이메일 피싱 사기, 수법과 방지 방법 자세히

피싱 사기(Phishing)는 개인정보나 금융정보를 탈취하기 위해 속임수를 사용하는 범죄행위입니다. 피싱 사기 수법에는 여러 가지가 있으며, 다음과 같은 주요 유형들이 있습니다.

 

 

 

1. 이메일 피싱 (Email Phishing)
2. 스피어 피싱 (Spear Phishing)
3. 스미싱 (Smishing)
4. 보이스 피싱 (Vishing)
5. 파밍(Pharming)
6. CEO 사기(CEO Fraud) 또는 비즈니스 이메일 침해(Business Email Compromise, BEC)

 

오늘은 위의 주요 유형들 중 첫 번째인 이메일 피싱에 대해 자세히 알아보겠습니다.

이메일 피싱(Email Phishing)

이메일 피싱(Email Phishing)은 사기꾼이 공식 기관이나 신뢰할 수 있는 단체를 사칭하여 가짜 이메일을 보내고, 이를 통해 개인 정보를 탈취하려는 사기 수법입니다. 

 

(1) 이메일 피싱의 과정

목표설정 > 사칭이메일 작성 > 가짜웹사이트 생성 > 이메일 발송 > 정보수집

목표설정	타겟선정단계 * 개인이나 조직을 대상으로 한다. * 무작위 타겟일 수도 있고 특정 개인이나 조직을 목표로 할  수도 있다.
사칭이메일작성	공식기관 사칭 * 은행, 정부기관, 유명 웹사이트등을 사칭하여 이메일 작성. * 신뢰성 확보를 위해 공식 로고, 서식, 연락처 정보를 사용하여 이메일을 진짜처럼 보이게 만든다.
가짜웹사이트 생성	피싱사이트 * 진짜 웹사이트와 거의 구별할 수 없는 가짜 웹사이트를 만든다. * 웹사이트 주소(URL)를 진짜와 비슷하게 만든다. * 사용자가 로그인 정보를 입력하도록 유도하는 페이지를 만든다.
이메일 발송	대량발송 * 이메일을 대규모로 발송하여 최대한 많은 사람에게 도달한다. * 이를 위해 봇넷이나 이메일 스푸핑 기술을 사용할 수 있다.  * 심리적으로 압박을 가하거나, 긴급한 상황을 강조하여 사용자가 빠르게 반응하도록 유도한다.
정보수집	피싱 웹사이트 방문 유도 * 사용자가 이메일의 링크를 클릭하여 가짜 웹사이트로 이동하게 만든다. * 사용자가 로그인 정보, 신용카드 정보, 개인 식별 정보를 입력하도록 유도한다. * 입력된 정보는 즉시 공격자에게 전달된다.

 

 

 

 

(2)  이메일 피싱의 주요 요소

발신자 주소 위조	유사한 도메인 사용 * 예를 들어, "paypal.com" 대신 "paypa1.com" 같은 유사한 도메인을 사용하여 발신자 주소를 위조한다. * 스푸핑: 발신자 이름을 신뢰할 수 있는 사람이나 기관으로 위조한다.
이메일 본문	긴급한 요청 * 계정이 해킹되었다거나, 중요한 업데이트가 필요하다는 등의 긴급한 메시지를 포함한다.  * 경품, 할인, 환급 등의 혜택을 제공한다고 속인다. * 피싱 웹사이트로 연결되는 링크를 포함시키는데 링크는 정상적인 URL처럼 보이도록 위장된다.
피싱사이트	로그인 유도 *진짜 웹사이트의 로그인 페이지를 복제한다. * 가짜 사이트도 HTTPS를 사용하여 보안된 사이트처럼 보이게 한다. * 사용자가 정보를 입력한 후 진짜 사이트로 리디렉션 시켜 사용자가 사기를 인지하지 못하게 한다.

 

(3) 이메일 피싱 방지 방법

이메일 확인	발신자 주소 확인: 이메일 주소의 도메인이 올바른지 확인한다. 링크 확인: 링크를 클릭하기 전에 마우스를 올려놓고 URL을 확인한다.
보안 소프트웨어 사용	안티바이러스 소프트웨어: 최신 안티바이러스 소프트웨어를 설치하고 정기적으로 업데이트한다. 스팸 필터: 스팸 필터를 활성화하여 의심스러운 이메일을 자동으로 필터링한다.
의심스러운 이메일 조치	직접 방문: 중요한 정보는 직접 웹사이트를 방문하여 확인합니다. 이메일의 링크를 클릭하지 않는다. 기관에 확인: 이메일이 의심스러울 경우, 공식 연락처를 통해 해당 기관에 확인한다.
보안 교육	보안 교육: 정기적으로 피싱 사기와 관련된 교육을 받고 최신 정보를 숙지한다. 의심 습관화: 의심스러운 이메일이나 요청에 대해 항상 신중하게 대응한다.

 

오늘은 이메일 피싱의 과정과, 주요 요소, 방지법에 대해 자세히 알아보았습니다. 피싱 사기는 지속적으로 진화하고 있어, 항상 경계하고 주의하는 것이 중요합니다. 각 개인은 의심스러운 메시지나 요청에 신중하게 대응하고, 정기적으로 보안 교육을 받는 것이 필요합니다.