피싱 (Phishing)

피싱 (Phishing)

신뢰할 수 있는 기관이나 사람으로 위장하여 이메일, SMS, 메신저 등을 통해 사용자를 속여 민감 정보를 탈취하거나 악성코드를 설치하는 사회공학적 공격

특징: 사회공학, 대량 공격, 사용자 취약점 악용

구성요소: 미끼(Lure/긴급성/권위), 위장(스푸핑/도메인 유사), 악성 페이로드(링크/첨부파일)

기술요소: 이메일 스푸핑, 도메인 타이포스쿼팅(typosquatting), 악성 첨부파일(매크로), 가짜 로그인 페이지

유형: 스피어 피싱(특정 대상), 웨일링(경영진), 스미싱(SMS), 비싱(음성/전화), 큐싱(QR 코드)

대응: 이메일 보안(SPF/DKIM/DMARC), 사용자 교육, 피싱 시뮬레이션, 링크/첨부파일 샌드박스, MFA(탈취 피해 최소화)

SPF/DKIM/DMARC: 발신자 인증 프로토콜, 이메일 스푸핑 방지

적용사례: 자격증명 탈취, 악성코드 유포, 금융 사기

비교: 피싱(대량) vs 스피어 피싱(표적) vs 웨일링(고위직)

연관: 사회공학, 이메일 보안, 사용자 교육, MFA