오늘 끝나면
사회공학
- ✓사회공학의 핵심 문제를 한 문장으로 설명한다
- ✓오른쪽 실습에서 사회공학이 어떻게 움직이는지 관찰한다
- ✓다음 강의와 이어지는 한계를 말할 수 있다
실습 미션
사람이 가장 약한 고리 — 피싱 이 문장이 실제로 무슨 뜻인지 실습에서 한 번 손으로 확인한다.
성공 조건
- □실습의 기본값을 먼저 관찰
- □입력값이나 모드를 한 번 이상 바꿔 결과 비교
- □왜 결과가 바뀌었는지 한 문장으로 설명
화이트해킹 · 17
사회
공학
기술이 아니라 사람을 속이는 공격이다.
아무리 단단한 시스템도 그 앞엔 사람이 앉아 있다.
방어는 의심, 검증, 교육, 그리고 MFA다.
가장 약한 고리는 사람이다
방화벽을 세우고 암호를 걸고 패치를 다 해도 한 통의 전화에 비밀번호가 새 나간다. 공격자는 기술을 뚫는 대신 사람을 설득한다.
시스템은 규칙대로만 움직이고 거짓말에 속지 않는다.
사람은 다르다. 친절하고 바쁘고 권위를 따르고 도와주고 싶어 한다.
사회공학은 바로 그 인간적인 빈틈을 공략한다.
보안은 가장 약한 고리만큼만 강하다. 사슬이 아무리 굵어도 한 칸이 종이면 거기서 끊긴다.
그래서 방화벽 예산보다 사람 교육이 더 큰 효과를 낼 때가 많다.
이 강의는 무기화 코드가 아니라 “사람을 속이는 원리와 그걸 막는 법”을 다룬다.
세 칸이 단단해도 “사람” 칸이 끊기면 사슬은 풀린다
수법, 피싱과 미끼와 사칭
사회공학은 화려한 기술이 아니다. 익숙한 통로 세 가지, 피싱과 미끼와 사칭으로 거의 다 들어온다.
피싱은 가짜 메일이나 문자로 비밀번호나 결제정보를 입력하게 만든다. 진짜 사이트를 흉내 낸 화면이 미끼다.
미끼(베이팅)는 공짜 USB나 당첨 쿠폰처럼 호기심과 욕심을 건드려 클릭이나 연결을 유도한다.
사칭(프리텍스팅)은 IT 직원이나 임원, 은행 직원인 척 그럴듯한 상황을 꾸며 정보를 캐낸다.
셋의 공통점은 하나다. 급하게, 의심 없이, 행동하게 만드는 것이다.
그 압박을 알아채면 절반은 막은 셈이다.
가짜 메일·문자
비번·결제정보 입력 유도
공짜 USB·당첨 쿠폰
호기심·욕심으로 클릭 유도
IT·임원·은행 직원인 척
그럴듯한 상황으로 정보 요구
피싱의 단서를 읽는 법
피싱 메일은 완벽하지 않다. 늘 흔적을 남긴다. 세 군데만 습관처럼 보면 대부분 걸러진다.
첫째는 보낸 도메인이다. naver.com이 아니라 naver-support.com처럼 한 글자가 끼어 있다.
둘째는 긴급성이다. “24시간 내”, “계정 삭제”처럼 겁주고 재촉한다.
셋째는 링크다. 보이는 글자와 실제 주소가 다르니 누르기 전에 주소부터 확인한다.
하나만 어긋나도 멈추는 게 정답이다. 진짜라면 잠깐 멈춰도 손해가 없다.
| 단서 | 의심 | 정상 |
|---|---|---|
| 도메인한 글자가 끼어 있나 | naver-support.com | naver.com |
| 긴급성겁주고 재촉하나 | 24시간 내 / 계정 삭제 | 재촉 없음 |
| 링크누르기 전에 확인 | 보이는 글자 ≠ 실제 주소 | 주소가 일치 |
직접 가려내기, 피싱 판별
오른쪽은 메일 샘플을 한 건씩 보여주는 판별 트레이너다. 실제 메일도 링크도 아닌 연습용 가짜 데이터다.
각 메일엔 단서 칩 세 개가 있다. 도메인, 긴급성, 링크다.
하나씩 누르면 그게 의심 신호인지 정상 신호인지 한 줄 해설이 펼쳐진다. 다 살핀 뒤 진짜와 피싱을 직접 고른다.
맞히는 게 목적이 아니다. 어디를 보고 판단했는지 그 시선을 몸에 익히는 게 목적이다.
진짜 메일이라도 링크는 직접 주소창에 쳐서 들어가는 습관이 가장 안전하다.
이 점검 루프가 사람 쪽 방화벽이다.
[긴급] 계정 잠김, 24시간 내 인증 필요
보안팀 <security@naver-support.com>
비정상 로그인이 감지됨. 지금 인증 안 하면 계정이 영구 삭제됨.
방어, 의심과 검증과 교육과 MFA
사람은 언젠가 속는다. 완벽한 사람은 없다. 그래서 방어는 “안 속기”와 “속아도 안 뚫리기” 두 겹으로 짠다.
앞 겹은 사람 쪽이다. 의심하고 다른 채널로 검증하고 반복 교육으로 눈을 키운다.
급한 송금 요청이 오면 전화로 직접 확인한다. 이 한 번이 임원 사칭 사기를 끊는다.
뒷 겹은 기술 쪽이다. MFA(다중 인증)가 그것이다.
비밀번호가 새 나가도 두 번째 인증(앱 코드나 보안키)이 없으면 로그인이 막힌다.
사람의 실수를 시스템이 한 번 더 받쳐주는 마지막 빗장이다.
Q. 피싱 방어에 MFA가 도움이 되는 이유는? (비밀번호를 더 길게 한다, 메일을 자동 차단한다, 비밀번호가 새도 두 번째 인증이 막는다, 도메인을 검사한다)
정답은 비밀번호가 새도 두 번째 인증이 막는다이다.피싱으로 비밀번호 한 개가 털려도 MFA는 앱 코드나 보안키 같은 두 번째 인증을 추가로 요구한다.
공격자는 비밀번호만으론 로그인을 못 한다. 사람의 실수를 시스템이 한 겹 더 받쳐준다.
그래서 의심과 검증(앞 겹)이 뚫려도 MFA(뒷 겹)가 피해를 막는 마지막 빗장이 된다.
급한 요청은 다른 채널로 직접 확인한다. 한 번 멈추면 사칭 사기가 끊긴다