테일게이팅(Tailgating)이란 무엇일까요?
테일게이팅(또는 피기백킹, Piggybacking)은 출입 권한이 없는 사람이 인증된 직원 뒤를 따라가 보안 구역에 무단으로 진입하는 소셜 엔지니어링 공격입니다. 공격자는 스스로 제한 구역에 침입하려 하기보다, 이미 출입 권한이 있는 사람을 이용해 문을 열어달라고 하는 방식으로 접근합니다. 우리가 흔히 안전하다고 믿는 출입 통제 시스템조차 우회할 수 있어 더욱 위험한 공격으로 꼽힙니다.
기술적 정의
기술적인 관점에서 테일게이팅은 허가받지 않은 인원이 정당한 사용자를 조종하거나 물리력을 행사하여, 예고 없이 또는 강제로 조직 내부에 진입하는 행위를 의미합니다. 즉, 인증 절차를 우회하는 물리적 보안 취약점 공격이라 할 수 있습니다.
대표적인 테일게이팅 사례
가장 고전적인 예시는 배달 기사로 위장한 공격자입니다. 공격자는 상자 몇 개를 들고 사무실 건물 입구에서 배달 기사인 척 기다립니다. 보안 담당자의 확인으로 문이 열리면, 직원에게 문을 잠시 잡아달라고 부탁한 뒤 그 뒤를 따라 건물 안으로 들어가는 것입니다. 이처럼 공격자는 '출입 권한이 있는 사람'을 매개로 삼아 합법적으로 보호되는 구역에 침입합니다.
테일게이팅의 일반적인 수법
테일게이팅의 방법은 단순히 잠긴 문을 여는 사람 뒤를 따라가는 것부터, 변장을 통해 상대방을 속여 문을 열게 만드는 것까지 다양합니다. 공격자는 상대방이 예의상 거절하지 못하거나 의심하지 않을 것이라는 심리에 기대며, 주요 수법은 다음과 같습니다.
- 뒤따라 들어가기: 직원이 출입문을 여는 순간 그 뒤를 따라 들어갑니다.
- 배달 기사 행세: 택배나 음식 배달원으로 위장해 출입을 요청합니다.
- 양손이 막혔다며 도움 요청: 짐을 많이 든 척하며 문을 열어달라고 부탁합니다.
- ID 분실 주장: 출입증을 잃어버렸다고 말하며 동행을 요청합니다.
- 초대받은 사람 연기: 내부 직원을 만나러 온 것처럼 자연스럽게 행동합니다.
핵심은 상대방의 호의와 무관심을 역이용한다는 점입니다. 대부분의 사람들은 문을 잡아주는 것이 예의라고 생각하기 때문에, 공격자는 별다른 저항 없이 내부에 진입할 수 있습니다.
테일게이팅은 어떤 유형의 공격인가?
테일게이팅은 부적절한 인증 상황을 이용해 공격자를 제한 구역으로 유도하는 소셜 엔지니어링 공격입니다. 기술적 해킹이 아닌 '사람의 심리'를 공략한다는 점에서 피싱 계열 공격과 뿌리를 같이하지만, 공격 대상이 디지털 정보가 아닌 물리적 공간이라는 차이가 있습니다.
스피어 피싱과의 차이점
스피어 피싱이나 웨일링 공격은 특정 인물이나 조직을 정교하게 겨냥해, 권한을 가진 사람을 속여 제한 구역과 기밀 정보에 접근하게 만드는 보안 사기입니다. 반면 테일게이팅은 온라인이 아닌 오프라인에서 신뢰할 수 있는 사람 뒤를 따라 물리적으로 진입하는 방식이라는 점에서 구별됩니다.
소셜 엔지니어링의 4대 유형
소셜 엔지니어링 공격은 크게 다음과 같이 분류할 수 있습니다.
- 피싱(Phishing): 가장 흔한 유형으로, 이메일 등을 통해 개인정보를 탈취합니다.
- 스피어 피싱(Spear Phishing): 특정 대상을 정밀하게 겨냥한 피싱의 한 형태입니다.
- 비싱(Vishing): 전화(Voice)를 이용해 정보를 빼내는 공격입니다.
- 프리텍스팅(Pretexting): 그럴듯한 명분과 시나리오를 만들어 정보를 유출시킵니다.
이 외에도 보상을 미끼로 삼는 바이팅(Baiting), 물리적 접근을 노리는 테일게이팅 등 다양한 변형이 존재합니다.
알아두면 좋은 주요 사이버 공격 유형
테일게이팅과 함께 기업 보안을 위협하는 대표적인 사이버 공격은 다음과 같습니다.
- 멀웨어(Malware): 스파이웨어, 바이러스, 웜 등 악성 코드에 의한 공격
- 피싱(Phishing): 사칭 메일과 링크를 통한 정보 탈취
- 중간자 공격(MitM): 통신 과정을 가로채는 공격
- 서비스 거부 공격(DoS/DDoS): 서버 마비를 유도하는 공격
- SQL 인젝션(SQL Injection): 데이터베이스에 악성 코드를 삽입하는 공격
- 제로데이 공격(Zero-day Exploit): 아직 패치되지 않은 취약점을 악용하는 공격
- 패스워드 공격: 무차별 대입 등으로 계정을 탈취하는 공격
- XSS(크로스 사이트 스크립팅): 웹 페이지에 악성 스크립트를 삽입하는 공격
프리텍스팅(Pretexting)이란?
프리텍스팅은 공격자가 그럴듯한 상황이나 가짜 신분을 꾸며내 피해자가 스스로 비밀번호와 같은 중요 정보를 알려주도록 유도하는 공격입니다. 테일게이팅처럼 '신뢰를 악용한다'는 점에서 같은 소셜 엔지니어링 계열에 속합니다.
일상 언어로서의 '테일게이팅'과 어원
흥미롭게도 영어권에서 '테일게이팅(tailgating)'은 원래 전방 차량을 위험할 정도로 바짝 따라붙는 운전 습관을 뜻하는 단어입니다. 또한 미국에서는 스포츠 경기 전 주차장에서 차량 뒷문(테일게이트)을 열고 음식을 나누는 '테일게이트 파티' 문화로도 널리 알려져 있습니다.
'테일게이팅'이라는 이름의 유래
미국 테일게이터 협회(American Tailgater Association)에 따르면, 이 전통은 1869년 프린스턴 대학교와 러트거스 대학교가 맞붙은 최초의 대학 간 미식축구 경기에서 시작되었다고 합니다. 당시 관중들이 말이 끄는 마차의 뒷부분('tail end')에서 소시지를 구워 먹은 데서 '테일게이팅'이라는 이름이 유래했다고 전해집니다.
마무리: 테일게이팅을 막으려면
테일게이팅은 기술이 아닌 '사람'을 공략하기 때문에, 기술적 장비만으로는 완벽히 막을 수 없습니다. 출입증 공유 금지, 낯선 사람에 대한 경계 문화 조성, 꼬리물기 방지 출입문(맨트랩, Mantrap) 설치, 정기적인 보안 인식 교육 등 기술과 인식 개선을 함께 추진하는 것이 가장 효과적인 대응 방법입니다.