잘 지어진 한 건물이 있다. 이 건물의 주인은 수백억의 가치를 하는 귀중한 보물을 보관하기 위해 크고 튼튼한 금고를 제작하여 건물 내부에 설치하였다. 또한 외부인의 불법적인 침입을 막기 위해 출입문과 창문에는 최첨단 보안장비를 설치하였고, 경비원을 고용해 365일  24시간 건물을 지키도록 하였다.

위의 상황을 사이버 환경으로 바꾸어 생각해 보자. 건물 안의 보물은 기업 또는 개인의 중요한 데이터이며, 이 데이터를 보호하기 위해 방화벽, 관제시스템 등 각종 보안 장비들을 365일 24시간 운영하고 있다. 과연 이렇게 지킨다고 한들 날로 발전하는 사이버 범죄자들로부터 안전하다고 장담할 수 있을까?

변화하는 IT 환경에서 데이터의 가치가 높아지면서 보안기술 또한 상당히 많은 발전을 이루었다. 최근에는 인공지능을 접목한 차세대 보안관제 시스템이 출시되면서 위협을 탐지하고 대응하기까지 걸리는 시간이 획기적으로 단축되었고, 알려지지 않은 이상행위를 선제 판별할 수도 있게 되었다. 이러한 시대 흐름은 사이버 범죄자들에게도 영향을 주었는데, 보안성이 강화된 시스템이 아닌 상대적으로 취약한 사람을 목표로 공격하는 경우가 증가하였다. 이처럼 데이터와 금품을 갈취하기 위해 사람을 이용하는 공격을 사회 공학적 공격(Social Engineering Hacking)이라고 한다.

사회 공학적 공격은 사람을 타킷으로 이용하는 공격이기 때문에, 방어하는 입장에서 위협을 판단하기는 쉽지 않다. 또한 사람들의 일상과 개인정보가 소셜미디어(SNS)를 통해서 공유되고, 각종 여론과 사회이슈가 인터넷으로 쉽게 전달되면서 사람들의 심리까지 이용하는 고도화된 기법으로 진화하고 있다. 

아래 [그림 2]의 메일내용을 보면, 사이버 범죄자는 기술적 취약점이 아닌 사용자가 스스로 클릭할 수밖에 없는 내용으로 악성 홈페이지 접속을 유도하고 있다.

[그림 2] 악성 메일 샘플

사회 공학적 공격은 아래와 같이 4단계로 진행된다. 우선 타깃이 되는 사용자를 정하고 공격에 필요한 정보를 수집한다. 공격 과정에 사용자의 신뢰를 얻는 것이 가장 중요하기 때문에 앞서 수집한 정보를 가공하여 맞춤형 공격을 실행한다. 마지막으로 공격에 성공을 하면 자신의 흔적을 지운 후 사라진다.

[그림 3] Social Engineering Attack Lifecycle

(출처 : https://www.imperva.com/learn/application-security/social-engineering-attack)

사회 공학적 공격이 가장 위협적인 점은 소프트웨어 및 시스템의 취약점이 아닌 사람의 실수를 공격에 이용한다는 것이다. 

따라서, 침입 및 위협을 판단하기가 굉장히 어렵다. 사회 공학적 공격의 유형은 아래와 같이 분류할 수 있다.

어느 날 A씨는 인사팀으로 위와 같은 메일을 받았다. 평소 회사를 위해 궂은일과 야근을 많이 했었던 A씨는 드디어 자신의 노고를 인정받는구나 라는 마음으로 아무런 의심 없이 본문의 링크를 클릭하였다. 그러나 A씨의 기쁨은 여기까지였다. 클릭과 동시에 A씨의 컴퓨터는 사이버 범죄자의 손에 넘어갔기 때문이다.

위의 경우 메일을 보낸 사람에게 확인 전화를 했었다면, 악성 메일인지 판단할 수 있었을 것이다. 사회 공학적 공격기법은 사용자 개인의 분별력 제고 및 보안의식 수준에 크게 영향을 미치기 때문에, 평소 악성메일 모의훈련과 교육 등을 통해서 사용자의 보안인식 수준을 향상 시켜야 한다.

[그림 4] 이글루시큐리티 악성메일 모의훈련 프로세스

지금까지 사이버 범죄자들이 사람의 심리, 특성, 호기심 등을 분석하여 공격에 활용하는 내용에 대해 알아보았다. 사용자는 평소에 보안 인식을 가지고 위협에 대비하는 것이 가장 중요하며, 아래 ‘사용자 보안수칙’을 마지막으로  ‘고도화된 사회 공학적 공격기법, 사람을 겨냥하다.’의 기고를 마무리하겠다.