사회공학은 사람과의 상호작용이나 심리 조작을 이용해 조직이나 개인의 정보, 접근 권한 또는 재산을 얻으려는 기법이다. 기술적 취약점을 직접 공격하기보다 도움을 주려는 마음, 신뢰, 두려움, 권위에 대한 존중을 이용해 피해자가 스스로 정보를 공개하거나 행동하게 만든다.[1][2][4]
1. 개요
2. 공격자의 접근 방식과 목표
공격자는 질문을 통해 조직에 관한 정보를 모을 수 있다. 한 사람에게서 충분한 정보를 얻지 못하면 같은 조직의 다른 구성원에게 접근하고, 앞서 얻은 내용을 이용해 자신을 더 믿을 만한 사람처럼 보이게 한다.[1]
수집한 정보와 꾸민 신분을 결합하면 조직의 네트워크나 시스템에 접근할 발판이 될 수 있다. 공격자는 사용자의 행동 동기와 지식 부족을 살펴 정보 공개, 보안 절차 우회, 특정 프로그램 설치 같은 행동을 끌어내려 한다.[1][2][4]
사회공학 공격의 목표에는 비공개 정보나 제한된 시스템에 대한 접근, 재산의 취득이 포함된다. 피해자가 선의로 행동한다고 믿게 만든 뒤 민감 정보를 내놓거나 금융 거래를 하도록 유도하는 방식도 있다.[2][4]
3. 피싱과 문자 메시지 공격
피싱은 믿을 만한 기관을 사칭해 이메일이나 악성 웹사이트로 개인정보를 요구하는 사회공학 기법이다. 예컨대 금융기관을 가장한 메시지가 계정에 문제가 있다고 주장하며 정보를 요청하고, 사용자가 응답하면 공격자가 계정에 접근할 수 있다.[1]
스미싱은 문자 메시지를 이용하는 사회공학 공격이다. 문자에 포함된 링크나 전화번호를 누르면 웹페이지가 열리거나 이메일 작성 화면이 뜨고, 전화가 걸릴 수 있어 사용자를 악성 행위로 이끄는 경로가 된다.[1]
가짜 로그인 팝업, 수상한 URL, 문법과 서식이 어색한 메시지, 요청하지 않은 첨부 파일은 피싱을 의심할 단서가 될 수 있다. 특히 긴급성이나 중요성을 내세워 첨부 파일을 열게 하는 메시지는 악성코드 전달에 쓰일 수 있다.[1][2]
4. 악성코드 유포와 이례적 전달 경로
공격자는 이메일, 메신저, 인터넷 대화방 또는 문자 메시지로 감염된 링크를 보내거나 파일을 첨부할 수 있다. 눈길을 끄는 문구나 흥미로운 제안으로 사용자가 링크를 누르거나 파일을 실행하게 만들며, 일부 악성 링크는 이메일 서버의 백신 필터를 우회해 전달될 수 있다.[3]
2000년 LoveLetter 웜은 첨부된 사랑 편지를 열도록 유도한 뒤 피해자의 주소록에 있는 모든 연락처로 자신을 복사했다. 이 사례는 호기심이나 감정에 호소하는 메시지가 악성코드 확산의 매개가 될 수 있음을 보여 준다.[3]
전달 경로가 온라인에 한정되지는 않는다. 은행을 사칭한 이메일로 고객에게 접속 코드를 적은 양식을 팩스로 보내게 한 사례가 있었고, 일본에서는 트로이 목마 스파이웨어가 담긴 CD를 은행 고객에게 우편 배송한 사례도 보고됐다.[2][3]
5. 조직과 개인을 겨냥한 사기 사례
조직을 겨냥한 공격자는 신입 직원이나 수리 기사처럼 보이며 구성원에게 질문을 건넬 수 있다. 한 사람에게서 얻은 정보가 충분하지 않으면 같은 조직의 다른 사람에게 접근해 앞서 확보한 내용을 신뢰의 근거로 삼기도 한다.[1]
개인을 겨냥한 사례로는 은행 고객에게 접속 코드를 팩스로 보내라고 요구한 사기와, 채용 사이트에서 확보한 이메일 주소로 가짜 구인 제안을 보낸 공격이 있다. 후자의 제안에는 트로이 목마가 포함됐으며, 공격자는 대체 일자리를 찾던 수신자가 감염 사실을 회사에 알리기 꺼릴 수 있다는 점을 이용했다.[2][3]
자연재해, 질병 유행, 경제적 걱정, 주요 선거, 명절 같은 시기에는 해당 이슈를 이용한 피싱이 나타날 수 있다. 이런 메시지는 당시 사람들의 관심이나 우려를 이용해 요청을 그럴듯하게 보이게 한다.[1]