피싱과 사회공학은 어떻게 다릅니까?
사회공학은 사람을 조종해 정보, 돈 또는 접근 권한을 넘겨받으려는 모든 시도를 말합니다. 가장 흔한 형태는 이메일이나 가짜 웹사이트를 통한 피싱입니다. CISA는 음성을 이용하는 비싱과 문자 메시지를 이용하는 스미싱도 명시합니다.
직원이 30명인 가상의 건축 설계 회사 캘러웨이 파트너스를 가정합니다. 어느 화요일, 재무 보조 담당자 리아는 세 가지 연락을 받습니다. 오전 7.58에 '대표이사'가 보낸 이메일입니다. '리아, 오늘 종일 회의라서 첨부한 공급업체에 오늘 대금 지급 부탁해요. 계좌 정보가 바뀌었어요. 이 일은 우리끼리만 알고 있어요'. 다음은 문자입니다. '택배가 보류되었습니다. 여기서 재배송 수수료 £1.45를 결제하세요'. 그리고 회사의 IT 서비스 업체 직원이라고 밝힌 사람이 전화해, '메일함 문제를 해결하려면' 방금 보낸 여섯 자리 코드를 읽어 달라고 합니다. 겉모습은 제각각이지만 모두 같은 수법입니다.
피싱 메시지는 어떤 수법으로 상대방을 압박합니까?
피싱 메시지는 흔히 다섯 가지 압박 수법을 사용합니다. NCSC는 이를 권위, 긴급성, 감정, 희소성, 시사 이슈로 분류합니다. 오타를 찾는 것보다 이런 수법을 알아채는 편이 더 확실합니다.
권한
메시지는 상사, 은행, 정부 기관 또는 공급업체가 보낸 것처럼 가장해, 수신자가 그 요구를 따라야 한다고 느끼게 합니다.
긴급성
확인하기 전에 행동하도록 유도하는 촉박한 마감이나 불이익에 대한 위협입니다.
감정
두려움, 공포, 호기심 또는 희망을 자극해 생각하기보다 반응하게 만듭니다.
희소성
환불 가능 기간이나 한정된 티켓처럼 시간이나 수량이 제한된 것.
시사
뉴스, 세금 신고·납부 기한, 널리 알려진 서비스 장애와 연결해 자연스럽게 받을 법한 메시지처럼 느끼게 합니다.
AI는 피싱을 어떻게 바꾸었습니까?
AI로 피싱 메시지가 더욱 정교해졌으므로 맞춤법과 문법이 정확하다는 것만으로는 진짜 메시지라고 판단할 수 없습니다. CISA의 지침도 이제 이 점을 명시하고 있습니다. 공격자는 동료의 말투로 글을 쓰거나, 사용자의 업무에 맞춰 메시지를 작성하거나, 통화 중에 익숙한 목소리를 흉내 낼 수도 있습니다. 따라서 맞춤법 오류나 어색한 인사말을 찾는 기존 점검표의 유용성은 줄었으며, 요청 자체를 확인하는 일이 더 중요해졌습니다. 송금, 은행 계좌 정보 변경, 코드 공유, 정상 절차 우회 요청은 아무리 그럴듯하게 들려도 사실 여부를 확인해야 합니다.
의심스러운 메시지를 단계별로 어떻게 확인합니까?
의심스러운 메시지는 메시지 밖의 경로로 확인합니다. 메시지에 있는 링크, 전화번호, 회신 주소는 절대 사용하지 않고, 이미 신뢰하는 연락처로 해당 사람이나 조직에 연락합니다.
1. 잠시 멈추고 어떤 수법인지 짚어 보기
어떤 압박을 가하고 있는지 살펴보세요. 비밀 유지, 긴급성, 금전 요구가 결합된 형태는 전형적인 송금 사기 수법입니다.
2. 발신자뿐 아니라 요청 내용도 확인하기
표시 이름과 발신자 번호는 위조될 수 있습니다. 누가 보낸 것처럼 보이든, 계좌 정보가 바뀌었거나 인증 코드를 요구한다면 경고 신호입니다.
3. 별도의 채널로 확인합니다
직접 보관하고 있는 기록의 전화번호로 당사자에게 전화하거나, 해당 기관의 웹 주소를 직접 입력합니다. CISA와 NCSC 모두 이렇게 권고합니다.
4. 코드나 비밀번호는 절대 공유하지 않습니다
정상적인 IT팀과 은행은 일회용 코드나 비밀번호를 소리 내어 읽어 달라고 요청하지 않습니다.
5. 보고하기
이메일의 신고 버튼을 사용하고 IT 담당자에게 알립니다. 영국에서는 의심스러운 이메일을 [email protected]로 전달할 수 있으며, 미국에서는 CISA가 사이버 문제 신고 서비스를 통해 신고를 접수합니다.
미흡한 대응과 효과적인 대응은 어떻게 다릅니까?
부실한 대응은 겉으로 보이는 것을 믿습니다. Leah는 대표이사의 이름을 보고 지급이 정말 급한지 묻는 답장을 보냅니다. 같은 가짜 주소에서 '네, 지금 처리해 주세요'라는 답장이 바로 오자 돈을 보냅니다. 문자는 무시하지만, 도움을 주려는 마음에 전화한 사람에게 인증 코드를 읽어 줍니다. 상대방은 그 코드로 Leah의 메일함에 로그인합니다.
제대로 대응하려면 요청이 사실인지 확인합니다. Leah는 권위, 긴급성, 비밀 유지 요구가 함께 나타난다는 점을 알아차리고 직원 명부에 있는 대표이사의 휴대전화로 전화합니다. 대표이사는 아무것도 보내지 않았습니다. Leah는 링크를 누르지 않고 택배 문자를 삭제합니다. 전화한 사람에게 IT 서비스 업체로 다시 전화하겠다고 말한 뒤 전화를 끊고, 회사 계약서에 적힌 번호로 업체에 전화합니다. 업체는 전화를 건 적이 없습니다. Leah는 세 건 모두 IT 담당자에게 신고하고 이메일을 신고용 주소로 전달합니다. 돈은 지급되지 않았고 인증 코드도 공유되지 않았습니다.
이미 클릭하거나 답장했다면 어떻게 해야 합니까?
이미 클릭하거나 답장하거나 무언가를 공유했다면 즉시 IT 담당자에게 알려야 합니다. 빠르게 대응하면 피해를 줄일 수 있으며, 신고했다는 이유로 누구도 비난받아서는 안 됩니다. 정보를 입력한 계정이 있다면 다른 기기에서 해당 계정의 비밀번호를 바꾸고 다중 인증을 설정해야 합니다. 돈이나 은행 정보가 관련되었다면 은행 웹사이트나 카드에 있는 번호로 즉시 은행에 전화해야 합니다.
피싱과 관련해 흔히 하는 실수는 무엇입니까?
가장 흔한 실수는 의심스러운 메시지에 답장해 진위를 확인하는 것입니다. 이는 공격자에게 사실인지 확인해 달라고 묻는 것일 뿐입니다. 그 밖에도 표시 이름이나 발신 번호를 믿거나, 맞춤법 오류만으로 판단하거나, 수신 거부 링크를 클릭하거나, 일회용 인증 코드를 불러 주거나, 실수한 뒤 부끄러워서 알리지 않는 실수가 있습니다.
Tosheo.ai에서 이 수업은 어디에 해당합니까?
이 수업은 사이버 보안 범주와 사이버 보안 과정에 속합니다. Tosheo.ai의 실습 과제에서는 가상의 메시지들을 제공하고, 각 메시지에 사용된 수법을 명시하고 확인 절차와 신고 초안을 작성하도록 합니다. 평가 기준을 통해 어떤 경고 신호를 놓쳤는지 확인할 수 있습니다. 이는 직원과 관리자를 위한 보안 인식 교육이지, 기술적인 이메일 보안 과정이 아닙니다.
출처와 범위
NCSC, 사기 이메일·문자 메시지·전화를 식별하는 방법(19 October 2026 확인) ↗
NCSC, 사기 이메일 신고(19 October 2026 확인) ↗