구실은 사이버 보안에서 사용되는 사회 공학 기법으로, 개인을 속여 민감한 정보를 유출하거나 평소에는 하지 않을 행동을 하도록 유도하는 것입니다. 공격자는 일반적으로 피해자의 신뢰를 얻고 원하는 조치를 취하도록 설득하기 위해 거짓 구실 또는 조작된 이야기를 만듭니다.
사칭 공격은 신뢰할 수 있는 기관 관계자(예: 은행 담당자), 기술 지원 담당자 또는 주문을 완료하기 위해 민감한 정보가 필요한 공급업체로 사칭하는 등 다양한 형태로 이루어질 수 있습니다. 공격자는 긴급한 척하거나, 중요하다는 느낌을 주거나, 피해자가 알고 있거나 신뢰하는 사람을 사칭하는 등 피해자를 설득하기 위해 다양한 전술을 사용할 수 있습니다.
일단 피해자를 설득하면 비밀번호나 계좌 번호와 같은 민감한 정보를 공개하거나 컴퓨터에 멀웨어를 다운로드하여 설치하거나 악성 이메일 첨부 파일을 열거나 피싱 웹사이트를 방문하는 등의 행동을 취할 수 있습니다.
매년 7,100만 명 이상의 사람들이 사이버 범죄의 희생양이 되고 있습니다.비교 기술.
프리핑 공격은 소프트웨어나 하드웨어의 기술적 취약점보다는 신뢰나 사회적 규범과 같은 인적 취약점을 악용하는 경우가 많기 때문에 탐지하기 어려울 수 있습니다. 따라서 개인과 조직은 민감한 정보를 공유하거나 예기치 않은 요청이나 비정상적인 상황에 대응하여 작업을 수행할 때 경계와 주의를 기울이는 것이 중요합니다.
사이버 보안에서의 구실 찾기 - 정의 및 개요
프리싱킹은 다른 사람의 개인정보에 접근하기 위해 구실을 사용하는 사기의 한 유형입니다. 사칭은 사칭, 신원 도용 또는 신원 사기로도 불릴 수 있습니다.
공격자는 구실 찾기를 사용합니다, 사회 공학을 사용하여 사용자가 자신들을 믿을 만한 정당한 이유가 있다고 설득하여 원하는 것을 얻으려고 합니다.
사칭을 일삼는 범죄자들은 사칭이나 피싱과 같은 다양한 형태의 사회공학적 수법과 그럴듯하게 들리는 구실 또는 지어낸 이야기를 결합하여 범죄를 저지르기도 합니다.
사칭은 공격자가 민감한 정보에 대한 액세스 권한을 획득하거나 사용자가 돈을 제공하도록 유도하기 위해 사용하는 전술입니다. 문자 메시지, 이메일, 전화 통화, 대면 회의를 포함하되 이에 국한되지 않는 모든 전자적 또는 구두 커뮤니케이션이 구실 삼기에 사용될 수 있습니다.
사칭 공격자는 신뢰할 수 있는 사람이 보낸 메시지라고 생각할 수 있도록 설득력 있는 스토리를 만들어야 합니다.
위장 공격 기법
해커가 사용자의 금융 정보나 개인 정보를 탈취할 때 흔히 사용하는 수법이 바로 프리싱킹입니다. 해커들은 다음과 같은 수법을 사용합니다:
피싱 공격
피싱은 이메일을 이용해 피해자가 비밀번호나 신용카드 정보 등의 개인 정보를 공개하도록 유도하는 사기 수법입니다. 피싱 이메일은 은행이나 온라인 상점과 같은 합법적인 회사에서 보낸 것처럼 보이도록 설계되었습니다. 피해자가 이메일에 포함된 링크를 클릭하도록 유도하여 사기꾼이 설정한 가짜 웹사이트로 이동시키는 것이 목표입니다.
관련 읽기 피싱 대 스팸
테일게이팅
테일게이팅 은 공격자가 다른 사람의 자격 증명을 사용하여 건물이나 시설에 무단으로 액세스하는 소셜 엔지니어링 공격입니다. 이를 위해 공격자는 합법적인 액세스 권한을 가진 사람의 뒤를 바짝 뒤쫓은 다음 그 사람의 신분증을 사용하여 같은 출입문을 통해 들어갑니다.
피기백
피기백 은 권한이 없는 사람이 권한이 있는 다른 사람(또는 차량)의 위에 올라타 보안 시설에 접근하는 사회공학적 공격입니다. 피기백은 개인의 동의 여부와 관계없이 수행될 수 있습니다. 예를 들어, 공격자는 다른 사람의 차량 위에 올라타서 마치 자신이 출입 권한이 있는 것처럼 보안 시설에 들어갈 수 있습니다.
스케어웨어
스케어웨어는 컴퓨터가 바이러스나 스파이웨어에 감염되었다는 거짓 메시지와 경고를 표시하여 사용자를 속이는 악성 소프트웨어(멀웨어)입니다. 이러한 메시지는 사용자가 시스템에 다시 액세스하기 전에 바이러스 백신 소프트웨어를 구입하거나 지원 서비스 비용을 지불하도록 요구하는 경우가 많습니다.
사칭
사칭이란 누군가가 기밀 정보에 액세스하거나 다른 사람의 신뢰를 얻기 위해 다른 사람인 척하는 것을 말합니다. 사칭범은 소셜 미디어 사이트에 가짜 프로필을 만들거나 이메일을 스푸핑하는 등의 사회 공학적 수법을 사용하여 민감한 정보에 액세스할 수 있습니다.
미끼
이 기법은 사람이나 조직에 대한 정보를 사용하여 이메일이나 전화 통화를 통해 민감한 데이터를 얻는 것으로, 예를 들어 회사 임원으로 가장하여 상사를 도와 중요한 일을 하고 있다고 생각하지만 자신의 데이터가 노출되고 있다는 사실을 모르는 직원에게 개인 정보를 요청하는 방식입니다.
피싱 및 스미싱
비싱(보이스 피싱)과 스미싱(SMS 피싱)은 대상에게 전화를 걸거나 문자 메시지를 보내는 것을 가장하는 또 다른 형태의 피싱입니다. 비싱은 발신자가 전 세계 다른 곳에 있을 때 합법적인 기업에서 전화한 것처럼 보이게 하기 위해 인터넷 전화 프로토콜(VOIP) 기술을 사용합니다.
스미싱에서는 휴대폰으로 전송되는 단문 메시지 서비스(SMS) 메시지를 통해 텍스트 콘텐츠가 스팸으로 전송됩니다. 이러한 메시지에는 피해자의 컴퓨터에 멀웨어를 설치하는 데 사용할 수 있는 악성 웹사이트 링크나 첨부 파일이 포함되어 있는 경우가 많습니다.
관련 읽기: 소셜 엔지니어링의 유형
구실 공격으로부터 조직을 보호하세요.
조직이 사칭 공격의 표적이 되었다고 의심되는 경우, 자신을 보호하기 위해 취할 수 있는 몇 가지 조치는 다음과 같습니다:
DMARC 사용
사칭에는 종종 사칭이 포함됩니다. 따라서 합법적으로 보이는 가짜 이메일이 필수적입니다. 따라서 스푸핑은 전자 메일을 통한 커뮤니케이션에 필수적인 도구입니다. 이메일 스푸핑에 대한 가장 널리 사용되는 방어 방법입니다, 도메인 기반 메시지 인증, 보고 및 준수(DMARC)은 지속적이고 복잡한 유지 관리가 필요하기 때문에 제한적입니다.
또한 DMARC는 정확한 도메인 스푸핑을 방지하지만 스피어 피싱 공격에서 훨씬 더 많이 사용되는 이름 스푸핑이나 사촌 도메인을 사용한 스푸핑은 표시하지 않습니다. DMARC가 매우 효과적으로 작동하기 때문에 공격자들은 더 진보된 방법을 사용하기 시작했습니다.
스스로 교육하기
많은 사람들이 사칭이 어떻게 작동하는지 이해하지 못하기 때문에 너무 늦은 후에야 자신의 조직이 표적이 되었다는 사실을 깨닫게 될 수 있습니다. 자신과 직원을 교육하여 프롬프트가 어떤 형태로 나타나는지, 프롬프트가 의심되는 경우 어떻게 대응해야 하는지 알 수 있도록 하세요.
항상 신분증 확인
누군가 사무실로 찾아와 직원에 대한 정보를 요청하는 경우, 정보를 제공하기 전에 항상 신분증을 보여 달라고 요청하세요. 다른 사람에게 정보를 요청하는 사람의 신원을 확인하게 하세요.
구실을 주의 깊게 살펴보기
어떤 요청이나 지시에 따라 행동하기 전에 그것이 합당한지 생각해 보세요. 예를 들어, 누군가 이메일이나 문자를 통해 민감한 데이터를 보내달라고 요청하는 경우, 이는 사용자의 정보를 훔치기 위한 계략일 수 있으므로 주의해야 합니다. 상사가 할 법한 일처럼 보인다고 해서 요청하는 일이 합법적이거나 안전하다고 무조건 믿어서는 안 됩니다. 대신 민감한 데이터나 돈이 관련된 작업을 완료하기 전에 상사에게 직접 확인하세요.
악성 활동에 대한 환경 모니터링
네트워크의 모든 활동을 모니터링하고 의심스러운 활동이 발생하면 알려주는 보안 소프트웨어를 사용하세요. 실시간으로 활동을 모니터링하여 공격이 시작될 경우 대응할 시간을 확보하세요.
마지막 말
구실은 필요할 때 사용할 수 있는 훌륭한 전략이지만, 조심하지 않으면 역효과를 낼 수도 있습니다. 일단 시작한 일은 끝까지 완수할 계획을 세우고, 다른 사람들이 그렇지 않다는 것을 증명할 때까지 의심의 여지가 없도록 하세요.
- 데이터센터 프록시: 프록시 세계의 주력 제품 공개 - 2024년 5월 7일
- 최근 피싱 공격에서 DMARC "없음" 정책을 악용한 킴수키(Kimsuky) - 2024년 5월 6일
- 세금 신고 시즌에 세금 사기 및 IRS 사칭 이메일 공격 증가 - 2024년 5월 2일