'피싱(phishing)'이라는 단어는 이미 익숙할 것입니다. 하지만 그보다 한 단계 더 발전하고 훨씬 파괴력이 큰 형제 격인 '웨일링(whaling)'이라는 공격에 대해 들어본 적이 있나요? 웨일링은 일반 피싱과 달리 그 피해 규모가 기업 전체로 번질 수 있기 때문에, 미리 알아두고 대비하는 것이 매우 중요합니다.
지금부터 웨일링 공격이 무엇인지, 그리고 어떤 방식으로 우리에게 위협이 되는지 하나씩 살펴보겠습니다.
웨일링(Whaling)이란 무엇일까?
'웨일링'과 '피싱'의 차이점
웨일링은 그 자체로 초정밀 해킹 기술은 아닙니다. 본질적으로는 피싱의 한 종류로, 좀 더 정교하게 설계된 변형에 가깝습니다. 하지만 그 배후에 있는 치밀한 준비 과정과 전략이 웨일링을 사용자들에게 치명적인 위협으로 만드는 핵심 요소입니다.
웨일링은 일반 피싱의 약점을 보완하고 세련되게 다듬어, 해커가 원하는 행동을 사람들이 하도록 유도하는 방식입니다. 기존 피싱의 가장 큰 문제는 대중이 피싱 메일을 식별하는 능력이 크게 향상되어 공격 성공률이 떨어졌다는 점입니다.
그 결과 해커들은 더 교묘한 수법을 동원할 수밖에 없었습니다. 흔히 "친구, 가족, 동료가 보낸 것도 함부로 믿지 말라"는 조언이 있지만, 웨일링은 바로 이러한 신뢰 관계를 역이용하는 공격입니다.
구체적으로 웨일링은 해커가 회사의 최고위 임원(C급 경영진 등)을 디지털 방식으로 표적 삼는 공격을 의미합니다. 보통 해커는 해당 인물에 대한 정보를 미리 수집하고, 경우에 따라 회사 내부 네트워크에 침입해 조직이 운영되는 방식까지 조사합니다.
수집한 정보는 어떻게 활용될까?
임원에 대한 충분한 정보를 확보하면 해커는 그 사람의 계정을 해킹하거나 이메일·메신저 서비스를 장악합니다. 이후 그 계정을 통해 부하 직원들에게 접촉하여 속임수를 시도합니다.
만약 내부 네트워크나 계정 침입에 실패했다면, 해커는 '사칭(impersonation)' 전략으로 전환하기도 합니다. 이 방식은 특정 인물의 이메일 주소와 매우 비슷하게 만든 가짜 주소를 생성한 뒤, 그 주소에서 직원들에게 메일을 보내는 것입니다.
이 방법은 스팸 필터에 걸리거나 회사가 화이트리스트를 운영하는 경우 차단될 가능성이 높지만, 때로는 성공하기도 합니다.
해커는 웨일링으로 무엇을 얻으려 할까?
물론 해커가 이토록 공을 들이는 데에는 반드시 목적이 있습니다. 웨일링의 주요 목표는 임원을 사칭해 직원들에게 "관리자 명의로" 자금을 이체하게 만드는 것, 즉 금전을 갈취하는 것입니다.
충분히 정보를 수집한 해커라면 임원의 말투와 어조까지 재현해 공격의 신뢰도를 높입니다. "업무상 필요하다"며 특정 계좌로 송금을 요청하는 식입니다.
하지만 돈만 노리는 것이 아닙니다. 송금을 요구하면 의심을 살 수 있기 때문에, 오히려 되파거나 악용할 수 있는 민감한 정보를 요구하는 경우도 많습니다. 정보 하나가 한 번의 현금 수익보다 더 큰 가치를 지닐 수 있기 때문입니다.
실제로 몇 년 전 영국 언론 가디언(The Guardian)은 웨일링 공격 사례를 보도했습니다. 인사(HR) 담당 직원이 CEO로 위장한 해커에게서 받은 이메일에 속아 회사 급여 정보를 모두 전달해 버린 것입니다. 결국 해커는 스냅챗(Snapchat)에 재직 중인 모든 직원의 지급 정보를 손에 넣게 되었습니다.
웨일링은 얼마나 큰 피해를 낳고 있을까?
웨일링 공격의 작동 원리를 알았으니, 이제 실제로 얼마나 많은 기업이 이에 속고 있는지 궁금해집니다. 기업들은 빠르게 공격을 간파하고 있을까요, 아니면 해커들이 이런 방식으로 상당한 수익을 올리고 있을까요?
포브스(Forbes)에 따르면 2013년 이후 약 8만 개에 달하는 기업에서 총 120억 달러(약 14조 원 이상)가 웨일링으로 인해 증발한 것으로 추산됩니다. 게다가 데이터 보안 기업 바로니스(Varonis)는 2017년 한 해에만 웨일링 공격이 200%나 급증했다고 밝혔습니다. 이는 해커들이 소규모 피싱이 아니라 '대형 피싱'으로 눈을 돌리고 있다는 신호입니다.
웨일링 공격으로부터 자신을 보호하는 방법
탄탄한 회사 보안 정책 마련
가장 이상적인 상황은 웨일링 공격이 처음부터 성립하지 않도록 막는 것입니다. 체계적인 회사 보안 정책이야말로 해커를 효과적으로 차단하는 첫걸음입니다.
우선 사용자 계정은 해킹 공격을 충분히 버틸 수 있어야 합니다. 강력한 비밀번호와 함께 이중 인증(2단계 인증) 같은 추가 방어 수단을 적용하면 해커의 침입을 상당 부분 막을 수 있습니다.
또한 사내 이메일 시스템을 설정하여 인트라넷 외부에서 들어오는 모든 메일을 의심하도록 해야 합니다. 아무리 정교하게 위조된 사칭 메일이라도 블랙리스트에 걸려 피해가 발생하기 전에 걸러낼 수 있습니다.
데이터와 자금 이체 프로세스 보호
데이터 전송과 자금 이동에 관한 내부 프로세스 역시 회사 외부로 새어 나가지 못하도록 안전하게 설계되어야 합니다. 이 부분이 허술하면 불만을 품은 내부 직원이 몰래 회사 자금을 가져가는 문제로 이어질 수도 있습니다.
항상 데이터와 자금은 가장 안전한 방식으로 처리해야 합니다. 그렇게 해두면 누군가 웨일링 공격에 속더라도, 해커가 최종적으로 돈이나 정보를 손에 넣기 전에 시스템이 거래를 감지하고 차단할 수 있습니다.
개인의 끊임없는 경각심
회사 차원의 방어가 모두 뚫리고 해커가 당신을 웨일링 표적으로 삼았다면, 이제 개인의 주의 깊음이 마지막 방어선입니다.
웨일링 공격자는 상사의 입장에서 연락함으로써 당신의 심리를 흔듭니다. 윗사람의 요청에는 거절하기 어렵다는 심리를 이용해, 민감한 정보를 별생각 없이 넘겨주도록 유도하는 것입니다.
따라서 평소 알던 관리자가 갑자기 현금이나 개인 정보를 요구한다면, 이름과 이메일 주소에 이상한 점이 없는지 반드시 다시 확인해야 합니다. 뭔가 어색하게 느껴진다면 이메일이 아닌 다른 채널(전화 등)로 직접 연락해 해당 요청이 진짜인지 확인하는 것이 좋습니다.
보안성 높은 이메일 서비스 사용하기
웨일링 공격은 해커가 공격에 필요한 충분한 정보를 확보했을 때만 가능합니다. 그 정보 접근 자체를 차단하면 해커는 회사를 침투할 도구를 잃게 됩니다. 따라서 현재 사용 중인 이메일 서비스가 얼마나 안전한지, 엿보기(snooping) 공격에 잘 방어하고 있는지 점검해 볼 필요가 있습니다.
어떤 서비스를 선택해야 할지 고민된다면, 프라이버시를 최우선으로 여기며 보안과 암호화를 제공하는 이메일 업체를 찾아보세요. 사용자의 연결을 제대로 보호하지 않는 이메일 업체는 민감한 데이터 유출 위험을 안고 있으며, 이런 유출된 정보는 곧바로 웨일링 공격의 재료가 될 수 있습니다.
신원 도용으로부터 안전하게 지키는 법
웨일링은 모든 면에서 피싱의 '확대판'입니다. 공격 대상의 규모부터 잠재적 수익까지, 웨일링은 기업과 직원 모두에게 심각한 문제가 될 수 있는 위협입니다.
그렇다면 해커들은 구체적으로 어떤 정보를 노릴까요? 해커들이 가장 선호하는 정보 유형을 정리한 가이드를 참고해 보세요.