피싱은 신뢰하는 상대인 척하며 가짜 사이트로 유인하는 것입니다. 유형과 더 믿을 수 있는 방어법을 설명합니다(공격 절차 없음).
동작 원리: 소프트웨어 결함이 아니라 사람의 판단을 노린다
XSS나 SQL 인젝션이 소프트웨어의 결함을 악용하는 반면, 피싱은 사람의 판단을 악용합니다. "계정이 정지되었습니다"나 "긴급 — 지금 확인하세요" 같은 메시지는 긴급함, 권위, 두려움을 이용해 멈춰서 생각할 순간을 빼앗고, 픽셀 단위로 완벽한 가짜 사이트로 유인해 비밀번호를 입력하게 만듭니다. 기술적 취약점이 전혀 없는 사이트라도 사용자가 속으면 자격 증명이 유출됩니다.
유형 (이름은 달라도 사칭해 유인하는 방식은 같다)
대량 피싱
많은 사람에게 뿌림
스피어 피싱
특정 개인/조직을 노림
BEC
거래처/임원을 사칭해 송금을 지시
스미싱
SMS를 통해
비싱
전화를 통해
AiTM
로그인을 실제 사이트로 중계, MFA 무력화
이름은 달라도 핵심은 같습니다. 신뢰를 위장해 유인하는 것입니다. 특히 **BEC(비즈니스 이메일 침해)**는 악성코드가 전혀 없이도 — 그저 "거래처에서 온 것처럼 보이는 송금 요청"만으로 — 큰 금전 손실을 일으킵니다. 기술이 아니라 업무 프로세스 확인으로 막는 유형입니다.
피싱 vs 스팸 vs 사칭 메일 vs 기술 지원 사기
헷갈리기 쉬운 용어를 나란히 놓았습니다. 서로 겹치지만 목적이 다릅니다.
| 용어 | 목적 | 전형적인 형태 |
|---|---|---|
| 피싱 | 인증 정보나 카드 정보를 훔치거나 악성코드를 실행시킴 | 기업을 사칭한 메일이나 SMS로 가짜 로그인 페이지에 유도 |
| 스팸 | 광고나 사기 링크를 대량 발송 | 원치 않는 광고 메일. 피싱이 섞이기도 함 |
| 사칭 메일 | 보낸 사람을 위장(목적이 아니라 수법) | 실제 도메인이나 인물을 사칭. 피싱과 BEC에 쓰임 |
| 기술 지원 사기(가짜 경고) | 전화를 걸게 한 뒤 돈이나 원격 접속을 요구 | "PC가 감염되었습니다"라는 화면과 전화번호 |
사칭은 수법이고, 피싱은 그 수법을 쓰는 사기입니다. 내 도메인이 사칭되지 않게 하려면 SPF, DKIM, DMARC 설정을, 가짜 경고에 대해서는 기술 지원 사기 대처법(영문)을 참고하세요.
사례: 일본의 현황과 사고
일본 피싱 대책 협의회에 접수된 2025년 피싱 신고는 2,454,297건으로 역대 최다였고, 2024년의 약 1.43배였습니다.
피싱은 사고의 침입 경로가 되기도 했습니다. KADOKAWA 랜섬웨어 사고(2024)에서는 직원을 노린 피싱으로 도난당한 인증 정보가 침입 경로로 설명되었습니다. Coincheck NEM 유출 사고(2018)에서는 직원에게 보낸 메일이 첫 단계로 보고되었습니다. 또 유출 사고가 난 회사의 이름을 쓴 가짜 메일이 곧이어 돌기 쉽습니다(예: 메디카 출판 사례(영문)).
방어: 경계심이 아니라 메커니즘으로 막아라
피싱에 강한 MFA 사용 (가장 중요)
가짜 사이트에 반응하지 않는 메커니즘이 가장 믿을 수 있는 방어입니다. 패스키 / 하드웨어 보안 키(FIDO2) 는 도메인에 묶여 있어, 가짜 도메인에서는 인증이 애초에 완료될 수 없습니다 — 중간자(AiTM)조차 중계하지 못합니다. SMS/인증 앱 코드는 중계될 수 있으니, 가장 중요한 계정(이메일, 도메인, 결제)부터 먼저 강한 MFA로 옮기세요(→ MFA 고르기).
링크를 클릭하지 말고 직접 공식 사이트로
이메일이나 SMS의 링크를 누르지 말고, 북마크나 주소 직접 입력으로 공식 사이트에 도달하세요. "계정 확인", "결제", "배송"을 사칭하는 메시지일수록 그 링크가 아니라 스스로의 방식으로 열어야 합니다.
기술로 이메일 위장 차단
도메인의 SPF/DKIM/DMARC 를 올바르게 설정해, 당신의 도메인을 사칭한 위장 메일이 수신 측에서 거부되게 하세요(→ SPF/DKIM/DMARC란). 비밀번호 관리자는 가짜 도메인에서는 자동 입력하지 않으므로, "자동 입력이 안 됐다"는 것 자체가 가짜 사이트라는 단서입니다.
긴급함/권위 앞에서 멈추고, 결제는 별도 채널로 검증
"지금 당장", "임원으로부터", "당신이 막을 수 있다" — 그 압박이 사기의 신호입니다. 재촉당할 때일수록 멈추세요. 결제나 자격 증명이 관련된 요청은 행동하기 전에 전화 같은 별도 채널로 본인을 확인하세요(BEC 방어에서 가장 중요한 점).
쉽게 무력화됨
비밀번호와 SMS/인증 앱 코드만. 픽셀 단위로 완벽한 가짜 사이트가 코드를 중계하면(AiTM), 신중한 사람도 자격 증명을 빼앗깁니다. "나는 알아챌 수 있다"를 가정하는 방어입니다.
실제로 막아냄
도메인에 묶인 패스키/하드웨어 키. 가짜 도메인에서는 인증이 완료될 수 없어, 속은 사용자도 침해되지 않습니다. "알아채지 못해도 안전한" 메커니즘입니다.
본 사이트의 견해: '조심하기'는 방어 전략이 아니다
피싱에 대해 "직원 교육"과 "인식 제고"에만 기대는 것은 위태롭다고 봅니다. 중간자(AiTM)가 일상이 된 지금, 아무리 신중한 사람이라도 픽셀 단위로 완벽한 가짜 사이트와 코드 중계를 확실히 알아챌 수는 없습니다. 인식은 도움이 되지만 주된 방어가 될 수는 없습니다. 의지할 것은 메커니즘입니다. 가장 중요한 계정부터 도메인에 묶인 피싱에 강한 MFA 를 도입하세요. 사람이 가짜를 알아채도록 교육하기보다, 알아채지 못해도 안전한 설계에 투자하는 편이 효과적입니다.
스스로 확인하는 방법
내 도메인의 이메일 인증을 확인한다
SPF / DKIM / DMARC 검사에 도메인을 입력해 세 가지가 모두 설정되어 있는지, DMARC 정책이 아직 p=none에 머물러 있지 않은지 확인합니다.
메일의 인증 결과와 도메인을 본다
Gmail은 "원본 보기", Outlook은 메시지 소스 보기에서 Authentication-Results 헤더의 spf=, dkim=, dmarc=를 찾습니다. 통과했더라도 보낸 사람의 도메인이 실제 회사의 것인지는 따로 확인하세요.
비밀번호 관리자의 자동 입력을 신호로 쓴다
로그인 정보를 저장해 둔 사이트인데 비밀번호 관리자가 자동 입력하지 않는다면 도메인이 다를 수 있습니다. 무엇이든 입력하기 전에 주소창의 도메인을 확인하세요.
주요 계정의 MFA 종류를 확인한다
이메일, 클라우드, 결제, 도메인 등록 업체 계정의 보안 설정에서 패스키나 하드웨어 키를 지원하는지 확인하고, 지원하는 곳부터 바꾸세요.
"나는 속지 않는다"는 생각이 가장 위험한 믿음
피싱 방어에서 가장 큰 실수는 "나는 알아챌 수 있다"는 과신입니다. 중간자(AiTM)는 픽셀 단위로 완벽한 화면을 보여 주고, 입력한 비밀번호와 일회용 코드를 그 자리에서 실제 사이트로 중계합니다. 다시 말해, 신중하게 올바른 코드를 입력해도 그 올바른 코드까지 탈취됩니다. 그러므로 "알아채려는 경계심"에 방어의 기초를 두는 것 자체가 실수이며, 옳은 길은 메커니즘으로의 전환, 즉 가짜 도메인에서는 완료될 수 없는 인증(피싱에 강한 MFA)입니다. "조심하기"에서 멈추기를 거부하는 것이 현대 피싱 방어의 출발점입니다.
출처(1차 자료)
- 피싱 대책 협의회, "피싱 리포트 2026"(일본어) — antiphishing.jp(2025년 신고 건수, DMARC를 통과하는 공격자 소유 도메인의 증가)
- 피싱 대책 협의회, "피싱 신고"(일본어) — antiphishing.jp
- APWG, "Report Phishing" — apwg.org
- NIST SP 800-63B-4, "Digital Identity Guidelines: Authentication and Authenticator Management" — pages.nist.gov(피싱에 강한 인증의 정의)
다음으로 읽기
- 학습: 올바르게 MFA 고르기 (피싱에 강한 MFA란 무엇인가)
- 용어집: SPF/DKIM/DMARC란 (기술로 위장 메일 차단)
- 용어집: 랜섬웨어란 (피싱이 그 최대 진입 경로)
- 학습: 비밀번호를 안전하게 저장하기 (탈취된 자격 증명의 악용 막기)
- 용어집: 오픈 리디렉션이란 (정당한 도메인을 악용해 사용자를 가짜 사이트로 보냄)
- 사례: 코인체크 NEM 유출 사건(2018) (직원 대상 스피어 피싱이 약 580억 엔 규모 암호화폐 탈취의 첫 단계로 보도됨)
- 사례: 부킹닷컴 예약 정보 유출(2026) (정확한 예약 정보를 담은 숙소 사칭 메시지)