피싱

피싱이란?

피싱이 실제로 바꾸는 것은 보안 예산의 배분이 아니라 책임의 위치입니다. 방화벽·백신·메일 게이트웨이에 수억을 써도, 직원 한 명이 링크를 누르고 사내 계정 비밀번호를 입력하는 순간 그 투자는 한 번에 무력화됩니다. 그래서 보안 담당자의 일은 '뚫리지 않는 망을 만드는 것'에서 의심스러운 메일이 몇 분 안에 보안팀 책상에 도착하게 만드는 것으로 옮겨갑니다. 관리 지표도 차단률이 아니라 신고 건수와 신고까지 걸린 시간이 됩니다.

피싱은 들어오는 통로에 따라 갈립니다. 문자로 오면 스미싱, 전화·음성 안내로 오면 비싱, 특정인의 직책과 최근 업무까지 조사해 보내면 스피어 피싱, 대표나 CFO를 사칭해 경리 담당자에게 송금을 지시하면 비즈니스 이메일 침해(BEC)입니다. 랜섬웨어·정보 유출과 자주 뭉뚱그려지는데, 피싱은 피해의 결과가 아니라 문을 여는 수단이라는 점이 경계선입니다. 방어 규칙도 통로마다 다릅니다 — 메일은 발신 도메인과 회신 주소가 다른지, 문자는 단축 URL인지, 전화는 상대가 먼저 걸어왔는지를 봅니다. 잘 먹히는 미끼는 연말정산·급여명세·전자세금계산서처럼 '열어보는 게 당연한' 문서이고, 가짜 도메인은 대개 한 글자만 다릅니다.

현장에서 가장 자주 어긋나는 지점은 모의훈련을 적발 도구로 쓰는 것입니다. 클릭한 직원 명단을 부서장에게 돌리고 고과에 반영하면 다음 훈련의 클릭률은 떨어지지만, 진짜 피싱을 눌렀을 때는 아무도 손을 들지 않습니다. 계정이 넘어간 사실을 2주 뒤 거래처 항의 전화로 알게 되는 식입니다. '스팸 필터가 다 걸러준다', '번역 투라서 금방 티가 난다'는 믿음도 위험합니다. 요즘 사칭 메일은 문장이 매끄럽고, 주소창 자물쇠 표시는 암호화를 뜻할 뿐 그 사이트가 진짜라는 보증이 아닙니다. 징계 대신 신고 면책을 먼저 못 박은 회사가 결국 더 빨리 막습니다.