받은편지함을 스크롤하다가 좋아하는 브랜드나 다른 "신뢰할 수 있는 소스"에서 보낸 이메일을 본다면, 열기 전에 잠시 멈추세요. 2025년에는 피싱 공격의 70% 이상이 브랜드 스푸핑과 관련되었습니다. 이러한 이메일 중 하나에 응답하면 실수로 기기에 멀웨어를 다운로드하거나 금융 사기의 피해자가 되는 등 심각한 결과를 초래할 수 있습니다.
이메일 스푸핑이 무엇인지, 작동 방식, 자신을 보호할 수 있는 방법에 대해 자세히 알아보려면 계속 읽어보세요.
이메일 스푸핑 정의
이메일 스푸핑은 이메일이 친구나 합법적인 조직 등 신뢰할 수 있는 출처에서 보낸 것처럼 보이게 만드는 사기성 기술입니다. 사기꾼은 일반적으로 피싱 공격에서 스푸핑된 이메일 주소를 사용하여 수신자를 속여 중요한 개인 정보를 공유하거나 멀웨어를 설치하는 위험한 링크를 클릭하도록 합니다.
이메일 스푸핑과 피싱
이메일 스푸핑과 피싱은 서로 관련되어 있지만 서로 바꿔 사용할 수는 없습니다. 이메일 스푸핑은 이메일이 신뢰할 수 있는 출처에서 온 것처럼 보이도록 보낸 사람의 주소를 변경하는 행위입니다. 이메일 피싱은 스푸핑된 이메일을 사용하여 수신자를 속여 중요한 정보를 공유하거나 악성 링크를 클릭하거나 악성 코드를 다운로드하도록 하는 사회 공학의 한 형태입니다.
간단히 말해서, 공격자가 두 가지를 함께 배포하는 경우가 많지만 이메일 스푸핑이 반드시 피싱 기술인 것은 아니며 모든 이메일 피싱 시도에 주소 스푸핑이 포함되는 것은 아닙니다.
이메일 스푸핑은 어떻게 작동하나요?
이메일 스푸핑은 실제 사람이나 신뢰할 수 있는 기관의 주소를 모방한 가짜 이메일 주소를 만드는 방식으로 작동합니다. 그런 다음 공격자는 보낸 사람의 주소 및 제목 줄과 같은 이메일 헤더 메타데이터를 변경하고 메시지를 조작한 다음 스푸핑된 이메일을 대상에게 보냅니다.
예를 들어, 범죄자는 IRS를 사칭하여 귀하가 체납된 세금을 주장하는 이메일을 보낼 수 있지만 실제 목적은 귀하의 돈을 훔치는 것입니다.
이메일 스푸핑의 작동 방식은 다음과 같습니다.
- 사기꾼은 가짜 이메일을 만듭니다. 사이버 범죄자는 자신이 사칭하는 사람이나 조직과 매우 유사한 가짜 이메일 주소를 만듭니다.
- 이메일 헤더를 위조합니다. 그런 다음 공격자는 보낸 사람, 회신, 보낸 사람 필드 등 이메일의 헤더 정보를 수정하여 이메일이 신뢰할 수 있는 소스에서 보낸 것처럼 보이게 합니다.
- 이메일 콘텐츠를 작성합니다. 가짜 메시지는 수신자를 속여 그것이 합법적인 것으로 믿게 하고 사기에 연루되도록 제작됩니다.
- 스푸핑된 이메일이 전송됩니다. 충분히 설득력이 있으면 대상이 악성 링크를 클릭하거나 개인 정보를 제공하도록 속일 수 있습니다.
스푸핑된 이메일의 모습을 보여주는 그래픽.
사기꾼이 이메일을 스푸핑하는 이유
사기꾼은 이메일 스푸핑을 사용하여 수신자를 속여 메시지가 신뢰할 수 있는 소스에서 보낸 것이라고 믿게 만듭니다. 이를 통해 민감한 정보를 도용하거나 악성 코드를 확산시키거나 금전적 이득을 위해 사기를 저지르는 일이 더 쉬워집니다.
이메일 스푸핑이 발생하는 가장 일반적인 이유는 다음과 같습니다.
- 피싱:공격자는 신뢰할 수 있는 개인이나 조직을 사칭하여 피해자를 조종하여 로그인 사용자 인증 정보, 돈이나 기프트 카드 보내기, 악성 코드 다운로드 등 민감한 정보를 공개할 수 있습니다.
- 허위 정보 유포:악의적인 행위자가 이메일을 스푸핑하여 허위 정보와 가짜 뉴스를 퍼뜨릴 수 있습니다. 이는 사칭한 조직이나 개인의 평판을 손상시킬 수 있습니다.
- 이메일 필터 우회:신뢰할 수 있는 이메일 구조와 도메인을 모방하여 스푸핑된 이메일이 이메일 스팸 필터를 회피할 수 있는 경우가 있습니다.
- 익명 유지:이메일 스푸핑을 통해 사기꾼은 자신의 실제 신원을 숨긴 채 공격을 수행할 수 있습니다. VPN과 같은 정교한 기술과 결합하면 스푸핑을 추적하기 어려울 수 있습니다.
- 멀웨어 확산:스푸핑된 이메일에는 피해자의 기기에 멀웨어를 설치하는 악성 첨부 파일이나 링크가 포함되어 있어 공격자가 데이터를 훔치거나 시스템에 무단으로 액세스할 수 있습니다.
- 금융 사기:사이버 범죄자는 임원, 동료 또는 공급업체의 이메일 주소를 스푸핑하여 피해자를 속여 가짜 청구서를 지불하거나 결제 세부정보를 변경하도록 할 수 있습니다.
LastPass 사용자를 대상으로 한 최근 피싱 캠페인은 사기꾼이 로그인 자격 증명을 훔치기 위해 이메일을 스푸핑하는 방법을 보여줍니다. 공격자들은 실제 사이트를 모방한 가짜 로그인 페이지 링크를 포함하여 합법적인 지원 통신으로 보이는 메시지를 보냈습니다. 피해자들은 자신의 계정을 "보호"하기 위해 신속하게 조치를 취할 것을 촉구받았지만, 자신의 세부 정보를 입력한 사람은 자신의 자격 증명을 사이버 범죄자에게 직접 넘겨줄 위험이 있었습니다.
2024년 피싱 및 스푸핑 사기로 인해 손실된 금액을 보여주는 그래픽.
이메일 스푸핑 공격의 일반적인 유형
이메일 스푸핑에는 상사, 정부 기관, 유명 브랜드 등 신뢰할 수 있는 인물을 사칭하는 경우가 많습니다. 이러한 메시지는 일반적으로 귀하가 신속하게 조치를 취하도록 압력을 가하는 긴급성 또는 권위에 의존합니다. 다음은 주의해야 할 가장 일반적인 유형 중 일부입니다:
- CEO 사기:공격자는 회사 임원의 이메일 주소를 스푸핑하고 직원에게 긴급 요청을 보내 종종 은행 송금이나 기프트 카드 구매를 요구합니다. 메시지가 고위 권위자로부터 전달된 것으로 나타나므로 직원은 요청을 확인하지 않고 조치를 취할 수 있습니다.
- 가짜 송장 사기:사기꾼은 공급업체, 계약자 또는 서비스 제공업체를 사칭하여 결제를 요청하는 스푸핑 송장을 보냅니다. 이러한 이메일에는 변경된 결제 세부정보가 포함되어 자금이 합법적인 사업체 대신 공격자에게 리디렉션될 수 있습니다.
- 계정 확인 사기:스푸핑된 이메일은 계정에 문제가 있다고 주장하며 신원을 확인하거나 비밀번호를 재설정하도록 요청합니다. 일반적으로 자격 증명을 캡처하도록 설계된 가짜 로그인 페이지에 대한 링크가 포함되어 있습니다.
- 정부 사칭 사기:공격자는 IRS 등 정부 기관이나 기타 공식 기관의 이메일 주소를 스푸핑할 수 있습니다. 이러한 메시지는 귀하가 지불해야 할 금액이 있다고 주장하거나, 세금 정보를 확인해야 하거나, 긴급한 법적 문제에 응답해야 한다고 주장하는 경우가 많습니다.
- 브랜드 스푸핑:사이버 범죄자는 잘 알려진 회사를 사칭하여 수신자가 악성 링크를 클릭하거나 감염된 첨부 파일을 다운로드하도록 속입니다. 일반적인 예로는 Geek Squad와 같은 합법적인 브랜드를 사칭하는 Amazon 사기 및 사기 기술 지원 이메일이 있습니다.
- 비밀번호 재설정 사기:공격자는 인기 있는 플랫폼에서 스푸핑된 비밀번호 재설정 알림을 보내 사용자가 사기성 웹사이트에서 로그인 자격 증명을 입력하도록 속입니다.
- 내부 IT 사칭:직장 환경에서 사기꾼은 IT 관리자의 이메일 주소를 스푸핑하고 회사 계정을 손상시키기 위해 로그인 사용자 인증 정보, MFA 코드 또는 시스템 액세스를 요청할 수 있습니다.
스푸핑된 이메일을 식별하는 방법
스푸핑된 이메일을 식별하는 가장 효과적인 방법은 이메일 주소의 불규칙성을 찾고, 보낸 사람의 표시 이름과 이메일 주소 간의 불일치를 식별하고, 메시지에서 불필요한 긴급성을 감지하고, 보안 프로토콜 검사에서 오류를 찾아내는 것입니다.
스푸핑된 이메일이 받은편지함에 도착했다는 다음 징후를 주의깊게 살펴보세요.
- 의심스러운 이메일 주소:약간의 철자 오류, 추가 문자 또는 발신자가 대표한다고 주장하는 조직과 일치하지 않는 비정상적인 도메인이 있는지 확인하세요.
- 표시 이름과 이메일 주소 불일치:표시 이름은 친숙해 보이지만 실제 이메일 주소가 주장된 발신자와 일치하지 않는 경우 주의하세요.
- 긴박감:잘못된 긴박감을 조성하는 것은 일반적인 사기꾼 전술입니다. 그들은 종종 계정 폐쇄나 법적 처벌을 위협하면서 수신자에게 신속하게 조치를 취하도록 압력을 가합니다.
- 보안 프로토콜 실패:SPF, DKIM, DMARC 등 인증 확인 실패에 대한 이메일 클라이언트의 경고를 찾아보세요. 이는 이메일이 스푸핑되었음을 나타낼 수 있습니다.
이메일 스푸핑 위험
공격자는 신뢰할 수 있는 소스를 가장하여 사용자가 자신이나 조직의 보안을 손상시키는 조치를 취하도록 조작할 수 있습니다. 스푸핑된 이메일에 답장할 경우 어떤 결과가 발생하는지 자세히 살펴보겠습니다.
- 신원 도용:스푸핑된 이메일은 피해자를 속여 주민등록번호나 로그인 자격증명과 같은 개인정보를 제공하도록 유도할 수 있으며, 이를 통해 공격자는 이를 이용해 신원을 도용하고 사기를 저지를 수 있습니다.
- 금융 사기:피해자가 결제 또는 은행 세부정보가 포함된 스푸핑 이메일에 응답하면 돈을 잃을 수 있습니다.
- 멀웨어 감염:스푸핑된 이메일의 링크를 클릭하거나 첨부 파일을 열면 기기에 악성 소프트웨어가 설치되어 공격자가 민감한 정보에 액세스할 수 있게 됩니다.
- 데이터 침해:손상된 자격 증명이나 스푸핑된 이메일을 통해 획득한 무단 액세스는 대규모 데이터 침해로 이어질 수 있으며 민감한 회사 또는 고객 정보가 노출될 수 있습니다.
2025년에 사기꾼들은 일반 공급업체에서 온 것처럼 보이는 스푸핑 이메일을 보내 녹스 카운티 정부 기관으로부터 750,000달러 이상을 훔쳤습니다. 보낸 사람의 주소를 약간 변경하면 직원이 은행 라우팅 정보를 업데이트하도록 속여 공격자가 자금을 리디렉션할 수 있습니다. 따라서 이메일에 응답하기 전에 보낸 사람의 주소를 확인하여 사기를 당하지 않았는지 확인하는 것이 좋습니다.
이메일 스푸핑으로부터 보호하는 방법
스푸핑된 이메일을 식별하는 방법을 아는 것이 해당 이메일이 제기하는 위험으로부터 자신을 보호하는 첫 번째 단계입니다. 그러나 가짜 이메일이 너무 정교해서 뚜렷한 위험 신호가 없는 경우도 있습니다. 다음은 안전을 유지하는 데 도움이 되는 몇 가지 추가 정보입니다:
사용자의 경우:
- 서두르지 마세요. 이메일이 합법적인지 확실하지 않다면 시간을 내어 검토해 보세요. 긴급하거나 위협적인 언어로 인해 신속하게 행동하도록 압력을 가하지 마세요.
- 클릭하지 마세요:확실하지 않은 경우 링크를 클릭하거나 첨부파일을 다운로드하지 마세요. 스푸핑된 이메일에는 악성 웹사이트나 멀웨어에 대한 링크가 포함되어 있는 경우가 많습니다.
- 대응하지 마세요:모든 스푸핑 공격이 멀웨어에 의존하는 것은 아닙니다. 일부는 정보나 돈을 직접 추출하는 것을 목표로 합니다. 메시지에 기재된 연락처에 응답하거나 전화하지 마세요.
- 다른 채널을 통해 확인:발신자가 낯익은 것 같지만 뭔가 기분이 좋지 않다면 전화, 문자 메시지, 회사 웹사이트의 공식 연락처 정보 등 별도의 채널을 통해 확인하세요.
- 바이러스 백신 소프트웨어 사용:최고의 바이러스 백신 소프트웨어는 스푸핑된 이메일과 관련된 피싱, 멀웨어, 신원 도용을 방지하는 데 도움이 될 수 있습니다.
도메인 소유자의 경우:
- SPF, DKIM 및 DMARC 구현:이러한 이메일 인증 프로토콜은 공격자가 도메인을 스푸핑하는 것을 방지하고 의심스러운 활동을 경고하는 데 도움이 됩니다.
- 무단 사용 모니터링:이메일 활동을 정기적으로 검토하고 도메인이 스푸핑되거나 오용되고 있다는 징후를 감시하세요.
- 직원 교육:금전적이거나 민감한 요청에 응답하기 전에 스푸핑된 이메일을 인식하고 적절한 확인 절차를 따르도록 직원을 교육합니다.
- 알림 설정:인증 확인 실패 또는 기타 의심스러운 활동을 관리자에게 알리도록 이메일 시스템을 구성하세요.
스푸핑된 이메일에 속은 경우 취해야 할 조치
가장 주의 깊은 사용자라도 때때로 스푸핑된 이메일에 빠질 수 있습니다. 신속하게 조치를 취하면 피해를 제한하고 계정과 개인 정보를 보호하는 데 도움이 됩니다. 사기 이메일을 받은 경우 다음 단계를 따르세요.
- 비밀번호 변경:각 계정에 대해 강력하고 고유한 비밀번호를 사용하여 노출되었을 수 있는 모든 계정의 비밀번호를 즉시 업데이트합니다.
- 금융 기관에 문의:민감한 결제 정보가 손상되었을 수 있는 경우 은행, 신용 카드 회사 또는 기타 금융 기관에 알립니다.
- 기기에서 맬웨어 검사:스푸핑된 이메일과 상호작용한 모든 기기에서 전체 바이러스 백신 또는 맬웨어 방지 검사를 실행하여 잠재적인 위협을 탐지하고 제거합니다.
- 사고 신고:해당하는 경우 IT 부서에 알리고 이메일 제공업체, 명의를 도용한 회사, 정부 사이버 보안 기관 등 관련 당사자에게 이메일을 신고하세요.
Norton으로 의심스러운 이메일 탐지
아무리 주의를 기울여도 스푸핑된 이메일과 기타 악성 메시지가 여전히 받은 편지함에 도착할 수 있습니다. Norton 360 Deluxe는 안전하지 않은 자동 링크 감지 및 휴리스틱 위협 감지 엔진을 통해 지능형 스푸핑 공격에 대한 견고한 방어 계층을 제공하여 악성 프로그램 공격이 손상되기 전에 차단하도록 도와줍니다.
FAQ
이메일 스푸핑은 불법인가요?
예, 사기 행위, 개인 정보 도용 또는 사이버 공격 실행에 사용되는 이메일 스푸핑은 불법입니다. 미국 컴퓨터 사기 및 남용법(CFAA) 및 사기 방지법과 같은 법률은 악의적인 목적으로 온라인에서 누군가를 사칭하는 것을 범죄로 규정합니다.
그러나 스푸핑 자체는 일반적으로 본질적으로 불법이 아닙니다. 예를 들어 사기나 피해가 관련되지 않는 한 테스트나 역할극을 위해 가짜 이메일을 사용하는 것은 일반적으로 허용됩니다.
누군가가 내 계정에 액세스하지 않고 내 이메일 주소를 스푸핑할 수 있나요?
예, 누군가 귀하의 계정에 로그인하지 않고도 귀하의 이메일 주소를 스푸핑할 수 있습니다. 공격자는 이메일 헤더를 조작하여 메시지가 사용자의 주소에서 전송되지 않았음에도 불구하고 마치 사용자의 주소에서 전송된 것처럼 보이게 합니다. 귀하의 계정은 안전하게 유지되지만 사기꾼은 여전히 귀하의 주소를 사용하여 다른 사람의 신뢰를 얻으려고 할 수 있습니다.
스푸핑된 이메일을 스팸 필터로 차단할 수 있나요?
스팸 필터는 특히 발신자가 SPF, DKIM 또는 DMARC와 같은 인증 확인에 실패한 경우 스푸핑된 이메일을 많이 찾아낼 수 있습니다. 그러나 일부 스푸핑된 메시지는 이러한 필터를 우회하고 합법적인 것처럼 보일 만큼 정교합니다. 필터는 위험을 줄여주지만 완벽하지는 않으므로 링크를 클릭하거나 정보를 공유하기 전에 경고 신호를 감시하고 의심스러운 이메일을 확인하는 것이 여전히 중요합니다.
- 올리버 벅스턴
- 직원 사이버보안 편집자
Norton의 전속 편집자인 Oliver Buxton은 지능형 지속 위협을 전문으로 다루고 있습니다. 사이버 테러에 대한 그의 작업은 The Times에 게재되었으며 이전 작업에는 디지털 보호 정책 작성이 포함됩니다.
편집자 주: 우리 기사는 교육 정보를 제공하며 사이버 안전의 중요한 주제에 대한 인식을 높이기 위해 작성되었습니다. Norton 제품 및 서비스는 당사가 언급하는 모든 유형의 위협, 사기 또는 범죄로부터 보호되지 않을 수 있습니다. 기사를 조사하고 작성하고 검토하는 방법에 대한 자세한 내용은 편집 정책을 참조하세요.