[상식 UP 뉴스] ‘찍히면 털린다’ 스피어피싱이란?

“북한 정권과 연계된 것으로 추정되는 해커가 ‘경찰청 홍보팀’을 사칭해 악성 코드가 담긴 이메일을 유포한 정황이 파악돼 경찰이 수사에 나선 것으로 알려졌다. (중략) 이 매체는 범행 수법이 ‘스피어피싱(Spear Phishing)’으로 공격 대상의 이메일 계정과 비밀번호를 탈취하기 위한 것으로 보인다고 전했다.”

- 3월 28일 본지 기사 『北 추정 해커, ‘경찰청 홍보팀’ 사칭 악성코드 이메일 유포』 中

스피어피싱(Spear Phishing)이란 특정인의 개인정보를 빼내기 위해 행해지는 해커의 공격을 말합니다. 물속에서 작살을 이용해 물고기를 잡는 작살 낚시(Spearfishing)에서 유래한 용어이지요.

주로 정부 고위간부, 군인 같은 공인 또는 유명인이 범행 대상이 되는데요. 해커는 피해자가 신뢰할만한 친구, 가족, 단체 등의 이메일 주소를 도용해 ID, 패스워드, 거래정보를 빼냅니다. 또한 이메일에 첨부된 파일이나 URL을 통해 피해자 PC에 악성코드를 설치하기도 합니다.

불특정 다수의 개인정보를 훔치는 일반적인 피싱과 달리, 국가기관이나 주요 기업의 특정 기밀정보를 탈취해 조직 전체에 피해를 입힐 수 있다는 점에서 스피어피싱은 특히 위협적인데요. 실제로 2016년 3월 국내 한 대기업에서는 교묘한 수법의 스피어피싱에 속아 240억 원의 피해를 입은 바 있습니다.

스피어피싱 피해를 막으려면? 조금이라도 의심스러운 경우 첨부 파일 및 URL 클릭은 삼가며, 필요 시 전화 등으로 사실 확인을 하는 게 좋습니다. 이중 확장자(.doc.lnk 등)로 된 파일은 사기 가능성이 매우 높으니 열지 않는 게 바람직. 발신자의 도메인이 정확한지도 확인해야 하지요.