스피어 피싱 완벽 가이드: 정의, 공격 방식, 실제 사례까지

스피어 피싱(spear phishing)이란?

스피어 피싱은 특정 개인이나 소규모 집단을 겨냥해 고도로 맞춤화된 피싱 공격 유형입니다. 스피어 피셔는 소셜 엔지니어링 기법을 활용해 대상에 대해 미리 조사한 정보를 바탕으로, 민감한 정보를 넘기거나 악성 링크를 클릭하게 하고, 심지어 멀웨어를 다운로드하도록 유도합니다.

대상의 직업, 성명, 생년월일, 업무 관심사, 인터넷 사용 습관 같은 개인 정보를 알면 공격자는 훨씬 그럴듯한 시나리오를 만들 수 있고, 결과적으로 사기를 알아차리기가 더 어려워집니다.

대량 발송되는 일반 피싱 메일과 달리, 스피어 피싱 메시지는 진짜처럼 느껴지고 친숙하게 보입니다. 그리고 이러한 개인화는 실제로 효과가 있습니다. 사이버보안 기업 Barracuda가 350만 개 받은 편지함에서 총 500억 통의 이메일을 분석한 결과에 따르면, 스피어 피싱은 전체 이메일의 0.1% 미만에 불과했지만 침해 사고의 66%를 유발한 것으로 나타났습니다.

지금부터 스피어 피싱이 무엇인지, 어떻게 작동하는지, 그리고 자신을 보호하는 방법까지 자세히 살펴보겠습니다.

스피어 피싱의 작동 방식

사이버보안 분야에서 스피어 피싱은 개인 정보를 활용해 합법적으로 보이는 맞춤형 메시지를 만들고, 특정 대상 한 사람의 신뢰를 얻는 방식으로 작동합니다.

일반적인 공격 과정은 다음과 같습니다.

공격자가 표적을 선정합니다: 공격자는 누구를 노릴지, 무엇을 얻으려 하는지 결정합니다. 특정 계정이나 시스템 접근 권한, 금융 정보, 심지어 주민등록번호 같은 것들이 목표가 될 수 있습니다.
공격자가 정보를 수집합니다: 공개된 정보, 데이터 유출 자료, 소셜 미디어 등을 통해 표적을 조사하여 공격의 신뢰도를 높일 세부 정보를 파악합니다. 직무, 일과, 가족 구성원 등을 찾아보기도 합니다.
공격자가 메시지를 작성합니다: 수집한 정보를 바탕으로 관련성 있고 믿음직스럽게 보이는 개인화 메시지를 만들고, 흔히 신뢰할 만한 지인, 기관, 당국자를 사칭하여 표적의 경계심을 낮춥니다.
메시지가 발송됩니다: 공격자는 이메일, 문자 메시지(스미싱), 전화(비싱), 소셜 미디어 플랫폼 등 표적이 평소 자주 사용하는 채널로 메시지를 전달합니다.
수신자가 반응합니다: 함정에 빠지면 악성 웹사이트로 연결되는 링크를 클릭하거나, 멀웨어에 감염된 첨부 파일을 열거나, 민감한 정보를 답장으로 보내게 될 수 있습니다.
데이터가 탈취됩니다: 공격자는 이 상호작용을 이용해 로그인 자격 증명, 금융 정보 등 민감한 데이터를 확보하고, 이를 계정 탈취, 금융 사기, 신원 도용 또는 추가 공격에 사용합니다.

스피어 피싱 캠페인의 성공 여부는 공격에 얼마나 많은 조사와 맞춤화가 들어갔는지에 크게 좌우됩니다. 양보다 질에 집중하는 특성 때문에 해커 활동가(hacktivist)나 국가 후원 해킹 조직이 스피어 피싱 공격 배후로 지목되기도 합니다.

스피어 피싱 공격의 작동 방식을 보여주는 그림

피싱 vs. 스피어 피싱 vs. 웨일링: 차이점 비교

피싱, 스피어 피싱, 웨일링의 가장 큰 차이는 누가 표적인지, 그리고 왜 표적이 되었는지에 있습니다. 피싱은 대규모 집단을, 스피어 피싱은 특정 개인이나 아주 작은 집단을, 웨일링은 고가치 단일 표적 하나를 겨냥합니다.

각각의 차이를 자세히 살펴보겠습니다.

피싱(phishing): 공격자가 다수의 수신자에게 일괄적인 메시지를 보내며, 개인화보다 발송량에 의존합니다. 메시지는 특정 개인에게 맞춰져 있지 않으며, 주로 로그인 자격 증명, 결제 정보 등 기본적인 정보 탈취를 노립니다. 개인당 피해 규모는 작을 수 있지만, 캠페인 전체로는 광범위한 피해를 일으킬 수 있습니다.
스피어 피싱(spear phishing): 특정 개인이나 소규모 집단을 표적으로 삼고, 직무, 관계, 최근 활동 등 알려진 정보를 활용해 메시지를 개인화합니다. 메시지가 더 관련성 있고 신뢰할 만하게 보이기 때문에 성공률이 높으며, 계정 탈취, 신원 도용, 표적형 금융 사기로 이어질 수 있습니다.
웨일링(whaling): 임원이나 최고 의사결정권자 같은 고가치 인물에게 초점을 맞춘 고도로 표적화된 스피어 피싱 형태입니다. 권한과 접근 권한을 악용하도록 설계되며, 대규모 금전 거래 유도, 민감한 기업 데이터 유출, 핵심 시스템 장악 등을 시도하는 경우가 많습니다.

세 공격 모두 누군가를 속여 접근 권한을 얻거나 민감한 정보를 빼내려는 의도는 같지만, 표적화 수준에 따라 사기를 알아차리는 난이도와 피해의 심각성이 달라집니다.

실제 스피어 피싱 사례

다음은 스피어 피셔가 표적화된 메시지를 통해 시스템에 침입하고, 금전을 탈취하고, 민감한 데이터를 유출한 실제 사례들입니다.

고객 지원팀을 노린 피싱 캠페인

2025년에 적발된 공격에서 스피어 피셔들은 한 제조업체 지원팀의 이메일 주소로 은행을 사칭하는 가짜 이메일을 보냈습니다. 이 메시지에는 정당한 결제 요청처럼 보이는 내용이 ZIP 파일 형태로 첨부되어 있었습니다.

수신자가 첨부 파일을 열자 기기에 스파이웨어가 설치되었습니다. 이 멀웨어는 은밀히 키 입력을 기록하고 저장된 비밀번호 등 민감한 데이터를 수집해 공격자에게 되돌려 보냈습니다(사이버보안 용어로 '탈취 반출(exfiltrate)').

우크라이나 전쟁 지원 활동을 노린 원격 접속 트로이목마

'PhantomCaptcha'로 명명된 이 스피어 피싱 캠페인에서 공격자들은 전쟁 구호 활동에 참여하는 지원 단체와 우크라이나 지방정부 사무소를 표적으로 삼았습니다. 이 공격은 계획만 6개월이 걸린 것으로 알려진 다단계 스피어 피싱 공격 체인이었습니다.

PhantomCaptcha 공격이 진행된 과정은 다음과 같습니다.

초기 미끼: 표적들은 정부 공지문처럼 보이도록 위조된 감염 PDF 파일을 수신합니다.
가짜 CAPTCHA 기반 피싱: PDF는 수신자를 가짜 CAPTCHA 페이지로 안내하고 '저는 로봇이 아닙니다'를 클릭하라고 지시합니다.
멀웨어 설치: 클릭하는 순간 숨겨진 PowerShell 명령이 실행되어 기기에 멀웨어가 설치됩니다.
공격자의 원격 장악: 원격 접속 트로이목마(RAT)가 배포되어 공격자가 활동을 감시하고, 데이터를 탈취하고, 원격으로 명령을 실행할 수 있게 됩니다.

피싱 이메일은 짧은 기간 동안 발송되었지만, 설치된 멀웨어는 장기적인 보안 위협을 남겼습니다. 원격 접속 트로이목마가 자리 잡으면 공격자는 지속적인 접근 권한을 유지하고, 원격으로 명령을 실행하며, 시간을 두고 데이터를 반출할 수 있어 초기 캠페인 이후에도 후속 공격으로 이어질 가능성이 있습니다.

에딘버러 학생들을 노린 수상한 회의 초대

2025년 초의 또 다른 사건에서는 스코틀랜드 에딘버러 의회 교육 부서 직원들이 학생과 학부모에게 발송된 수상한 회의 초대가 담긴 스피어 피싱 이메일을 확인했습니다. 의회는 신속히 대응해 예방 차원에서 모든 학생 비밀번호를 초기화했습니다. 하지만 안타깝게도 이 조치로 인해 시험 기간 중 학생들이 필수 온라인 학습 도구에 접속하지 못하는 상황이 발생했습니다.

데이터 유출은 없었지만, 이 사건은 그럴듯한 메시지 하나만으로도 신속하게 적발되더라도 실질적인 혼란을 일으킬 수 있음을 보여줍니다.

스피어 피싱 공격으로부터 자신을 보호하는 방법

스피어 피싱은 개인적이고 신뢰할 만해 보이도록 설계되므로, 최선의 방어는 클릭, 열기, 답장하기 전에 속도를 늦추고 확인하는 것입니다. 다음 습관을 들이면 스피어 피싱에 넘어갈 위험을 줄일 수 있습니다.

피싱 수법을 인지하세요: 갑작스러운 긴급 요구, 정상 절차를 건너뛰라는 압박, 돈이나 민감한 정보에 대한 비정상적인 요청, 발신자 평소 어조와 맞지 않는 메시지 같은 전형적인 경고 신호에 주의하세요.
발신자 정보를 확인하세요: 공격자는 표시 이름을 사칭하면서 유사한 이메일 주소를 사용할 수 있습니다. 이메일에서 발신자 정보를 펼쳐 오타, 불필요한 문자, 숫자와 글자가 바뀐 부분이 있는지 살펴보세요.
클릭 전에 링크를 검증하세요: 마우스를 올려 목적지를 미리 확인하고, 이상한 도메인이나 불필요한 단어가 있는지 살펴보세요(절대 클릭하지 않도록 주의!). 계정에 접속해야 한다면 링크를 클릭하지 말고 브라우저에 직접 주소를 입력하거나 저장해 둔 북마크를 이용하세요.
비정상적인 요청은 다른 채널로 확인하세요: 발신자가 민감한 정보, 기프트카드, 송금, 로그인 자격 증명을 요구한다면, 이미 알고 있는 번호로 전화를 걸거나 별도의 신뢰할 수 있는 방법으로 해당 인물에게 확인하세요.
첨부 파일은 잠재적 위협으로 취급하세요: 예상치 못한 첨부 파일, 특히 급하거나 내용이 불분명한 파일은 열지 마세요. 멀웨어가 다운로드될 수 있습니다.
데이터 브로커 사이트에서의 노출을 줄이세요: 데이터 브로커는 공격자가 스피어 피싱 메시지를 개인화하는 데 쓸 수 있는 개인 정보를 수집·판매합니다. Norton 360 Deluxe에 포함된 프라이버시 도구 같은 서비스는 가능한 곳에서 옵트아웃을 도와 노출되는 정보의 양을 줄이는 데 도움이 됩니다.
강력한 계정 보호를 사용하세요: 고유하고 안전한 비밀번호와 비밀번호 관리자를 사용하고, 특히 이메일, 은행, 업무용 계정 등 주요 계정에는 2FA(2단계 인증) 또는 인증 앱 기반 확인을 설정하세요.
소프트웨어를 최신 상태로 유지하세요: 소프트웨어 업데이트는 공격자가 악용하는 보안 취약점을 패치하는 경우가 많습니다. 가능하면 자동 업데이트를 켜두세요.
파일을 백업해 두세요: 정기적인 백업은 피싱 공격 후 멀웨어나 랜섬웨어가 파일을 잠그거나 손상시켰을 때 복구에 도움이 됩니다. 백업을 사용할 때는 반드시 멀웨어가 설치되기 이전 시점의 백업본을 사용하세요.

스피어 피싱 링크를 클릭했다면 어떻게 해야 할까?

수상한 링크를 클릭했거나 첨부 파일을 열었거나 정보를 입력했다면, 피해를 최소화하고 계정을 보호하기 위해 신속하게 행동해야 합니다. 다음 조치를 최대한 빨리 따르세요.

인터넷 연결을 끊으세요: Wi-Fi를 끄거나 모바일 데이터를 차단해 멀웨어가 외부와 통신할 가능성을 줄이세요.
안티멀웨어 검사를 실행하세요: 신뢰할 수 있는 멀웨어 검사 도구로 멀웨어, 스파이웨어, 원격 접속 도구가 있는지 확인하고 권장되는 복구 절차를 따르세요.
비밀번호를 변경하세요: 먼저 이메일 계정 비밀번호를 변경한 뒤, 은행 등 다른 중요 계정으로 넘어가세요. 고유하고 강력한 비밀번호를 사용하고 다른 세션에서 로그아웃하세요.
2FA를 활성화하세요: 자격 증명이 탈취되었을 경우 계정 탈취 위험을 줄이기 위해 즉시 2FA(가능하면 인증 앱이나 보안 키)를 설정하세요.
수상한 활동을 모니터링하세요: 낯선 로그인, 요청하지 않은 비밀번호 재설정 이메일, 이메일에 새로 추가된 전달 규칙, 승인되지 않은 거래 내역을 확인하고, 몇 주간 지속적으로 살펴보세요.
메시지를 신고하세요: 스피어 피싱을 이메일 제공업체나 직장 IT/보안팀에 신고하세요. 특정 기업을 사칭한 메시지라면 해당 기업에도 신고하세요.
신원 도용 징후를 살피세요: 개인 정보를 공유했다면 금융 명세서와 신용 리포트에서 예상치 못한 활동을 모니터링하세요. 주민등록번호가 노출되었다면 사기 경보(fraud alert) 설정이나 신용 동결(credit freeze)을 고려하세요.

스피어 피싱으로부터 스스로를 지키세요

스피어 피싱은 공격이 합법적으로 보이고 가장 취약한 순간에 도착하기 때문에, 무엇을 봐야 할지 알고 있더라도 발견하기 어렵습니다. 전문 사이버 안전 소프트웨어는 방심하고 있을 때 악성 링크, 가짜 웹사이트, 스파이웨어를 포착하는 데 도움을 줍니다.

Norton 360 Deluxe에는 강력한 AI 기반 스캠 보호 기능이 포함되어 있어, 사기성 웹사이트 차단, 다운로드 파일과 첨부 파일의 멀웨어 검사, 스파이웨어를 시사하는 앱의 수상한 행동 모니터링에 도움을 줍니다. 또한 비밀번호 관리자, 백신, VPN, 그리고 데이터 브로커 사이트에서 개인 정보를 삭제하도록 돕는 프라이버시 모니터링 기능도 함께 제공됩니다.

자주 묻는 질문

사이버 범죄자들은 스피어 피싱에 AI를 어떻게 활용하나요?

이제 사이버 범죄자들은 AI 도구를 사용해 고도로 개인화된 스피어 피싱 공격을 자동화할 수 있습니다. 소수의 특정 표적을 위해 수작업으로 메시지를 만드는 대신, AI를 활용하면 수천 명의 개인을 위한 맞춤형 이메일을 생성할 수 있습니다. 공개된 정보, 글쓰기 패턴, 온라인 행동을 분석함으로써 AI는 더 자연스럽고 설득력 있는 표적화 이메일, 메시지, 가짜 웹사이트 제작에 도움을 줄 수 있습니다. 이로 인해 스피어 피싱 공격은 더욱 발견하기 어렵고 자동화하기 쉬워졌습니다.

클론 피싱(clone phishing)은 스피어 피싱과 같은 건가요?

아닙니다. 스피어 피싱은 개인화된 정보를 활용해 메시지가 합법적으로 느껴지도록 만들어 특정 인물을 표적으로 삼습니다. 반면 클론 피싱은 스피어 피싱의 한 유형으로, 실제로 이전에 받았던 메시지를 복제한 뒤 원래의 링크나 첨부 파일을 악성 것으로 교체해 다시 보내는 방식입니다.

편집자 주: 본 기사는 사이버 안전 분야의 중요한 주제에 대한 인식을 높이기 위해 작성된 교육 목적의 정보를 제공합니다. Norton 제품과 서비스가 본 기사에서 다루는 모든 유형의 위협, 사기 또는 범죄로부터 보호하지 못할 수 있습니다. 기사 조사, 작성 및 검토 방식에 대한 자세한 내용은 편집 방침(Editorial Policy)을 참고하세요.