Security

[칼럼] 사이버 범죄 시작점, 피싱 해부

CheifEditor

22 Jul 2025 — 9 min read

[이미지: AI Generated by TheTechEdge]

💡

Editor Pick
- 요즘 피싱, 도메인·UI·로고·운영 방식·사업자번호 까지 복제
- ‘정상 사이트처럼 보이는 것’이 피싱 성공률의 핵심이 된 셈
- 디지털 보안, 전문가들만의 문제 아냐...모두 일상 속에서 실천돼야

[칼럼 김지훈 누리랩 이사] 최근 몇 년 사이, 사이버 범죄의 양상은 더욱 정교해지고 조직화 되고 있다. 그 중심에 있는 것이 바로 피싱(Phishing) 사이트다. 단순한 스팸 메일이나 의심스러운 링크로만 치부되던 피싱은 이제 정교한 사회공학 기법, 실제 기업 또는 기관을 사칭하여 사용자들을 속이고 금전적 피해를 입히는 핵심 수단이 되었다.

위 그림은 최근 1주일간 자사 제품을 통해 유입된 URL의 유형별 비중을 보여준다. 이 중 피싱 사이트가 차지하는 비율은 무려 4.8%에 달해, 여전히 피싱 위협이 심각한 수준임을 시사한다.

피싱 사이트의 진화: 단순 링크에서 위장된 ‘정상성’으로

초기 피싱은 정교함보다는 ‘수량’으로 승부했다. 수천수만 건의 메일이나 문자 메시지를 무작위로 뿌리고, 일부 사용자가 실수로 클릭하길 기대하는 방식이었다. 그러나 오늘날의 피싱은 전혀 다르다. 공격자는 실제 금융기관, 택배사, 메신저 앱, 유명 쇼핑몰의 도메인·UI·로고·운영 방식, 사업자번호 까지 복제해, 사용자로 하여금 ‘정상적인 사이트’라 인식하게 만든다.

심지어 최근에는 실제 해킹된 기업 웹사이트 서브 페이지에 피싱 페이지를 삽입하거나, HTTPS 보안 인증서까지 적용하여 사용자 경계를 허무는 경우도 빈번하다. ‘정상 사이트처럼 보이는 것’이 피싱 성공률의 핵심이 된 셈이다.

진짜처럼 보이는 가짜: 가상자산 거래소 피싱

최근 가상자산 투자 열풍과 함께 가짜 암호화폐 거래소를 사칭한 피싱 사이트가 급증하고 있다. 이들 사이트는 실제 거래소의 UI와 로고, 고객지원 화면까지 정교하게 복제해 사용자를 속인다. 사용자는 검색엔진 광고나 SNS 링크를 통해 해당 사이트에 접속하게 되며, 계정 생성이나 지갑 연결을 유도 받고, 복구 구문(Recovery Phrase) 입력을 요구하거나, USDT 입금 후 출금을 제한하는 방식으로 자산을 탈취한다.

이런 가짜 거래소는 종종 거래 수익을 미끼로 추가 입금을 유도한 뒤, 최종적으로는 출금 자체를 차단한다. 피해자는 신분증 인증 오류, 시스템 점검, 수수료 부족 등의 이유로 자산을 인출하지 못하는 상황에 처하게 된다. 이 과정에서 신분증, 연락처 등 민감한 개인정보까지 유출되는 경우가 많으며, 공격자는 이를 이용해 2차 피해나 협박까지 시도하기도 한다.

피해자에서 공격자가 되는 구조: 2차 범죄로의 확산

피싱의 피해는 단순한 금전 손실에 그치지 않는다. 탈취된 개인정보나 계좌 정보는 다크웹에서 재판매되거나, 2차 스미싱, 사기 계좌 개설, 가짜 쇼핑몰 운영 등 다양한 사이버 범죄에 악용된다. 단 한 번의 클릭으로 사용자는 피해자일 뿐 아니라, 또 다른 공격의 매개체가 되는 위험에 노출될 수 있다.

특히 최근에는 ‘정부 보조금 지급’을 사칭한 피싱 사이트가 등장해 더욱 교묘한 수법을 보이고 있다. 해당 사이트는 미션을 수행하면 보조금이 지급되는 것처럼 사용자를 속이고, 그 과정에서 지인에게 피싱 사이트 링크를 문자나 메신저로 전송하도록 유도한다. 이처럼 공격자는 단순한 클릭 유도를 넘어, 사용자를 자발적인 확산 수단으로 활용하는 단계까지 진화하고 있다.

대응 전략: 예방이 최고의 보안

피싱에 대한 완벽한 방어는 어렵지만, 다음과 같은 전략으로 리스크를 줄일 수 있다.

- 의심스러운 링크 클릭 금지: 특히 문자나 이메일로 온 URL은 반드시 실제 사이트 주소와 비교해보는 것이 바람직하다.

- 이중 인증(2FA) 활성화: 계정 정보가 유출되어도 추가 인증 절차를 통해 방어해야 한다.

- 기업 보안 시스템 연동: 실시간 URL 검사 API, 도메인 평판 조회 서비스 등 외부 인프라와 연계한 방어 체계를 구축해야 한다.

피싱 사이트는 단순한 사기 수법이 아닌, 사이버 범죄의 출발점이자 핵심 통로다. 공격자는 인간의 심리를 교묘히 파고들고, 사용되는 기술은 갈수록 정교해지고 있다.

피해를 줄이기 위한 가장 효과적인 방법은, 모든 사용자가 한 번쯤 ‘의심하고, 확인하고, 공유하는 습관’을 갖는 것이다. 디지털 보안은 더 이상 전문가들만의 문제가 아니며, 우리 모두의 일상 속에서 실천되어야 할 필수 항목이 되었다.

그리고 무엇보다 중요한 것은, 사기 피해 사례를 적극적으로 공유하고 경각심을 높이는 것이다. 유사한 피해를 막기 위해, 사기 수법을 알리고 확산을 차단하는 ‘정보의 연대’가 절실히 필요하다.