프리텍스팅(Pretexting)이란 무엇인가요?

프리텍스팅은 특정 개인을 대상으로 하는 스피어 피싱과 민감한 정보나 시스템에 대한 액세스 권한이 있는 임원 또는 직원을 대상으로 하는 웨일링을 포함한 표적형 피싱 공격에서 특히 일반적입니다.  

그러나 프리텍스팅은 비표적 '스프레이 앤 프레이(spray-and-pray)' 이메일 피싱, 음성 피싱(비싱) 또는 SMS 텍스트 피싱(스미싱) 사기에서도 중요한 역할을 합니다.

예를 들어 사기꾼은 수백만의 사람들에게 “[주요 은행 이름]: 귀하의 계좌가 초과 인출되었습니다.”라는 문자 메시지를 보낼 수 있습니다. 수신자 중 일정 비율이 은행 고객이고 해당 고객 중 일부가 메시지에 응답할 것으로 예상할 수 있습니다. 소수의 피해자가 응답해도 사기꾼에게는 큰 이득을 줄 수 있습니다.

이러한 유형의 공격에서 범죄자는 매력적이지만 손상된 미끼로 피해자를 유인하여 맬웨어를 다운로드하도록 유도합니다. 미끼는 악성 코드가 담긴 USB 플래시 드라이브를 공공장소에 눈에 띄게 놓아두는 등 물리적인 형태일 수도 있습니다. 또는 영화 무료 다운로드를 가장하고 있지만 실제로는 맬웨어인 경우처럼 디지털 미끼가 될 수 있습니다. 

사기꾼은 종종 미끼를 더 매력적으로 만들기 위해 프리텍스팅을 사용합니다. 예를 들어, 사기꾼은 손상된 USB 드라이브에 라벨을 부착하여 특정 회사의 소유이며 중요한 파일이 포함되어 있다고 암시할 수 있습니다.

프리텍스팅은 테일게이팅과 같은 대면 사기에도 사용될 수 있습니다. '피기백'이라고도 하는 테일게이팅은 권한이 없는 사람이 승인된 사람을 따라 보안 사무실 건물과 같이 허가가 필요한 위치로 들어가는 것을 말합니다. 사기꾼은 테일게이팅 시도를 더 성공시키기 위해 프리텍스팅을 사용하여 배달원으로 가장하고 순진한 직원에게 잠긴 문을 열어달라고 요청합니다.

이 사이버 공격에서 사기꾼은 회사 대표인 척 가장하여 청구 정보가 만료되었거나 의심스러운 구매와 같은 계정 문제를 피해자에게 경고합니다. 사기꾼은 피해자의 인증 자격 증명, 신용 카드 정보, 은행 계좌 번호 또는 주민등록번호를 훔치는 가짜 웹사이트로 피해자를 연결하는 링크를 포함합니다.

비즈니스 이메일 침해(BEC)는 프리텍스팅에 크게 의존하는 표적 소셜 엔지니어링입니다. 현재 모든 BEC 공격의 25%(ibm.com 외부 링크)가 프리텍스팅으로 시작됩니다. 

BEC에서 캐릭터는 표적에 대한 권한이나 영향력을 가진 실제 회사 임원 또는 고위 비즈니스 동료입니다. 사기꾼이 권력을 가진 사람인 것처럼 가장하기 때문에 많은 표적이 의심 없이 따릅니다.

상황은 (거의 항상) 캐릭터가 긴급한 작업에 도움이 필요한 경우일 수 있습니다. 예를 들어, "공항에 발이 묶여 있는데 결제 시스템 비밀번호가 기억나지 않네요. 한 번 더 알려줄 수 있으세요?'" 또는 "첨부된 송장을 결제해야 하는 데 USD XXX,XXX를 은행 계좌 #YYYYY로 송금해주시겠어요? 빨리 보내지 않으면 우리 서비스가 취소된대요." 등입니다.

사기꾼은 문자, 이메일, 전화 통화, 심지어 AI로 생성한 동영상을 통해 상사를 사칭하여 직원을 속이고 민감한 정보를 노출하거나 범죄를 저지르도록 유도하는 경우가 많습니다.

잘 알려진 어느 사례에서는 사전 녹화된(그리고 AI로 생성한) 웹 회의에서 직원이 가짜 고위 경영진의 지시에 따라 공격자에게 HKD 2억을 송금하는 일이 벌어졌습니다.⁴

해마다 BEC는 가장 큰 피해를 입히는 사이버 범죄 및 소셜 엔지니어링 기법 중 하나로 꼽힙니다. IBM 데이터 유출 비용(CODB) 보고서에 따르면 BEC로 인한 데이터 침해로 피해 조직이 손해를 입은 금액은 평균 USD 489만이었습니다. 

FBI의 인터넷 범죄 신고 센터의 데이터에 따르면, 2023년에 BEC로 인해 피해자들은 총 USD 29억에 가까운 손실을 입었습니다.³

확실한 암호화폐 기회를 가진 성공적인 투자자로 가장한 사기꾼은 피해자를 가짜 암호화폐 거래소로 안내하여 피해자의 금융 정보나 돈을 훔칩니다. 

이 사기의 장기적인 변종은 '돼지 도살'이라는 이름으로 불리며, 사기꾼이 소셜 미디어를 통해 피해자와 관계를 형성하고 신뢰를 얻습니다. 그런 다음 사기꾼은 피해자에게 '사업 기회'를 소개하고 입금을 유도하며 피해자를 암호 화폐 사이트로 연결합니다. 사이트에서는 투자 가치가 상승하고 있다고 허위로 보여주기도 하지만, 해당 통화는 절대 인출할 수 없습니다.⁵ 

많은 소셜 엔지니어링 사기와 마찬가지로 이 사기 수업은 노인을 노리는 경우가 많습니다. 사이버 범죄자는 피해자의 손자로 위장하여 교통사고를 당했거나 체포되었다는 등 곤경에 처한 것처럼 가장하여 조부모가 병원비나 보석금을 지불할 수 있도록 돈을 보내달라고 요구합니다. 

표적이 된 피해자는 주문하거나 사용하지 않은 서비스 또는 제품에 대한 청구서를 받습니다. 사기꾼은 피해자가 추가 정보를 요청하거나 요금 청구에 대해 불만을 제기하기 위해 이메일의 링크를 클릭하도록 유도하는 경우가 많습니다. 그러면 피해자에게 계정 확인을 위해 개인 식별 정보(PII)를 제공하라는 메시지가 표시됩니다. 이 개인 정보가 처음부터 사기꾼이 노렸던 정보입니다.

국세청 공무원, 법 집행관 또는 기타 정부 대리인으로 가장한 사기꾼은 표적이 곤경에 처했다고 주장합니다. 세금을 납부하지 않거나 체포 영장이 발부되었다는 이유를 댈 수 있습니다. 일반적으로 사기꾼은 표적에게 모기지 유치권, 압류된 임금 또는 징역형을 피하기 위해 돈을 지불하도록 지시합니다 물론 지불한 금액은 사기꾼의 계좌로 입금됩니다. 

일반적으로 구직자들은 민감한 정보를 잠재적 고용주에게 기꺼이 누설할 수 있습니다. 그러나 사기꾼이 게시한 가짜 채용공고일 경우 지원자는 신원 도용의 피해자가 될 수 있습니다.

사기꾼은 피해자와 낭만적인 관계를 추구하는 척합니다. 피해자의 마음을 얻은 후 사기꾼은 일반적으로 피해자와의 관계를 방해하는 마지막 장애물을 해결하기 위해 돈을 요구합니다. 이 장애물은 엄청난 금액의 빚, 법적 의무 또는 피해자를 방문하기 위한 비행기 티켓 요금일 수 있습니다.

스케어웨어는 공포를 이용해 사람들을 속여 맬웨어를 다운로드하거나 돈을 잃거나 개인 데이터를 제공하도록 유도하는 소셜 엔지니어링 사기입니다.

가짜 바이러스 경고, 가짜 기술 지원 제안 또는 법 집행 사기 등 공포심을 조장하는 프리텍스트가 사용됩니다. 팝업 창을 통해 피해자의 디지털 장치에서 '불법 자료'가 발견되었다고 경고하거나, 온라인 '진단 테스트'를 통해 장치가 손상되었으니 이를 해결하기 위해 (가짜) 바이러스 백신 소프트웨어를 다운로드해야 한다고 하는 경우도 있습니다. 

DMARC는 스푸핑을 방지할 수 있는 이메일 인증 프로토콜입니다. DMARC는 일반적인 보안 침해 지표를 찾아내기 위해 메일의 텍스트와 메타데이터를 모두 분석합니다. 이메일이 스푸핑되면 자동으로 스팸 폴더로 이동되거나 삭제될 수 있습니다.

프리텍스팅은 사람들을 속여 자신의 보안을 침해하도록 유도하므로 프리텍스팅 사기를 탐지하고 적절하게 대응하도록 직원을 교육하면 조직을 보호하는 데 도움이 될 수 있습니다. 전문가들은 직원들이 프리텍스팅과 동료의 정당한 요청을 구분할 수 있도록 실제 프리텍스팅 예제를 기반으로 시뮬레이션을 실행할 것을 권장합니다. 

교육에는 다중 인증(MFA)과 같은 엄격한 인증 조치에 대한 명확한 프로토콜이 포함될 수 있으며, 중요한 정보를 처리하고, 결제를 승인하고, 요청에 응하기 전에 출처를 확인하는 명확한 프로토콜도 포함될 수 있습니다.

추정된 발신자에게 문자를 보내 "제게 이렇게 지시하셨나요?"라고 물어보거나, 또는 서비스 데스크에 "해커의 짓인 것 같나요?"라고 메시지를 보내는 것처럼 간단하게 확인해볼 수 있습니다. 금융 거래 절차에는 대면 또는 직접적인 접촉을 통해 수신 요청을 확인해야 하는 요건이 포함될 수 있습니다.