사람을 낚는 ‘피싱·스미싱·보이스피싱’ [보안TMI] 작성일 02-08 44 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="bhEYABMVJM"> <div contents-hash="67cce38633d09b113473755fa8fc07c4eed840f27c4d2b3e2cd1775d14cb0f7e" dmcf-pid="KlDGcbRfnx" dmcf-ptype="general"> IT조선은 독자들이 이해하기 어려웠던 보안 용어와 개념을 보다 쉽게 풀어 설명하는 '보안TMI(Too Much Information)' 코너를 새롭게 마련했습니다. 매주 주제를 선정해 개념은 물론 기사에 담지 못했던 배경과 맥락까지 짚어드립니다. 독자들이 보안 관련 뉴스를 보다 명확하게 이해할 수 있도록 돕겠습니다. [편집자 주] </div> <figure class="figure_frm origin_fig" contents-hash="1f9d308c6f1de16498c357bf7fa0bcd2e7dedae2ad64d627b8fb31ef93ce349b" data-idxno="436402" data-type="photo" dmcf-pid="9SwHkKe4dQ" dmcf-ptype="figure"> <p class="link_figure"><img alt=". / 챗 GPT 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/08/552810-SDi8XcZ/20260208060011693utcp.jpg" data-org-width="600" dmcf-mid="BzItm4LxnR" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/08/552810-SDi8XcZ/20260208060011693utcp.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> . / 챗 GPT 생성 </figcaption> </figure> <p contents-hash="328ed4dc657d81da3b320d1f210032a1f7921550cd983ea2cc83c6c9728af31b" dmcf-pid="2vrXE9d8MP" dmcf-ptype="general">피싱·스미싱·보이스피싱은 우리가 일상에서 자주 접하는 사이버 보안 관련 용어이자 범죄 유형이다. 이메일, 문자, 전화 등 접근 수단은 다르지만, 개인의 정보나 금전을 노린다는 점에서 같은 계열의 공격으로 묶인다. 최근에는 수법이 점점 정교해지면서 개인은 물론 기업에서도 피해 사례가 이어지고 있다.</p> <p contents-hash="75eaadb960368b43ee2cdc60fb3346adb9a2c930058575ba25236b45a852f2fc" dmcf-pid="VTmZD2J6i6" dmcf-ptype="general">피싱(phishing)은 '낚시(fishing)'에서 나온 말임을 직관적으로 알 수 있다. 불특정 다수에게 미끼를 던져 누군가가 걸리기를 기다린다는 의미다. 철자에 'ph'를 쓴 이유에 대해서는 '프라이빗 데이터(private data)'와의 합성어라는 등 여러 설명이 있지만, 초기 해커 문화에서 쓰이던 '프리킹(phreaking·전화망 해킹)'의 영향이라는 해석이 가장 널리 알려져 있다. 이 개념이 문자 메시지로 옮겨가며 'SMS(Short Message Service)'와 'phishing'을 합친 '스미싱(smishing)'이 됐고, 음성 통화를 이용하면 '보이스피싱(voice phishing)'이라는 이름이 붙었다. 표현은 달라졌지만 사람을 속여 정보를 얻는다는 구조는 동일하다.</p> <p contents-hash="f6f60c82b7739dcd4c4d91b46180fc35aaa9563d3d8edda148953eb1f07250b3" dmcf-pid="fK06tAlwL8" dmcf-ptype="general">피싱은 주로 이메일이나 메신저를 통해 이뤄진다. 금융기관, 공공기관, 포털 서비스, 회사 내부 부서를 사칭해 로그인이나 인증을 요구하는 방식이 대표적이다. 메일에 포함된 링크를 누르면 실제 서비스와 거의 구분이 어려운 가짜 사이트로 연결되고, 이 과정에서 계정 정보나 비밀번호가 탈취된다. 기업 임직원을 노린 피싱 메일의 경우 거래처나 임원을 사칭해 "급한 결재가 필요하다"거나 "송금을 처리해 달라"는 내용을 보내고 여기에 속은 직원들의 파일 다운로드나 링크 클릭이 내부 사고로 이어지는 사례도 적지 않다.</p> <p contents-hash="704855fadd9c5589057b3bf678ca1c2157ad4c435b7d1f0fc1b56bea8155e383" dmcf-pid="49pPFcSrJ4" dmcf-ptype="general">스미싱은 같은 공격을 문자 메시지로 옮겨놓은 형태다. 택배 배송 오류, 요금 미납, 모바일 청첩장 등 일상적인 소재가 자주 활용된다. 메시지에 포함된 링크를 누르면 앱 설치 화면이나 개인정보 입력 페이지가 열린다. 물론 설치되는 것은 교묘하게 위장된 악성 앱이고, 입력한 아이디와 비밀번호, 개인정보는 해커에게 전송돼 악용된다.</p> <p contents-hash="f9b348cca38fa9a7a7080453bc2fe9403e75576829d4a407daf64cf3754bb7fe" dmcf-pid="82UQ3kvmnf" dmcf-ptype="general">URL 주소가 위험한지 아닌지를 사용자가 판단하지 못하는 경우도 많다. 대체로 확인을 소홀히 하기도 하고, 때때로 스마트폰에서 URL 전체를 확인하기 어려운 경우도 있다. 이동 중이나 바쁜 상황에서 메시지를 처리할 경우 무심코 클릭하기 쉽다는 점도 공격에 이용된다.</p> <p contents-hash="ff62115f86f911459b270c3d1fc5d39745f058af768a10afd21de08b03795f31" dmcf-pid="6Vux0ETsiV" dmcf-ptype="general">안랩 조사에 따르면 2025년 4분기(10~12월) '안랩 AI 플러스(AhnLab AI PLUS)'로 다양한 피싱 문자(스미싱)를 탐지·분석한 결과, 금융기관 사칭이 전체의 46.93%로 최다 공격 유형을 차지했다. 이어 ▲정부·공공기관 사칭(16.93%) ▲구인 사기(14.40%) ▲텔레그램 사칭(9.82%) ▲대출 사기(5.87%) ▲택배사 사칭(3.32%) ▲부고 위장(1.47%) ▲공모주 청약 위장(0.70%) ▲청첩장 위장(0.39%) ▲가족 사칭(0.17%) 순서로 집계됐다.</p> <p contents-hash="8a6495118d9dcdaf3d777e1acbe31f8568046d26675ae01546cc9e71c3a2b69d" dmcf-pid="Pf7MpDyOL2" dmcf-ptype="general">음성 통화를 이용한 사기인 보이스피싱은 좀 더 대담한 방법이다. 금융회사나 수사기관을 사칭해 불안을 조성하고, 송금이나 현금 인출을 유도하는 방식이 전형적이다. 최근에는 인공지능(AI) 기반 음성 합성, 이른바 딥페이크(Deep Fake) 기술이 결합되는 사례도 등장하고 있다. 짧은 음성 샘플만으로 특정 인물의 목소리를 흉내 내 전화할 수 있다. 아직은 일부 사례에 국한돼 있지만, 보이스피싱의 신뢰도를 한층 높일 수 있어 심각한 문제로 지적된다.</p> <p contents-hash="90bc77e69f60fbaa9168e75c41d264c4e1b9e654da3dc0976dd758db3e597340" dmcf-pid="Q4zRUwWIn9" dmcf-ptype="general">이들 공격의 공통점은 시스템의 취약점보다 사용자의 판단을 노린다는 점이다. 사용자가 직접 링크를 누르거나 정보를 전달하도록 유도하는 구조이기 때문에 보안 솔루션만으로는 완전히 막기 어렵다. 이 때문에 보안 업계에서는 피싱·스미싱·보이스피싱을 대표적인 사회공학적 공격으로 분류한다.</p> <p contents-hash="d27dac73ebb9d7f5c74f8eddda9510f735dcdeeb4bb4bacfb2e53dcee91c5ee3" dmcf-pid="x8qeurYCiK" dmcf-ptype="general">대응 방법은 역시 기본에서 출발한다. 출처가 불분명한 링크는 클릭하지 않고, 금융기관이나 공공기관은 전화나 문자로 개인정보를 요구하지 않는다는 점을 인지하는 것이다. 의심스러운 연락을 받았을 경우에는 안내된 번호가 아닌 공식 대표번호로 다시 확인하는 철저함도 필요하다.</p> <p contents-hash="9a1d3b6780010710c28b380e00297533d579ccff5c29e85b057b4a3a6959c71f" dmcf-pid="ylDGcbRfnb" dmcf-ptype="general">피싱·스미싱·보이스피싱은 이름과 전달 수단만 달라졌을 뿐, 오래전부터 반복돼 온 방식이다. 이메일에서 문자, 전화로 확장됐고 이제는 AI 기술까지 거론되기 시작했지만, 공격의 핵심은 변하지 않았다. 결국 이 범죄는 지금도, 그리고 앞으로도 사람의 판단을 겨냥한다는 점을 기억해야 한다.</p> <p contents-hash="d246f32c6a7bab4b649da932a884563e06bc227e699539c124e9669f432ed66f" dmcf-pid="WSwHkKe4MB" dmcf-ptype="general">안랩 관계자는 "피싱 문자 공격은 꾸준히 진화하고 있지만 금전·구직 등 관심도가 높은 이슈나 사용자의 일상과 밀접한 계절적 소재를 활용하기 때문에 작년과 유사한 패턴이 올해에도 이어질 수 있다"며 "설 연휴를 앞둔 만큼 가족과 지인에게 대표적인 피싱 수법을 미리 공유하며 경각심을 높인다면 피해를 충분히 예방할 수 있을 것"이라고 전했다.</p> <p contents-hash="03b751f4741d34336cca6f3a06c629fd19079623a361ee545d1d38f9d3b43b8a" dmcf-pid="YvrXE9d8Mq" dmcf-ptype="general">정종길 기자<br>jk2@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 삼성·LG AI 가전 수요, 모듈러 주택 타고 커진다 02-08 다음 “메모리만 오르는 게 아니다”… AI 특수에 MLCC 가격도 급등 02-08 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
