르면 MFA는 계정 침해 공격의 99.9% 이상을 차단할 수 있습니다[4]. 공격자가 비밀번호를 훔치더라도 두 번째 인증 수단 없이는 계정에 접근할 수 없습니다. 가능하다면 보안 키와 같은 피싱 저항성 방식을 선택하세요. CISA의 피싱 지침[5]은 관리자 계정에 대해 피싱 저항성 MFA를 우선적으로 권장합니다.

이메일 인증 프로토콜 구현. 도메인에 SPF, DKIM, DMARC 레코드를 설정하십시오. 이들은 함께 게시된 규칙을 확인하여 수신 이메일의 발송 서버를 검증하며[5], CISA의 연방 기관 지침은 DMARC 정책을 reject로 설정하는 것이 스푸핑된 이메일에 대해 가장 강력한 보호를 제공한다[6]고 명시하고 있습니다.

보안 인식 교육을 정기적으로 실시하세요. 교육은 사람들이 피싱을 알아채고 신고하는 데 도움이 됩니다. Verizon의 2024년 보고서에 따르면 시뮬레이션 참여자의 20%가 피싱을 신고했으며[2], 그중 11%는 링크를 클릭했던 사람들이었습니다. 대부분의 사람은 1분 안에 행동하므로, 습관이 흐려지지 않도록 교육을 자주 반복하세요.

보호형 DNS 필터링을 사용하세요. CISA는 자격 증명을 훔치기 위해 사용자를 악성 웹사이트로 리디렉션하는 공격을 막기 위해 보호형 DNS 리졸버[5]를 권장하며, OpenDNS Home과 Cloudflare Zero Trust Services 같은 무료 옵션을 제시합니다.

피싱 신고 버튼 배포. 직원들에게 의심스러운 이메일을 한 번의 클릭으로 신고할 수 있는 옵션을 제공하세요. CISA는 의심스러운 피싱 활동 신고[5]를 조직을 보호하는 가장 효율적인 방법 중 하나로 꼽습니다.

공격이 성공했을 때의 피싱 대응 단계

최고의 방어도 때때로 실패합니다. 명확한 사건 대응 계획이 피해를 제한하고 복구 속도를 높입니다.

영향을 받은 계정을 즉시 격리하세요. 침해된 비밀번호를 재설정하고 활성 세션을 취소하세요. MFA가 활성화되지 않았다면 지금 활성화하세요.

보안 팀에 즉시 알리십시오. CISA는 조직에 피싱 사고를 신속하게 신고할 것[5]을 권고합니다. 신속한 신고는 대응 팀이 공격자의 인프라가 다른 계정으로 번지기 전에 차단할 수 있는 시간을 확보해 줍니다.

맬웨어를 스캔하세요. 피해자가 링크를 클릭했거나 첨부 파일을 다운로드한 경우 전체 엔드포인트 스캔을 실행하세요. 스캔이 완료될 때까지 장치를 네트워크에서 격리하세요.

모든 것을 문서화하세요. 피싱 이메일 헤더, URL, 타임스탬프, 취한 모든 조치를 기록하세요. 이 증거는 법의학 조사 및 규제 보고를 지원합니다.

영향을 받은 당사자들과 소통하세요. 고객 데이터가 노출된 경우 관할권의 위반 통지 법률에 따라 영향을 받은 개인에게 알리세요. 투명성은 신뢰를 유지합니다.

최종 평결

피싱은 사이버 보안에서 가장 지속적인 위협 중 하나로 남아있습니다. 공격자들은 빠르게 적응하여 단일 채널의 방어가 개선되면서 이메일에서 SMS로, SMS에서 음성 통화로 이동합니다.

탐지 기술, 계층화된 기술 통제, 정기적인 교육이 효과적인 방어의 기초를 형성합니다. DMARC와 같은 이메일 인증 프로토콜은 도메인 스푸핑을 중단합니다. 다중 인증은 도용된 자격증명을 무력화합니다. 분기별 교육은 조직 전체에서 피싱 인식을 예리하게 유지합니다.

강력한 사건 대응 계획은 공격이 슬쩍 통과할 때 팀이 피해를 며칠이 아닌 분 이내에 봉쇄하도록 보장합니다. 대응 절차를 문서화하고, 명확한 역할을 할당하고, 정기적으로 연습하세요.

피싱 방어는 일회성 프로젝트가 아닙니다. 조직의 모든 수준에서 지속적인 관심, 업데이트된 도구, 보안 인식 문화가 필요합니다.

참고 자료

1. IC3. 2024. 2023 IC3Report. 2026년 10월 16일에 https://www.ic3.gov/AnnualReport/Reports/2023_IC3Report.pdf에서 검색됨.보관됨: Wayback Machine 스냅샷
2. Verizon. 날짜 없음. 2024 Dbir Data Breach Investigations Report. 2026년 10월 16일에 https://www.verizon.com/business/resources/Tfc3/reports/2024-dbir-data-breach-investigations-report.pdf에서 검색됨.
3. Cybersecurity and Infrastructure Security Agency CISA. 날짜 없음. Recognize and Report Phishing. 2026년 10월 16일에 https://www.cisa.gov/secure-our-world/recognize-and-report-phishing에서 검색됨.보관됨: Wayback Machine 스냅샷
4. M. Maynes. 2019. One simple action you can take to prevent 99.9 percent of attacks on your accounts. Microsoft Security Blog (2019년 8월 20일). 2026년 10월 16일에 https://www.microsoft.com/en-us/security/blog/2019/08/20/one-simple-action-you-can-take-to-prevent-99-9-percent-of-account-attacks/에서 검색됨.보관됨: Wayback Machine 스냅샷
5. CISA. 2023. Phishing Guidance: Stopping the Attack Cycle at Phase One. 2026년 10월 16일에 https://www.cisa.gov/sites/default/files/2025-03/Phishing%20Guidance%20-%20Stopping%20the%20Attack%20Cycle%20at%20Phase%20One%20508.pdf에서 검색됨.보관됨: Wayback Machine 스냅샷
6. Cybersecurity and Infrastructure Security Agency CISA. 날짜 없음. BOD 18-01: Enhance Email and Web Security. 2026년 10월 16일에 https://www.cisa.gov/news-events/directives/bod-18-01-enhance-email-and-web-security에서 검색됨.보관됨: Wayback Machine 스냅샷

이 페이지의 리소스

저희 연구의 차트 및 참고 이미지를 무료로 확인하고 공유하세요.

• 

• 피싱 공격과 사회공학PDF · 0.7 MB

피싱에 대한 자주 묻는 질문

전체작동 방식위협보호모범 사례

피싱이란 무엇이며 공격자는 실제로 어떻게 수행하나요?

피싱은 가짜 이메일, 전화, 문자 메시지 또는 웹사이트로 신뢰할 수 있는 발신자를 사칭하여 피해자가 자격 증명이나 금전을 넘기도록 속이는 방식입니다. FBI 인터넷범죄신고센터(IC3)는 2023년에 298,878건의 피싱 및 스푸핑 관련 신고를 접수했습니다. 공격자는 기술적 취약점을 악용하기보다 긴박감 조성, 위조된 도메인, 모방된 브랜딩에 의존해 성공을 거둡니다.

이메일 피싱, 스피어 피싱, 웨일링의 차이점은 무엇입니까?

이메일 피싱은 가짜 브랜드 이메일을 광범위한 대상에게 대량으로 보내 자격증명이나 결제 정보를 노리는 반면, 스피어 피싱은 특정 대상에 대해 알려진 세부 정보를 사용하여 메시지를 개인화합니다. 웨일링은 더 나아가 임원진 및 최고 경영진을 특정 대상으로 하여 전신 송금 승인이나 민감한 기업 데이터 유출을 노립니다. 공격이 더 표적화될수록 일반적으로 더 설득력 있고 비용이 많이 듭니다.

비싱과 스미싱이란 무엇이며, 이메일 피싱과 어떻게 다릅니까?

비싱은 은행이나 기술 지원을 사칭하는 음성 전화를 사용하여 재무 정보와 계정 접근을 추출하는 반면, 스미싱은 배송 또는 소포 알림으로 위장한 악성 링크가 있는 가짜 SMS 메시지를 보냅니다. 둘 다 이메일을 건너뛰므로 DMARC와 같은 이메일 인증 프로토콜을 우회하고 전화 통화 및 문자 메시지와 연관된 즉시성을 활용합니다.

파밍이란 무엇이며 가짜 이메일보다 감지하기가 더 어려운 이유는 무엇입니까?

파밍은 합법적인 URL을 가짜 사이트로 자동으로 리디렉션하며, 의심스러운 이메일이나 링크가 필요하지 않으므로 피해자는 올바른 주소를 입력한 후에도 위장된 로그인 페이지에 도달합니다. 한 번에 한 피해자가 아닌 대규모로 로그인 자격증명을 대상으로 하며, 긴급성이나 철자 오류가 있는 도메인처럼 발견할 명백한 유인이 없습니다.

클론 피싱이란 무엇입니까?

클론 피싱은 실제로 이전에 발송된 이메일을 복제하면서 악성 링크로 교체하며, 피해자가 이미 원본 발신자와 메시지를 신뢰한다는 사실에 의존합니다. 복제본은 수신자가 이미 본 합법적인 이메일과 거의 동일해 보이므로 차가운 예기치 않은 이메일이 일반적으로 유발하는 의심을 우회합니다.

피싱 이메일의 대표적인 징후는 무엇인가요?

피싱 이메일의 상당수는 네 가지 위험 신호로 드러납니다. 발신자 주소에 “amaz0n-security.com”처럼 철자를 바꾼 도메인이 있는지 확인하세요. “24시간 안에 계정이 잠깁니다”와 같이 다급함을 조성하는 문구에도 주의해야 합니다. 링크 위에 마우스를 올려 실제 연결 주소를 미리 확인하고, 형식이 어색한 부분이 있는지도 살펴보세요. 다만 AI로 작성된 메시지는 흠잡을 데 없이 완벽할 수 있으니 형식만 믿고 안심해서는 안 됩니다.

다중 인증(MFA)은 어떻게 피싱 공격의 성공을 막나요?

Microsoft에 따르면 다중 인증(MFA)은 계정 탈취 공격의 99.9% 이상을 차단할 수 있습니다. 비밀번호가 유출되더라도 두 번째 인증 수단 없이는 로그인할 수 없기 때문입니다. 피싱 이메일이 자격 증명을 성공적으로 빼내더라도 MFA는 공격자를 로그인 화면에서 멈춰 세우므로, 사용할 수 있는 방어 수단 가운데 영향력이 가장 큰 방법 중 하나입니다.

SPF, DKIM, DMARC란 무엇이며 세 가지 모두 필요한가요?

SPF, DKIM, DMARC는 도메인 수준에서 설정하는 이메일 인증 프로토콜로, 수신된 메일이 실제로 주장된 발신자에게서 왔는지 확인합니다. 세 가지는 대안이 아니라 함께 작동합니다. DMARC는 SPF와 DKIM을 기반으로 인증에 실패한 메일을 어떻게 처리할지 결정합니다. CISA는 DMARC 정책을 거부(reject)로 설정하는 것이 위조 이메일에 대해 가장 강력한 보호를 제공한다고 밝히고 있습니다.

보안 인식 교육은 얼마나 자주 해야 실제로 위험을 줄일 수 있을까요?

교육이 습관으로 자리 잡을 만큼 자주 해야 합니다. Verizon의 2024년 보고서에 따르면 사용자가 피싱 이메일에 속아 넘어가기까지 걸리는 중간값 시간은 60초 미만이었고, 시뮬레이션에서 피싱을 신고한 사용자는 20%에 불과했습니다. 짧은 복습을 자주 진행하고 신고를 쉽게 할 수 있도록 하는 것이 이러한 수치에 대한 실질적인 대응책입니다.

사용자가 클릭하기 전에 피싱 사이트를 차단하는 도구는 무엇인가요?

보호형 DNS 필터링은 사용자가 알려진 악성 웹사이트에 연결하지 못하도록 막아 주며, CISA는 OpenDNS Home과 Cloudflare Zero Trust Services 같은 무료 옵션을 소개합니다. 여기에 원클릭 피싱 신고 버튼을 더하면 직원들이 의심스러운 이메일을 즉시 신고할 수 있으며, CISA는 이를 조직을 보호하는 가장 효율적인 방법 중 하나로 꼽습니다.

피싱 링크를 클릭했거나 비밀번호를 입력했다면 가장 먼저 해야 할 일은 무엇입니까?

즉시 계정을 격리하세요: 침해된 비밀번호를 재설정하고 모든 활성 세션을 취소한 다음, MFA가 이미 켜져 있지 않았다면 활성화하세요. 링크를 클릭했거나 첨부 파일을 다운로드했다면 전체 엔드포인트 스캔을 맬웨어 검사를 위해 실행하고, 스캔이 완료될 때까지 장치를 네트워크에서 격리하세요.

회사는 피싱 사고를 내부적으로 얼마나 빨리 보고해야 하나요?

의심스러운 침해가 발생하면 즉시 보안팀에 알려야 합니다. CISA는 조직에 피싱 사고를 신속하게 보고할 것을 촉구하고 있으며, 빠른 보고는 대응팀이 공격자의 인프라가 다른 계정으로 퍼지기 전에 차단할 시간을 줍니다. 목표는 며칠이 아니라 몇 분 단위로 잡으세요.

자격증명이 도용된 후 좋은 사건 대응 계획에는 무엇이 포함됩니까?

견고한 피싱 대응 계획은 모든 것을 문서화합니다: 피싱 이메일의 헤더, URL, 타임스탬프, 취한 모든 조치를 기록하며, 이는 법의학 조사 및 규제 보고를 지원합니다. 또한 영향을 받은 계정을 격리하고, 장치에서 맬웨어를 스캔하고, 고객 데이터가 노출된 경우 관할권의 위반 통지 법에 따라 영향을 받은 개인에게 알립니다.