피싱

피싱, 어렵지 않아요 믿을 만한 척 접근해 정보를 빼가는 사기 이해하기

1. 피싱이 뭔가요?

피싱(phishing)은 공격자가 은행, 거래소, 유명 프로젝트, 고객지원팀처럼 믿을 만한 대상인 척 꾸며서, 이용자가 스스로 중요한 정보를 넘기도록 유도하는 사기예요. 시스템의 기술적 허점을 직접 뚫는 해킹과는 달라요. 대신 사람의 불안한 마음, 조급함, 신뢰 같은 심리적 빈틈을 파고드는데, 이런 수법을 사회공학(social engineering, 기술이 아니라 사람 심리를 이용하는 방법)이라고 불러요. 이메일, 문자메시지, 가짜 웹사이트, 메신저나 소셜미디어 메시지 등 통로는 여러 가지예요.

'피싱'이라는 말은 '낚시'를 뜻하는 fishing에서 나왔어요. 점점 정교해지는 미끼로 이용자의 금융 정보와 비밀번호를 '낚아' 올린다는 뜻이 담겨 있죠. 또 초기에 전화망을 침입하던 프리킹(phreaking)이라는 말의 영향을 받은 것으로도 알려져 있어요.

암호자산 분야에서는 피싱이 특히 위험해요. 블록체인 거래는 한 번 하면 되돌릴 수 없고, 자산을 누가 쓸 수 있는지가 개인키와 시드 구문에 완전히 달려 있기 때문이에요. 그래서 이 정보가 한 번이라도 새어 나가면 지갑 안의 돈이 곧바로 빠져나가고, 사실상 되찾을 수 없어요. 공격자는 진짜 거래소나 지갑 서비스와 거의 똑같이 생긴 가짜 사이트를 만들어서, 이용자가 로그인 정보나 시드 구문을 입력하게 만들어요.

이렇게 보면 쉬워요 · 자물쇠를 억지로 부수는 게 아니라, 관리인인 척하며 열쇠를 직접 건네받는 방식이에요.

2. 피싱은 어떤 순서로 이뤄지나요?

피싱은 보통 미끼 → 유인 → 입력 → 탈취 → 후속 악용의 순서로 흘러가요. 먼저 믿을 만한 발신자인 척하는 메시지가 미끼로 도착해요. 이용자가 그 안의 링크를 클릭하면 진짜와 똑 닮은 가짜 사이트로 넘어가죠. 거기에 아이디·비밀번호 같은 자격증명이나 금융 정보를 입력하면, 그 값이 그대로 공격자에게 넘어가요. 그렇게 빼낸 정보는 다시 계정을 빼앗거나 돈을 인출하거나 2차 사기를 벌이는 발판이 돼요.

피싱은 기술적으로 어렵지 않아요. 웹사이트를 만들 정도의 능력만 있으면, 진짜 서비스의 HTML 소스와 이미지를 그대로 가져와서 대기업 사이트와 비슷한 화면을 손쉽게 복제할 수 있어요. 게다가 첨부파일이나 공격용 코드 없이 단순한 HTML 메일 형태로 보내면서 링크 주소를 숨기는 경우가 많아요. 그러면 백신 소프트웨어에도 걸리지 않고 그냥 통과하기도 하죠.

바로 이 점이 피싱을 다른 침입과 구별해 줘요. 순수하게 기술적인 공격 표면(공격자가 뚫고 들어올 수 있는 틈)을 노리는 게 아니라, 사람을 속이는 데 초점이 있다는 거예요.

이렇게 보면 쉬워요 · 가짜 간판을 건 가게로 손님을 데려와, 손님이 스스로 지갑을 여는 구조예요.

3. 피싱에는 어떤 종류가 있나요?

피싱은 누구를 노리는지, 어떤 통로로 오는지에 따라 여러 형태로 나뉘어요.

스피어 피싱(Spear Phishing)은 불특정 다수가 아니라 특정 개인이나 조직을 딱 겨냥해서 맞춤형으로 짠 공격이에요. 웨일링(Whaling)은 그중에서도 고위 경영진이나 조직의 높은 사람을 노리는 형태로, 큰 물고기(고래)를 노린다는 뜻에서 붙은 이름이에요. 클론 피싱(Clone Phishing)은 실제로 주고받았던 정상 이메일이나 서비스 웹사이트를 거의 완벽하게 복제해서 속이는 방식이에요. 주소창의 도메인 철자를 아주 살짝 바꿔서(예를 들어 비슷하게 생긴 글자를 쓰는 식으로) 눈속임하는 경우가 흔해요.

스미싱(Smishing)은 SMS 문자메시지를 이용해 착각을 유도하고 정보를 빼내는 공격이에요. 큐싱(Qshing)은 QR 코드를 통해 악성 사이트로 이동시키거나 악성 앱을 내려받게 하는 방식이고요. 보이스 피싱(Voice Phishing)은 전화 통화로 기관이나 지인을 사칭해서 돈이나 정보를 요구하는 방식이에요.

암호자산 쪽에서는 이런 것도 있어요. 지갑 승인 유도는 가짜 디앱이나 에어드롭 페이지에서 이용자가 악성 스마트 컨트랙트에 서명·승인하게 만드는 방식이에요. 개인키를 직접 넘기지 않아도 지갑의 자산이 빠져나가죠. 사칭 메시지는 고객지원팀이나 관리자인 척하면서 고객확인제도 갱신이나 계정 문제 해결을 핑계로 정보를 요구하는 방식이에요.

4. 피싱 메일과 사이트는 어떻게 알아보나요?

피싱 시도에는 몇 가지 공통된 특징이 있어요. 알아 두면 미리 걸러 낼 수 있죠.

첫째, 발신자를 사칭해요. 믿을 수 있는 주소인 것처럼 위장하는데, 예를 들어 시티은행을 사칭할 때는 info@citi.com처럼 정상으로 보이는 주소를 내세워 무작위로 뿌려요. 둘째, 자격증명을 요구해요. 신용카드 번호나 비밀번호를 입력하게 만드는 게 최종 목적이에요. 이런 정보는 어떤 경우에도 입력하면 안 돼요. 셋째, 긴박감을 만들어요. 유명 은행·카드사를 사칭해 계좌나 비밀번호 확인을 요구하거나, 지금 조치하지 않으면 거래가 중지된다는 식의 자극적인 문구로 이용자를 재촉하죠.

넷째, 경품·이벤트로 미끼를 던져요. 포털이나 쇼핑몰을 사칭해 경품 당첨이나 이벤트 참가를 핑계로 주민번호·휴대폰번호 같은 개인정보를 입력하게 만들어요. 다섯째, 문제가 생긴 것처럼 위장해요. 바이러스 감염이나 저장 공간 초과 등을 알리면서 빠르게 확인·조치하라고 유도하죠. 여섯째, 주소를 위장해요. 링크가 도메인이 아니라 IP 주소로 되어 있거나, 진짜 도메인과 아주 미세하게 다르면 피싱 사이트일 가능성이 높아요.

이렇게 보면 쉬워요 · '지금 안 하면 큰일 난다'며 재촉하는 연락일수록, 오히려 한 박자 멈추고 의심할 신호예요.

5. 암호자산에서 피싱이 왜 더 무섭나요?

암호자산에서 피싱이 치명적인 이유는 두 가지 구조 때문이에요. 하나는 거래의 비가역성, 즉 한 번 보내면 되돌릴 수 없다는 점이에요. 다른 하나는 자산을 쓸 권한이 오로지 키에 달려 있다는 점이고요. 은행 송금과 달리 블록체인 전송은 취소하거나 환급받는 절차가 사실상 없어요. 그래서 시드 구문이나 개인키가 한 번 노출되면 자금이 곧바로 이동해서 되찾기 어려워요.

공격자는 이 구조를 노리고 여러 방식을 섞어 써요. 진짜 중앙화 거래소나 탈중앙화 거래소와 비슷한 가짜 사이트로 로그인 정보를 빼내기도 하고, 가짜 디앱이나 에어드롭 화면에서 악성 컨트랙트에 서명하도록 유도해 개인키를 넘기지 않고도 지갑을 텅 비우기도 해요.

그래서 자기 자산을 스스로 커스터디(보관·관리)하는 이용자일수록, 시드 구문을 잘 지키는 것과 무엇에 서명하는지 확인하는 것이 결정적으로 중요해요.

6. 실제로 어떤 사건이 있었나요?

2003년 11월 17일, 미국 이베이(eBay) 이용자들에게 '보안상의 위험으로 계정이 차단됐으니 재등록해야 한다'는 내용의 메일이 발송된 사건이 있었어요. 초기 피싱의 전형으로 꼽히는 사례예요.

그 메일에는 이베이 웹페이지로 연결되는 것처럼 보이는 링크와 친절한 재등록 안내가 담겨 있었어요. 이를 의심 없이 따른 많은 고객이 개인정보와 금융정보를 공격자에게 넘겨 피해를 입었죠.

믿을 만한 브랜드를 사칭하고, 긴박감을 조성하고, 가짜 재입력 페이지로 유도하는 방식. 이후 피싱의 공식이라 할 만한 요소들이 이 사례에 이미 다 드러나 있었어요.

7. 이메일 발신자 위장은 어떻게 막나요?

피싱의 발신자 사칭에 맞서기 위한 기술적 수단으로 SPF, DKIM, DMARC 세 가지가 널리 쓰여요.

SPF(Sender Policy Framework)는 DNS 레코드(인터넷 주소 정보가 담긴 기록)를 이용해서, 특정 도메인의 메일을 보낼 자격이 있는 발신 서버가 맞는지 검증해요. DKIM(DomainKeys Identified Mail)은 암호 전자서명을 이용해, 메일 내용이 전송 도중에 몰래 바뀌지 않았는지 확인해요. DMARC(Domain-based Message Authentication, Reporting and Conformance)는 SPF와 DKIM을 바탕으로, 인증에 실패한 메일을 격리할지 거부할지 등을 도메인 소유자가 정책으로 정하도록 해 줘요.

이 세 기술이 함께 적용되면, 발신자를 위장한 메일이 수신함까지 도달하는 걸 줄여 줘요.

8. 브라우저와 인증으로는 어떻게 막나요?

이용자 쪽에서는 브라우저·소프트웨어 차원의 보호와 인증 강화가 함께 이뤄져요.

브라우저 보호로는 2005년 시작된 구글 세이프 브라우징(Google Safe Browsing)이 있어요. 이미 알려진 피싱·악성 사이트 목록과 실시간으로 대조해서 접속을 막아 주는데, 크롬·파이어폭스·사파리 같은 주요 브라우저에 적용돼 있어요. 마이크로소프트 스마트스크린(SmartScreen)도 엣지와 아웃룩에 내장돼서 피싱 URL과 악성 첨부파일을 탐지해요.

다중 인증(MFA)은 비밀번호가 유출돼도 계정 접근을 막아 주는 수단이에요. 미국 국립표준기술연구소(NIST)가 도입을 권고하고 있어요. 특히 FIDO 표준을 기반으로 한 하드웨어 보안 키 같은 '피싱 저항성' 인증 수단은, 공격자가 인증 정보를 중간에서 가로채는 것을 암호화 방식으로 막아 줘요. 암호자산 이용자에게는 하드 월렛과 콜드 스토리지처럼 인터넷과 떨어뜨려 오프라인으로 보관하는 수단도 함께 권장돼요.

9. '진짜 사람'인지 확인하는 방법도 있나요?

비밀번호나 자격증명에 기대는 인증은 피싱에 구조적으로 약해요. 그래서 인증된 주소 뒤에 실제로 '고유한 인간'이 있는지를 확인하는 신원 계층을 보완하려는 연구가 늘고 있어요. 자격증명을 훔치거나 계정을 사칭하는 데 기대는 피싱의 전제 자체를 무력화하는 게 목표예요.

World ID는 오브(Orb)라는 장치로 얼굴과 눈 이미지를 촬영해 고유한 인간임을 확인하는, 생체 인증 기반 디지털 자격증명이에요. 영지식 증명(정보 자체를 보여주지 않고도 '맞다'는 사실만 증명하는 방법)을 활용해서, 생체 데이터 자체는 노출하지 않고 인증해요. 시빅(Civic)은 동영상 셀피를 이용한 생체 인증으로 비슷한 방식을 제공하는데, 확인된 이용자에게 남에게 넘길 수 없는 온체인 자격증명을 발급해요.

다만 생체 데이터를 수집한다는 점과 개인정보 보호 우려 때문에 이런 시스템에는 규제 검토가 따라와요. 실제로 World ID는 케냐, 스페인, 프랑스, 대한민국 등에서 운영에 제한을 받은 적이 있어요.

10. 우리나라 법은 어떻게 대응하나요?

대한민국에서는 전화·문자·이메일 같은 통신수단을 이용한 금융사기를 다루기 위해 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」(줄여서 통신사기피해환급법)이 시행되고 있어요. 이 법은 피해금을 돌려주는 절차와 금융기관의 지급정지 의무 등을 정하고 있어요. 그리고 2026년 개정을 통해 가상자산과 관련된 피싱 피해도 환급 대상에 포함됐어요. 이는 자금세탁방지와 고객확인제도 체계와 함께, 피해 자금의 이동을 추적하고 차단하려는 제도적 대응의 일부예요.

한편 미국에서는 피싱을 기술적 대응만으로 막는 데는 한계가 있다고 지적하면서, 입법의 역할을 보조적인 것으로 평가하는 연구도 나온 적이 있어요. 결국 기술·교육·제도가 함께 작동해야 한다는 인식이 자리 잡고 있어요.

11. 피싱을 어떻게 예방하나요?

피싱을 막는 가장 핵심 원칙은, 어떤 상황에서도 시드 구문이나 개인키를 온라인에 입력하거나 남에게 알려주지 않는 것이에요. 정상적인 서비스는 시드 구문 전체를 요구하지 않아요.

구체적으로는 이렇게 하세요. 믿을 수 없는 메일·메시지의 링크를 무심코 클릭하지 말고, 의심스러우면 링크를 누르는 대신 주소를 직접 입력해서 사이트에 들어가세요. 접속하려는 도메인 주소를 눈으로 확인하고, 링크가 IP 주소로 되어 있지는 않은지 점검하세요. 웹사이트마다 아이디·비밀번호를 다르게 설정하고 주기적으로 바꾸며, 쓰지 않는 계정은 정리하세요.

또 브라우저·백신·메신저를 최신 버전으로 유지하고 보안 기능을 켜 두세요. 다중 인증(2FA/MFA)을 켜고, 암호자산은 하드 월렛이나 콜드 스토리지로 오프라인에 보관하세요. 공용 PC를 쓴 뒤에는 반드시 로그아웃하고, 메신저나 전화로 돈을 요구받으면 다른 경로로 정말 본인이 맞는지 확인하세요.

12. 피싱을 당하면 어디에 신고하나요?

피싱이 의심되는 메일을 받았다면 해당 은행·카드사·쇼핑몰에 알리거나, 대한민국에서는 관계 기관에 신고할 수 있어요. 과거 한국정보보호진흥원 시절부터 국번 없이 118, 대표번호 1336 등을 통한 신고·상담 창구가 운영돼 왔어요.

피싱은 그 자체로 끝나기보다, 빼낸 정보를 발판 삼아 랜섬웨어 유포, 계정 탈취, 자금 인출 같은 다음 공격으로 이어지는 경우가 많아요.

투자 사기인 러그 풀이나 폰지 사기와 달리, 피싱은 투자 사기 그 자체라기보다 자격증명을 훔치는 침입 기법에 가까워요. 다만 실제 사기에서는 이런 수법들이 복합적으로 결합되기도 해요.