고도화된 피싱 공격, 무엇이 달라졌고 어디를 막아야 하나
피싱이 링크 클릭 수준을 넘어 계정 탈취와 세션 하이재킹까지 확장되고 있습니다. 실무에서 바로 적용 가능한 탐지·차단 포인트를 정리합니다.
무엇이 달라졌나
예전의 피싱은 "가짜 로그인 페이지로 유도해 비밀번호를 얻는" 단순한 구조였습니다. 지금은 다릅니다. 다단계 인증(MFA)이 보편화되면서 공격자는 비밀번호 자체보다 인증이 끝난 세션을 노립니다.
대표적인 변화는 세 가지입니다.
- 실시간 중계형 피싱 — 가짜 페이지가 피해자의 입력을 진짜 사이트로 그대로 전달합니다. 피해자가 MFA 코드를 입력하면 그것까지 중계되어, 공격자는 인증이 완료된 세션 쿠키를 획득합니다. 비밀번호를 바꿔도 이미 탈취된 세션은 살아 있습니다.
- 신뢰된 인프라 악용 — 정상적인 클라우드 문서 공유, 설문, 캘린더 초대 기능을 경유해 링크를 배포합니다. 발신 도메인 평판만으로는 걸러지지 않습니다.
- 브랜드 사칭의 정교화 — 유사 도메인 등록, 로고 무단 사용, 가짜 모바일 앱, 임원 프로필 위조가 하나의 캠페인으로 묶여 진행됩니다.
어디를 막아야 하나
1. 세션을 신뢰 단위로 보지 않기
비밀번호 재설정만으로는 중계형 피싱을 막을 수 없습니다. 사고 대응 시 세션 무효화(전 기기 로그아웃) 를 반드시 포함하세요. 평시에는 다음을 점검합니다.
- 세션 수명과 재인증 주기가 업무 위험도에 맞게 설정되어 있는지
- 비정상 지역·디바이스에서의 세션 재사용을 탐지하고 있는지
- 관리자 권한 계정에 대해 더 짧은 세션 정책을 적용하고 있는지
2. 피싱 저항성이 있는 인증으로 이동
OTP와 푸시 승인은 중계가 가능합니다. 반면 FIDO2/WebAuthn 기반 인증은 origin을 검증하기 때문에 중계형 피싱에 구조적으로 저항합니다. 전면 전환이 어렵다면 관리자·재무·개발 권한 계정부터 우선 적용하는 접근이 현실적입니다.
3. 도메인 등록을 사후가 아니라 사전에 본다
공격은 도메인 등록에서 시작합니다. 타이포스쿼팅과 유사 도메인 신규 등록을 모니터링하면, 실제 피싱 메일이 발송되기 전에 차단 목록에 올릴 수 있습니다. 같은 인프라를 재사용하는 경우가 많아, 하나를 잡으면 연관 도메인까지 함께 정리되는 일이 흔합니다.
4. 신고를 전부 보지 말고 선별한다
피싱 신고는 많고 대응 인력은 한정적입니다. 모든 신고를 동일하게 조사하면 정작 중요한 건이 늦어집니다. 실제 피해 가능성, 공격 캠페인 연관성, 사칭 대상의 중요도를 기준으로 우선순위를 정하는 체계가 필요합니다.
실무 체크리스트
| 영역 | 점검 항목 |
|---|---|
| 인증 | 고위험 계정의 FIDO2 적용 여부 |
| 세션 | 사고 대응 절차에 세션 무효화 포함 여부 |
| 도메인 | 유사 도메인 신규 등록 모니터링 운영 여부 |
| 탐지 | 신뢰된 클라우드 서비스 경유 링크에 대한 검사 정책 |
| 대응 | 게시 중단(takedown) 요청 경로와 소요 시간 확인 |
| 교육 | 중계형 피싱을 반영한 시나리오로 갱신했는지 |
정리
피싱 대응의 무게중심은 "속지 않게 만드는 것"에서 "속아도 피해가 확산되지 않게 만드는 것" 으로 옮겨가고 있습니다. 인증 방식과 세션 정책을 먼저 손보고, 브랜드 사칭 신호를 조기에 확보하는 순서로 접근하는 것이 효과적입니다.
- #피싱
- #계정탈취
- #MFA