스피어 피싱과 피싱: 차이점을 알아봅시다. 피싱은 해커가 합법적인 조직이나 당사자인 것처럼 가장하여 소비자나 비즈니스 사용자에게 대량 이메일을 발송하여 수신자의 신뢰를 얻고 긴박감을 불러일으킨 후 자격 증명을 공개하거나 금전을 제공하도록 유도하는 사기 행위입니다. 반면 스피어 피싱은 해커나 악의적인 의도를 가진 사람이 권한 있는 액세스 권한을 가진 개인 또는 그룹의 연락처 정보를 획득하는 사기 캠페인으로 설명됩니다.
최근 인터넷을 사용했다면 스피어 피싱과 피싱이라는 두 가지 새로운 사이버 공격에 대해 들어보셨을 것입니다. 이 두 가지 공격에는 차이가 있는 것으로 밝혀졌습니다. 이 블로그에서는 스피어 피싱과 피싱에 대해 자세히 설명하여 어떤 공격을 주의해야 하는지 알 수 있도록 도와드립니다.
스피어 피싱 VS 피싱: 정의
스피어 피싱
스피어 피싱 은 개인 정보를 사용하여 수신자가 특정 조치를 취하도록 유도하는 표적 피싱의 한 형태입니다. 스피어 피싱 공격의 목표는 사용자 이름, 비밀번호, 신용카드 번호, 주민등록번호와 같은 기밀 또는 민감한 정보에 액세스하는 것입니다. 이러한 공격은 일반적으로 은행 및 기타 금융 기관, 급여 부서, 온라인 소매업체와 같은 합법적인 출처에서 보낸 것처럼 보이는 이메일 메시지를 사용합니다.
공격자는 이메일 스푸핑, 동적 URL, 드라이브 바이 다운로드 등을 사용하여 보안 조치를 우회하고 스피어 피싱 공격을 수행할 수 있습니다. 지능형 공격은 플러그인, 프로그램 또는 브라우저의 제로데이 결함을 이용할 수 있습니다. 스피어 피싱 공격은 결국 바이너리 다운로드, 아웃바운드 멀웨어 통신, 데이터 유출을 수행하는 다단계 지능형 지속 위협(APT) 공격의 초기 단계일 수 있습니다.
피싱
피싱은 일반적으로 많은 사람에게 대량으로 이메일을 보내 링크를 클릭하거나 이메일 메시지의 첨부 파일을 열어 사용자 이름, 비밀번호, 신용카드 번호와 같은 개인 정보를 공개하도록 속이는 사회 공학의 한 형태입니다. 피셔는 또한 신원을 도용하기 위해 은행이나 고용주와 같은 신뢰할 수 있는 기관으로 가장하기도 합니다.
피싱 공격은 받은 편지함을 사용하는 사람이라면 누구나 알고 있습니다. 최신 피싱 시도는 평판이 좋은 회사나 은행에서 보낸 진짜 이메일처럼 보일 가능성이 높습니다. 링크를 클릭하거나 첨부 파일을 다운로드하기 전에 발신자 주소에 마우스를 올려 정확성을 확인하는 주의력 있는 사용자만이 악성 이메일임을 알아차릴 수 있습니다.
피싱 공격은 숫자 게임을 이용합니다. 한 사람에게만 집중하는 것이 아니라 많은 사람을 대상으로 하여 몇 명을 잡으려는 것입니다.
피싱 및 스피어 피싱: 주요 통계
매년 피싱 공격은 점점 더 확산되고 있습니다. 여기서는 몇 가지 중요한 수치를 살펴보겠습니다:
- Verizon에 따르면에 따르면 피싱 공격의 96%가 이메일을 통해 전송되었다고 합니다.
- Tessian 은 직원들이 매년 평균 14건의 사기성 이메일을 받는다고 주장합니다.
- CISCO에 따르면에 따르면 86%의 기업에서 최소 한 명의 직원이 피싱 링크를 클릭한 것으로 나타났습니다.
스피어 피싱과 피싱: 차이점 요약
스피어 피싱과 피싱에 대한 개요는 다음과 같습니다:
| 스피어 피싱 | 피싱 | |
| 배달 | 특정 | 랜덤 |
| 수신자 | 개인 또는 그룹 | 수백 또는 수천 명 |
| 톤 | 익숙한 | 공식 |
| 개인 주소 | 개인 | 비인격적 |
| 노력 | 높음 | 낮음 |
스피어 피싱과 피싱: 주요 차이점
스피어 피싱과 피싱의 다른 주요 차이점은 다음과 같습니다:
출처: 피싱은 스피어 피싱보다 오래되었습니다.
피싱은 스피어 피싱보다 더 오래 전부터 존재해 왔습니다. 스피어 피싱은 범죄자들이 기업이나 대규모 그룹이 아닌 개인을 표적으로 삼기 시작한 2003년에 등장한 보다 최근의 공격입니다.
타깃팅: 은행의 스피어 피싱은 운이 아닌 사회 공학을 이용합니다.
스피어 피셔는 민감한 정보, 돈 또는 기타 자산에 액세스하는 데 사용할 수 있는 개인 정보를 가진 개인 또는 조직을 표적으로 삼습니다. 피셔는 합법적으로 보이지만 발신자가 주장하는 출처가 아닌 일반 메시지를 사용하여 한 번에 많은 사람을 표적으로 삼습니다.
기술: 피싱은 악성 링크와 제로 페이로드 스피어 피싱에 의존합니다.
피싱 이메일은 사기꾼이 사용자 이름과 비밀번호 또는 신용카드 번호와 같은 개인 정보를 제공하도록 속이기 위해 대량으로 발송하는 경우가 많습니다. 이러한 이메일에는 일반적으로 민감한 데이터를 수집하도록 설계된 가짜 웹사이트로 연결되는 첨부 파일이나 링크가 포함되어 있습니다. 반면 스피어 피싱 이메일은 대량 이메일보다 더 표적화되어 있지만 여전히 링크를 클릭하거나 첨부 파일을 열도록 유도하기 위해 소셜 엔지니어링 기법에 의존합니다. 스팸 필터에 탐지될 가능성이 낮기 때문에 스피어 피싱 공격자는 표적이 되는 사용자의 받은 편지함에서 직접 메시지를 보낼 수도 있습니다.
피싱 및 스피어 피싱 보호 방법
다음은 두 가지 공격으로부터 사용자를 보호할 수 있는 몇 가지 방법입니다:
DMARC로 이메일 인증
DMARC (도메인 기반 메시지 인증 보고 및 준수)는 메시지에 포함된 발신자 도메인 이름의 적법성을 확인하여 스푸핑을 방지하는 이메일 유효성 검사 시스템입니다. 이 시스템은 메시지를 보내는 메일 서버가 보낸 사람 필드에 나열된 도메인 이름 소유자로부터 권한을 부여받았는지 확인하여 이를 수행합니다.
이메일 인증 프로토콜 SPF 및 DKIM 이 결합되어 DMARC에서 사용됩니다. 웹사이트나 비즈니스의 소유자는 모든 사용자나 수신자가 자신이 보내거나 승인한 이메일만 볼 수 있도록 하고 싶을 것입니다. 이메일을 완벽하게 보호하고 각 메시지가 신중하고 안전하며 사이버 범죄 활동이 없음을 보장하는 가장 좋은 방법은 DMARC를 사용하는 것입니다.
데이터 암호화
컴퓨터나 모바일 디바이스에 민감한 정보가 있는 경우 비밀번호로 암호화해야 합니다. 누군가 디바이스를 훔쳐도 비밀번호를 모르면 데이터에 액세스할 수 없습니다.
스팸 방지 필터 사용
스팸 방지 필터는 피싱 시도 및 기타 스팸 메시지에 대한 첫 번째 방어 수단입니다. 스팸 필터는 수신 이메일이 받은 편지함에 도착하기 전에 차단하고, 아예 받은 편지함으로 배달되지 않도록 합니다. Microsoft Office 365, Gmail 또는 필터링 기능이 내장된 다른 이메일 공급업체를 사용하는 경우 이미 일부 유형의 피싱 공격으로부터 보호받고 있을 것입니다.
피싱 시뮬레이션 수행
피싱 시뮬레이션은 조직의 받은 편지함에서 사기성 메시지를 식별하는 직원의 능력을 테스트합니다. 이러한 테스트에는 은행, 항공사 또는 유틸리티와 같이 알려진 출처에서 실제 이메일을 보내고(때로는 꾸며낸 경우도 있음), 직원들에게 이메일에 이상한 점이 있으면 보고하도록 요청하는 방식이 주로 사용됩니다.
결론
스피어와 피싱에 대한 논쟁은 명확한 승자 없이 영원히 계속될 것입니다. 하지만 양측이 모두 동의할 수 있는 한 가지 사실은 둘 다 나쁘다는 것이며, 피싱을 피하기 위해 최선을 다해야 한다는 것입니다. 그 동안 여러분은 잠재적인 스피어 피싱 시도로부터 자신을 보호할 수 있는 리소스를 확보할 수 있습니다.
피싱과 같은 지능형 이메일 기반 공격으로부터 보호하기 위해 PowerDMARC를 사용하면 DMARC 시행 이메일 전송률에 영향을 주지 않으면서도 전략을 수립할 수 있습니다. 
- 데이터센터 프록시: 프록시 세계의 주력 제품 공개 - 2024년 5월 7일
- 최근 피싱 공격에서 DMARC "없음" 정책을 악용한 킴수키(Kimsuky) - 2024년 5월 6일
- 세금 신고 시즌에 세금 사기 및 IRS 사칭 이메일 공격 증가 - 2024년 5월 2일