웨일링 공격: 경영진이 표적형 피싱으로 수백만 달러를 잃는 방법

주요 수법

• • 공격자가 최적의 공격 시점과 현실적인 시나리오를 파악하기 위해 경영진의 달력, 여행 일정, 강연 참석, 소셜 미디어 게시물을 수개월에 걸쳐 조사하는 심층 정찰 활동.
• • 거의 동일한 도메인(예: 'examp1e.com' 대신 'example.com') 또는 알려진 비즈니스 파트너의 손상된 계정을 사용한 이메일 스푸핑 및 도메인 사칭으로 이메일 클라이언트에서 정당해 보이는 메시지 전송.
• • 허위 법무 문제, 비밀 인수합병 협상, 시간이 중요한 규제 준수 문제 또는 긴급 공급업체 지불과 관련된 정교한 배경 스토리 작성으로 정상적인 승인 절차를 우회하는 것을 정당화.
• • 경영진이 여행 중, 컨퍼런스 참석 중 또는 대면 검증이 불가능한 동안 공격을 시간 조정하여 모바일 기기를 통해 서둘러 응답할 가능성이 높다는 것을 알고 있음.
• • 초기 접촉이 무해한 비즈니스 논의를 통해 신뢰를 구축한 후 의심을 피하기 위해 며칠 또는 수주에 걸쳐 점차적으로 사기성 요청을 도입하는 다단계 사회공학.
• • CEO를 사칭하여 CFO를 표적으로 하거나 이사회 멤버를 사칭하여 CEO를 표적으로 함으로써 조직 계층 구조를 악용하며, 권위의 심리적 압박을 활용하여 의문과 검증을 억제.

식별 방법

• 확립된 보안 통신 채널이 아닌 이메일을 통해 도착하는 송금, 자격증명 재설정 또는 기밀 정보에 대한 긴급 요청, 특히 시간이 중요하거나 기밀 표시가 있을 때.
• 문자 치환(예: 'rn' 대신 'm'), 추가 하이픈 또는 대체 최상위 도메인(예: '.co' 대신 '.com')과 같은 발신인 주소의 미묘한 도메인명 불일치로 언뜻 보기에 동일해 보임.
• 확립된 회사 프로토콜을 위반하고, 승인 워크플로우를 무시하거나, 정상적으로 관여했을 재무 팀, 법무 부서 또는 다른 경영진으로부터 거래를 비밀로 유지하도록 요청하는 내용.
• 발신인의 전형적인 커뮤니케이션 스타일과 다른 비정상적으로 정중하거나 비정중한 언어, 그리고 발신인이 개인적으로 알아야 할 경우 '친애하는 경영진' 같은 일반적인 인사말 대신 실제 이름 부재.
• 발신인이 여행 중이거나 회의 중이거나 달리 이용 불가능한 것으로 알려진 동안 수신된 메시지(홀수 시간), 특히 발신인이 보조관이 아닌 개인적으로 긴급 문제를 처리하고 있다고 주장할 때.
• 극단적 긴급성, 기밀 요구사항 또는 지연의 잠재적 부정적 결과를 강조하는 압박 전술, 특히 개인 이메일 사용, 문자로 응답, 정상적인 비즈니스 시스템 외부 통신 요청과 결합될 때.

자신을 보호하는 법

• 지정된 임계값 이상의 모든 송금 및 재정 거래에 대해 의무적 이중 인증 프로토콜을 구현하며, 요청 처리 전에 알려진 전화번호(이메일에서 제공된 번호가 아님)를 통한 음성 확인 필요.
• 경영진, 이사회 멤버 및 주요 비즈니스 파트너와 함께 코드 워드 또는 검증 구문을 설정하여 비정상적인 재정 요청을 하거나 정상적인 채널 외부에서 민감한 정보를 요청할 때 사용.
• 외부 이메일에 플래그를 지정하고, 도메인 스푸핑을 확인하고, 헤더 정보를 분석하여 인증 실패를 감지하고, 경영진에게서 온다고 주장하지만 외부 출처에서 생성된 이메일을 경고하는 고급 이메일 보안 솔루션 배포.
• 보안 팀이 경영진과 이사회 멤버에게 현실적인 표적 피싱 이메일을 보내고 응답률을 추적하며 실패 테스트를 한 사람들에게 즉시 교육을 제공하는 분기별 웨일링 시뮬레이션 연습 실시.
• 조직 내에서 사칭할 수 없는 보호된 연락처 목록을 생성하여 CEO 또는 기타 경영진으로부터 온다고 주장하는 이메일이 검증된 계정에서 생성되거나 외부로 명확하게 표시되도록 보장.
• 경영진이 매우 민감한 통신을 위해 별도의 이메일 계정을 유지하도록 요구하고, 웨일링 전술에 특별히 초점을 맞춘 의무적 보안 인식 교육을 구현하며, 요청이 정당해 보이더라도 이상해 보일 때 명확한 에스컬레이션 절차를 수립.

실제 사례

신고 채널 — 대한민국

귀하의 지역에서 이 사기를 신고할 수 있는 공식 채널.