URL 피싱이란 무엇인가요?

URL 피싱은 공격자가 합법적으로 보이는 가짜 웹사이트를 방문하도록 속여 사용자의 민감한 정보를 탈취하는 사이버 공격의 한 유형입니다. 사용자는 URL 피싱 공격으로부터 개인 및 금융 데이터를 보호하기 위해 URL 확인, 의심스러운 링크 피하기, 강력한 보안 조치 실행과 같은 예방 조치를 취해야 합니다.

URL 피싱 정의 

URL 피싱은 의심하지 않는 피해자에게 가짜 웹사이트의 URL이 포함된 악성 이메일을 보내 해당 웹사이트에 방문하도록 유도하는 피싱 공격의 한 형태입니다.

URL 피싱은 은행 계좌 정보 탈취부터 디바이스에 멀웨어 설치까지 다양한 용도로 사용될 수 있습니다.

URL 피싱이 발생하는 가장 일반적인 이유는 사용자를 속여 이메일, 소셜 미디어 계정, 은행 정보 등 모든 계정에 액세스하는 데 사용할 수 있는 로그인 자격 증명을 입력하도록 유도하기 위해서입니다.

관련 읽기: 모든 마케터가 알아야 할 5가지 중요한 피싱 용어

PowerDMARC로 URL 피싱으로부터 보호하세요!

URL 피싱은 어떻게 작동하나요?

URL 피싱은 크게 두 가지 단계로 이루어집니다: 

• 가짜 웹사이트 만들기 
• 사용자를 해당 페이지로 안내하는 링크가 포함된 이메일을 발송합니다.

공격자는 유사한 도메인 이름 또는 URL을 사용하여 합법적인 사이트의 모방 버전을 만듭니다. 

도메인 이름 대신 IP 주소를 사용할 수도 있지만, 전 세계 여러 위치에서 웹사이트를 방문하려는 사람들이 모두 동일한 IP 주소를 통해 연결되지 않기 때문에 문제가 발생할 수 있습니다.

카피캣 사이트를 만든 후에는 피싱 링크가 포함된 피싱 링크 가 포함된 이메일을 보내 해당 사이트로 사용자를 유도합니다. 일반적으로 사람들의 관심을 끌 수 있는 혜택이나 미끼가 첨부되어 있습니다.

URL 피싱의 일반적인 유형은 무엇인가요?

다음은 일반적인 URL 피싱의 몇 가지 유형입니다:

도메인 스푸핑

공격자는 합법적인 도메인을 모방하여 URL에 유사한 문자나 잘못된 철자를 사용하여 사용자가 신뢰할 수 있는 웹사이트에 있다고 믿도록 속입니다.

호모그래프 공격

피셔는 다양한 문자 집합(예: 라틴어 및 키릴 문자)의 문자를 사용하여 시각적으로 합법적인 URL과 동일하게 보이는 URL을 생성하여 사용자가 자신도 모르게 사기성 웹사이트로 방문하도록 유도합니다.

URL 단축

사이버 범죄자는 URL 단축 서비스를 악용하여 악성 URL을 숨기고 무해한 것처럼 보이게 하며, 종종 사회 공학 기술을 사용하여 사용자가 클릭하도록 유도합니다.

하위 도메인 하이재킹

공격자는 합법적인 웹사이트의 하위 도메인을 제어하여 합법적인 것처럼 보이지만 악성 콘텐츠 또는 피싱 페이지로 연결되는 사기성 URL을 만들 수 있습니다.

오타 스쿼팅

피셔는 인기 있는 웹사이트와 유사한 도메인 이름을 등록하여 사용자가 URL을 잘못 입력하는 것을 이용해 사기성 웹사이트로 리디렉션하여 민감한 정보를 탈취합니다.

리디렉션 및 URL 난독화

사이버 범죄자는 자바스크립트 리디렉션 또는 URL 난독화와 같은 기술을 사용하여 링크의 실제 목적지를 숨기고 정상적으로 보이게 하면서 사용자를 악성 웹사이트로 리디렉션합니다.

중간자 공격

공격자는 사용자와 합법적인 웹사이트 간의 통신을 가로채서 사용자 모르게 URL을 수정하거나 민감한 정보를 캡처할 수 있습니다.

사회 공학

피싱 공격자가 사용하는 URL 사회 공학 기술을 사용하여 신뢰할 수 있는 기관으로 위장한 사기성 이메일을 보내 사용자가 가짜 웹사이트에 로그인 자격 증명이나 개인 정보를 입력하도록 유도하는 사기성 URL을 포함합니다.

크로스 사이트 스크립팅(XSS)

공격자는 합법적인 웹사이트에 악성 스크립트를 삽입하여 URL을 조작하여 사용자를 피싱 페이지로 리디렉션하거나 데이터를 탈취할 수 있습니다.

데이터 URL 피싱이란 무엇인가요?

데이터 URL 피싱은 악의적인 공격자가 데이터 URL을 사용하여 사용자를 속이고 민감한 정보를 탈취하는 피싱 공격의 한 유형을 말합니다. 데이터 URL은 웹 페이지나 기타 문서 내에 데이터를 삽입할 수 있는 URI 체계입니다. "data:" 접두사로 시작하고 그 뒤에 인코딩된 데이터가 있습니다.

데이터 URL 피싱 공격에서 공격자는 데이터 URL이 포함된 악성 이메일, 메시지 또는 웹페이지를 제작합니다. 이 데이터 URL은 일반적으로 합법적인 링크 또는 첨부 파일로 표시되어 사용자가 클릭하도록 유도합니다. 사용자가 데이터 URL과 상호 작용하면 스크립트 실행을 트리거하거나 다운로드를 시작하여 다양한 악성 활동을 유발할 수 있습니다.

데이터 URL 피싱의 영향은 무엇인가요?

데이터 URL 피싱은 자격 증명 도용, 멀웨어 전달, 기타 취약점 악용 등으로 이어질 수 있습니다. 데이터 URL 피싱 공격으로부터 자신을 보호하려면 특히 익숙하지 않거나 의심스러운 출처에서 온 링크를 클릭하거나 첨부파일을 다운로드할 때 주의를 기울여야 합니다. 

URL 피싱의 예

다음은 피싱 공격에 사용될 수 있는 URL의 몇 가지 예시입니다. 이러한 예는 피싱 공격자가 합법적인 웹사이트와 매우 유사하지만 약간의 변형이나 철자가 틀린 URL을 만드는 방법을 보여줍니다. 잠재적인 피싱 시도를 탐지하려면 도메인 이름과 URL의 기타 구성 요소를 주의 깊게 살펴보는 것이 중요합니다.

예시 1:

• 정상적인 URL: www.paypal.com
• 피싱 URL: www.paypa1.com

예 2:

• 정상적인 URL: www.facebook.com
• 피싱 URL: www.faceb00k-login.com

예 3:

• 정상적인 URL: www.apple.com
• 피싱 URL: www.apple-support-security-alert.com

예 4:

• 정상적인 URL: www.bankofamerica.com
• 피싱 URL: www.bankofamerica-login.com

예 5:

• 정상적인 URL: www.google.com
• 피싱 URL: www.g00gle-login-attempt.com

피싱 URL을 식별하고 탐지하는 방법은 무엇인가요?

다음은 피싱 URL을 식별하고 탐지하는 데 도움이 되는 몇 가지 간단한 팁입니다:

• 철자 오류나 변형이 있는지 확인하세요: 합법적인 웹사이트를 모방한 URL에서 미묘한 철자 오류나 변형을 찾아보세요. 피싱 URL은 종종 비슷해 보이는 문자나 다른 단어를 사용합니다.
• 도메인을 확인합니다: URL의 도메인 이름을 주의 깊게 살펴보세요. 피싱 URL은 잘 알려진 브랜드나 기관과 비슷하지만 약간 다른 도메인을 사용할 수 있습니다.
• HTTPS와 자물쇠 기호를 찾습니다: 합법적인 웹사이트는 일반적으로 HTTPS 암호화를 사용합니다. 주소창에 보안 연결을 나타내는 자물쇠 기호가 있는지 확인하세요. 웹사이트에 HTTPS가 없는 경우 주의하세요.
• 링크 위로 마우스를 가져갑니다: 클릭하지 않고 링크 위에 마우스 포인터를 올려놓으면 URL을 확인할 수 있습니다. 표시된 텍스트 또는 이미지와 일치하는지 확인하고 의심스러운 긴 URL은 주의하세요.
• URL 단축기를 주의하세요: 피싱 공격자는 종종 URL 단축 서비스를 사용하여 실제 목적지를 숨깁니다. 단축 URL을 받은 경우 클릭하기 전에 URL 확장 서비스를 사용하여 전체 URL을 확인하세요.
• 낯설거나 의심스러운 이메일은 피하세요: 모르는 발신자가 보낸 이메일이나 예상치 못한 요청이 포함된 이메일은 주의하세요. 이메일 헤더에 불일치하거나 피싱의 징후가 있는지 확인하세요.
• 이메일 링크를 따로 확인하세요: 이메일에 포함된 링크를 클릭하지 말고 브라우저에 웹사이트 주소를 직접 입력하세요. 이렇게 하면 피싱 페이지가 아닌 진짜 웹사이트를 방문할 수 있습니다.
• 긴급하거나 경각심을 불러일으키는 메시지는 의심하세요: 피싱 이메일은 종종 긴급한 상황이나 공포감을 조성하여 즉각적인 조치를 취하도록 유도합니다. 링크를 클릭하거나 개인 정보를 제공하기 전에 한 번 더 생각하세요.
• 피싱 탐지 도구를 사용합니다: 잠재적인 피싱 URL을 탐지하고 경고할 수 있는 브라우저 확장 프로그램 또는 온라인 도구를 설치하세요. 이러한 도구는 URL을 실시간으로 분석하여 추가적인 보호 기능을 제공합니다.
• 정보를 얻고 스스로 교육하세요: 최신 피싱 기법 및 사기에 대한 최신 정보를 확인하세요. 일반적인 피싱 지표에 대한 정보를 파악하고 피싱 URL을 식별하고 탐지하는 방법을 정기적으로 교육하세요. 링크 구축 기회를 탐색하는 경우 클릭하기 전에 URL과 발신자 정보를 다시 한 번 확인하여 웹사이트의 합법성을 확인하세요.

URL 피싱 공격의 영향은 무엇인가요?

URL 피싱은 금전적 손실, 평판 손상, 신원 도용, 계정 및 정보에 대한 무단 액세스, 데이터 유출 및 법적 처벌을 초래할 수 있습니다. 

피싱 공격 이 광범위하게해커들이 전 세계 모든 산업과 국가의 기업을 표적으로 삼고 있습니다.

금전적 손실 및 사기 거래

피싱 이메일이나 웹사이트는 사용자를 속여 비밀번호, 신용카드 정보 및 기타 민감한 정보를 공유하도록 유도할 수 있습니다.

이 정보를 제공하면 사이버 범죄자가 이 정보를 사용하여 내 명의로 사기성 구매를 할 수 있습니다. 또한 신원 도용이나 금융 사기를 저지르는 데 사용할 수도 있습니다.

신원 도용 및 개인 데이터 유출

피싱 이메일이나 웹사이트에 응답하여 개인 정보를 제공하면 사이버 범죄자가 이를 사용하여 신원을 도용할 수 있습니다. 이들은 사용자 명의로 새 계좌를 개설하거나 사용자 정보를 사용하여 대출 또는 신용 카드를 신청할 수 있습니다.

그 결과는 심각할 수 있습니다. 신용 등급이 손상되고, 큰 불편을 겪을 수 있으며, 범죄자가 나중에 갚아야 하는 구매로 새 계정의 한도를 초과하는 경우 금전적인 손실까지 발생할 수 있습니다.

무단 계정 액세스 및 자격 증명 도용

피싱 공격으로 인해 사용자가 피셔가 보낸 공식적인 이메일 메시지 내의 악성 링크를 클릭하고 자격 증명을 제공함으로써 계정에 무단 액세스 권한이 부여될 수도 있습니다.

멀웨어 감염 및 시스템 손상

가장 일반적인 URL 피싱 공격 중 하나는 사용자를 악성 웹사이트로 안내하는 '악성 하이퍼링크'입니다. 이러한 악성 웹사이트는 사용자가 개인 정보를 입력하도록 속이기 위해 합법적인 사이트처럼 보이도록 설계되는 경우가 많습니다. 그런 다음 공격자는 이 정보를 사용하여 신원 도용 또는 사기를 저지릅니다.

개인 및 조직에 대한 평판 손상

URL 피싱 공격은 합법적인 회사나 개인이 보낸 것처럼 보이는 스팸 이메일을 발송하는 경우가 많기 때문에 조직의 평판을 손상시킬 수 있습니다. 이러한 이메일에는 일반적으로 온라인에 유출될 경우 조직을 위험에 빠뜨릴 수 있는 민감한 정보가 포함되어 있습니다. 이러한 사기성 이메일에 기업의 이름이 사용되면 고객이 해당 기업의 제품이나 서비스에 대한 신뢰를 잃을 수 있습니다.

피싱 URL은 어떻게 확인하나요?

피싱 URL을 확인하는 방법에 대한 모든 것을 확인하세요:

• 온라인 URL 분석 도구를 사용하여 URL의 평판을 확인하세요.
• 잠재적으로 악성일 수 있는 URL에 대해 경고하는 브라우저 확장 프로그램을 설치하세요.
• URL 확장기를 사용하면 단축 링크 뒤에 전체 URL을 표시할 수 있습니다.
• WHOIS 조회를 수행하여 도메인 소유자 및 등록 세부 정보에 대한 정보를 수집합니다.
• 신고된 피싱 URL은 피싱탱크(PhishTank) 또는 피싱 방지 워킹 그룹(APWG)과 같은 피싱 데이터베이스를 참조하세요.
• 브라우저의 주소 표시줄에서 HTTPS 암호화를 확인하고 도메인 이름이 합법적인 웹사이트와 일치하는지 확인하세요.
• 온라인 보안 커뮤니티와 포럼에 참여하여 피싱 시도에 대한 인사이트와 경고를 수집하세요.
• 의심스러운 전자 메일의 URL을 평가하기 위해 Office 365용 Microsoft Defender 또는 Gmail의 피싱 탐지 같은 전자 메일 분석 도구를 활용하세요.
• 최신 피싱 기법 및 지표에 대한 보안 인식 교육을 통해 최신 정보를 확인하세요.
• 본능을 믿고 의심스러운 URL을 발견하거나 너무 좋은 제안을 받았을 때는 주의하세요.

URL 피싱 공격을 어떻게 방지하나요? 

URL 피싱으로부터 자신을 보호하려면 사전 예방 조치를 취하고 모범 사례를 따라야 합니다. 

다음은 URL 피싱에 당하지 않기 위한 몇 가지 필수 팁입니다:

1. 발신자 정보를 확인합니다: 발신자의 이메일 주소나 연락처 정보를 항상 다시 한 번 확인하여 적법한지 확인하세요.
2. 문법과 철자 오류를 확인하세요: 피싱 이메일에는 눈에 띄는 오류가 있는 경우가 많으므로 잘못 작성된 메시지에 주의를 기울이고 회의적인 태도를 취하세요.
3. 링크 위에 커서를 올려 URL을 확인합니다: 이메일이나 메시지의 링크를 클릭하기 전에 커서를 링크 위에 올려 URL이 예상 목적지와 일치하는지 확인합니다.
4. 강력하고 고유한 비밀번호를 사용하세요: 온라인 계정에 강력하고 복잡한 비밀번호를 만들고, 여러 플랫폼에서 비밀번호를 재사용하지 마세요.
5. 다단계 인증을 사용 설정합니다: 계정에 보안 계층을 추가하려면 가능하면 다중 인증을 구현하세요.
6. 소프트웨어 및 보안 조치를 최신 상태로 유지하세요: 운영 체제, 바이러스 백신 소프트웨어, 웹 브라우저를 정기적으로 업데이트하여 최신 보안 패치를 적용하고 피싱 시도로부터 보호하세요.
7. 직감을 믿으세요: 의심스럽거나 사실이 아닌 것 같으면 직감을 믿고 민감한 정보를 제공하기 전에 주의를 기울이세요.

온라인 위협으로부터 도메인 보호하기

오늘날 브랜드가 직면한 중대한 위협 중 하나는 이메일 스푸핑입니다. 공격자는 종종 이메일의 '발신자' 주소를 위조하여 신뢰할 수 있는 출처에서 보낸 것처럼 보이게 함으로써 합법적인 조직을 사칭합니다. 이는 피싱 시도를 비롯한 다양한 악성 활동으로 이어질 수 있습니다. PowerDMARC의 DMARC 분석기 는 이러한 공격에 대한 강력한 보호 기능을 제공합니다.

PowerDMARC에서 제공하는 DMARC 분석기는 조직이 다음과 같은 정책을 설정하고 시행하는 데 도움이 됩니다. DMARC 정책을 효과적으로 설정하고 시행할 수 있습니다. 이를 통해 브랜드는 이메일 수신자가 DMARC 인증에 실패한 메시지를 격리 또는 거부하는 등 어떻게 처리해야 하는지 지정할 수 있습니다. 브랜드는 DMARC 정책을 배포함으로써 스푸핑된 이메일이 고객의 받은 편지함에 도달하는 것을 효과적으로 방지하여 이메일 기반 공격의 위험을 완화할 수 있습니다.

피싱 URL은 어떻게 신고하나요?

피싱 URL을 발견하면 Google 크롬에 내장된 신고 기능을 사용하여 신고하세요. URL과 브라우저 버전 등 가능한 한 많은 정보를 포함하세요.

피싱 URL을 신고하려면 다음 단계를 따르세요:

• 피싱 URL을 마우스 오른쪽 버튼으로 클릭하고 이 링크의 주소 복사를 선택합니다.
• 로 이동하여 로 이동하여 복사한 URL을 붙여넣습니다.
• 이 링크 신고를 클릭합니다.

일반적인 URL 피싱 기법에 대한 정보를 숙지하면 사용자가 잠재적인 공격을 인식하고 차단할 수 있습니다. 금전적 손실과 신원 도용부터 평판 손상과 법적 처벌에 이르기까지 다양한 잠재적 결과를 초래할 수 있으므로, 만연한 URL 피싱의 위협으로부터 보호하려면 사전 예방 조치와 경계가 중요합니다.

• 정보
• 최신 게시물

아호나 루드라

도메인 및 이메일 보안 전문가 PowerDMARC

Ahona는 도메인 및 이메일 보안을 전문으로 5년 이상 사이버 보안 주제에 대해 글을 써온 경력이 있는 PowerDMARC의 마케팅 매니저입니다. Ahona는 저널리즘 및 커뮤니케이션 학위를 취득한 후 2019년부터 보안 분야에서 경력을 쌓았습니다.

아호나 루드라의 최신 포스트 (전체 보기)

• QR 피싱이란 무엇인가요? QR 코드 사기를 탐지하고 예방하는 방법 - 2025년 4월 15일
• nslookup, dig 또는 PowerShell을 사용하여 SPF 레코드를 확인하는 방법은 무엇인가요? - 2025년 4월 3일
• Outlook에서 DMARC 적용: Microsoft의 새로운 발신자 요구 사항 설명! - 2025년 4월 3일