메일 시키는대로 따라하면 낭패
33세의 엔지니어 스티브 크래빌은 피싱을 통한 온라인 사기가 기존의 다른 온라인 범죄에 비해 너무나 쉽기 때문에 각별한 주의가 필요하다고 경고하고 있다.
크래빌은 "실제로 거래를 하는 온라인업체들은 절대 이메일로 개인 정보를 요구하지 않는다. 이것은 너무나 간단하면서도 중요한 사실"이라며 "이메일로 오는 메시지가 요구하는대로 하지만 않아도 피싱으로 인한 피해는 충분히 막을 수 있을 것"이라고 말했다.
피싱은 세계적으로 가장 빠르게 증가하고 있는 개인정보 사기 수법 중 하나다. 대부분의 피해자들이 대형 온라인업체들의 고객들이기 때문에 피해의 파장 또한 엄청나게 크다. 해당 기업 역시 금전적인 피해뿐만 아니라 자체의 명성에도 손실을 입고 있으며, 업계 전체적으로 그동안 쌓아온 전자상거래에 대한 신뢰에도 적지 않은 영향을 미치고 있다.
보안소프트웨어업체인 시만텍의 기업 솔루션 책임자인 킴 레제리스는 "일부 피셔(피싱 수법을 사용해 개인정보를 빼내는 사람을 가리키는 말)들은 특정 브랜드에 대한 고객들의 신뢰도를 떨어뜨리기 위해 피싱 수법을 활용하기도 한다"며 "이것이 다른 종류의 온라인 위협들과 피싱이 다른 점"이라고 말했다.
피셔들은 보통 은행이나 전자상거래 사이트처럼 신용도가 높은 회사들이 보낸 것처럼 속여 이메일을 발송한다. 피싱 메시지는 사람들을 가짜 사이트로 유인한 다음 개인 정보를 입력하도록 만들고, 피셔들은 이같은 정보를 이용해 피해자의 계좌에서 돈을 빼내고 있다.
세계적인 보안인증 감시단체인 트러스티(Truste)의 조사에 따르면, 인터넷 사용자 10명 중 7명이 피싱 메시지가 담긴 이메일을 받았으며 이 가운데 15%가 개인정보를 제공한 것으로 나타났다.
또한 안티-피싱워킹그룹(APWG)의 조사에 따르면 피셔들은 주로 시티뱅크를 비롯해 이베이ㆍ페이팔ㆍ구글의 G메일 등을 사칭해 메일을 보내고 있다.
레제리는 "인터넷은 금융 서비스업체들과 전자상거래업체들에게 새로운 비즈니스를 만들어주는 주요 채널"이라며 "만약 고객들이 이런 채널들을 믿지 못하게 된다면 회사의 비즈니스에 큰 타격을 입게 된다"고 덧붙였다.
피싱 행위로 업체들이 입고 있는 피해는 생각보다 크다. 대부분의 경우 회사들은 고객들에게 피싱으로 입은 피해액을 보상해준다. 그러나 또다른 피싱 피해를 막기 위해 미리 고객들을 훈련시키는 비용도 필요하다.
기업들이 입는 피해는 금전적인 부분에서 그치지 않는다. 이메일 보안업체인 메일프론티어의 조사에서 미국 내 소비자들의 40%가 온라인 개인정보 범죄로부터 더 안전한 은행이나 신용카드 회사로 바꿀 의사가 있다고 대답했다.
또한 94%의 응답자가 금융기관은 피싱이나 다른 범죄들로부터 고객들의 정보를 보호해야할 의무가 있다고 답했으며 52%는 현재 이용하고 있는 업체들이 개인정보를 충분히 제대로 지키고 있지 못하고 있다고 응답했다.
피싱 문제를 해결하기 위한 노력도 다각도로 마련되고 있다. 기업들은 피싱 메일이 발신되는 주소를 확인하거나 피싱 발원지로부터 오는 이메일 메시지를 분류하는 기술적인 솔루션을 찾고 있으며, 피싱과 전쟁을 선포한 많은 단체들이 생겨났다. 그 중 하나가 안티-피싱 워킹그룹(APWG)으로, 여기에는 신용정보회사인 익스페리안과 MS, 신용카드 회사인 비자 등이 참여하고 있다.
이달 초 APWG는 실제 수신자의 IP주소와 전자서명을 확인해 스팸과 피싱 공격을 막을 수 있는 세계적인 규모의 이메일 인증 프로그램을 실시한다고 발표하기도 했다.
일반적으로 피싱 사기를 막을 수 있는 노력 중 하나는 먼저 고객들에게 피싱의 위험성을 알리는 것이다. 메일프론티어의 크래빌이 실시한 테스트 결과, 대부분의 사용자들은 피싱 메시지가 담긴 메일과 실제로 업체에서 보낸 메일을 제대로 구분하지 못하는 것으로 나타났다.
신용카드 회사인 체스카드의 수석 부사장인 마이크 커닝험은 "금융 서비스회사들은 이런 수법에 대해 빨리 알아차리기 때문에 공격을 막을 수 있다"며 "그러나 대부분의 소비자들은 어떤 것이 정말 자신이 거래하고 있는 회사로부터 온 메일인지를 구별하지 못하기 때문에 피싱을 구분하는 법을 더 널리 알려야한다"고 말했다.
이밖에도 업계에서는 피셔들을 소탕하기 위해 법적 대응을 불사하고 있다. 경매사이트인 이베이를 사칭해 4년이나 고객들을 속여온 자칼 힐은 업체들의 법적 대응으로 구속됐다.
이처럼 피싱 대응에 대한 표면적인 성과가 나타나고 피싱을 막는 기술이 발전하고 있음에도 불구하고 피싱 사기를 막는 가장 중요한 방법은 고객들이 사전에 이 메시지에 속지 않도록 하는 것이다.
커닝험은 의심되는 메시지가 메일 박스에 들어올 경우 이를 즉시 삭제하는 것은 물론 이 메일의 발신자에게 항의메시지를 보내는 것도 중요하다고 강조했다.
그는 "절대 메일에 쓰인 메시지대로 해서는 안 된다. 그것이 피싱 사기를 막을 수 있는 가장 쉽고 간단한 방법"이라고 말했다.
CNET/맷 하인스 기자
33세의 엔지니어 스티브 크래빌은 피싱을 통한 온라인 사기가 기존의 다른 온라인 범죄에 비해 너무나 쉽기 때문에 각별한 주의가 필요하다고 경고하고 있다.
크래빌은 "실제로 거래를 하는 온라인업체들은 절대 이메일로 개인 정보를 요구하지 않는다. 이것은 너무나 간단하면서도 중요한 사실"이라며 "이메일로 오는 메시지가 요구하는대로 하지만 않아도 피싱으로 인한 피해는 충분히 막을 수 있을 것"이라고 말했다.
피싱은 세계적으로 가장 빠르게 증가하고 있는 개인정보 사기 수법 중 하나다. 대부분의 피해자들이 대형 온라인업체들의 고객들이기 때문에 피해의 파장 또한 엄청나게 크다. 해당 기업 역시 금전적인 피해뿐만 아니라 자체의 명성에도 손실을 입고 있으며, 업계 전체적으로 그동안 쌓아온 전자상거래에 대한 신뢰에도 적지 않은 영향을 미치고 있다.
보안소프트웨어업체인 시만텍의 기업 솔루션 책임자인 킴 레제리스는 "일부 피셔(피싱 수법을 사용해 개인정보를 빼내는 사람을 가리키는 말)들은 특정 브랜드에 대한 고객들의 신뢰도를 떨어뜨리기 위해 피싱 수법을 활용하기도 한다"며 "이것이 다른 종류의 온라인 위협들과 피싱이 다른 점"이라고 말했다.
피셔들은 보통 은행이나 전자상거래 사이트처럼 신용도가 높은 회사들이 보낸 것처럼 속여 이메일을 발송한다. 피싱 메시지는 사람들을 가짜 사이트로 유인한 다음 개인 정보를 입력하도록 만들고, 피셔들은 이같은 정보를 이용해 피해자의 계좌에서 돈을 빼내고 있다.
세계적인 보안인증 감시단체인 트러스티(Truste)의 조사에 따르면, 인터넷 사용자 10명 중 7명이 피싱 메시지가 담긴 이메일을 받았으며 이 가운데 15%가 개인정보를 제공한 것으로 나타났다.
또한 안티-피싱워킹그룹(APWG)의 조사에 따르면 피셔들은 주로 시티뱅크를 비롯해 이베이ㆍ페이팔ㆍ구글의 G메일 등을 사칭해 메일을 보내고 있다.
레제리는 "인터넷은 금융 서비스업체들과 전자상거래업체들에게 새로운 비즈니스를 만들어주는 주요 채널"이라며 "만약 고객들이 이런 채널들을 믿지 못하게 된다면 회사의 비즈니스에 큰 타격을 입게 된다"고 덧붙였다.
피싱 행위로 업체들이 입고 있는 피해는 생각보다 크다. 대부분의 경우 회사들은 고객들에게 피싱으로 입은 피해액을 보상해준다. 그러나 또다른 피싱 피해를 막기 위해 미리 고객들을 훈련시키는 비용도 필요하다.
기업들이 입는 피해는 금전적인 부분에서 그치지 않는다. 이메일 보안업체인 메일프론티어의 조사에서 미국 내 소비자들의 40%가 온라인 개인정보 범죄로부터 더 안전한 은행이나 신용카드 회사로 바꿀 의사가 있다고 대답했다.
또한 94%의 응답자가 금융기관은 피싱이나 다른 범죄들로부터 고객들의 정보를 보호해야할 의무가 있다고 답했으며 52%는 현재 이용하고 있는 업체들이 개인정보를 충분히 제대로 지키고 있지 못하고 있다고 응답했다.
피싱 문제를 해결하기 위한 노력도 다각도로 마련되고 있다. 기업들은 피싱 메일이 발신되는 주소를 확인하거나 피싱 발원지로부터 오는 이메일 메시지를 분류하는 기술적인 솔루션을 찾고 있으며, 피싱과 전쟁을 선포한 많은 단체들이 생겨났다. 그 중 하나가 안티-피싱 워킹그룹(APWG)으로, 여기에는 신용정보회사인 익스페리안과 MS, 신용카드 회사인 비자 등이 참여하고 있다.
이달 초 APWG는 실제 수신자의 IP주소와 전자서명을 확인해 스팸과 피싱 공격을 막을 수 있는 세계적인 규모의 이메일 인증 프로그램을 실시한다고 발표하기도 했다.
일반적으로 피싱 사기를 막을 수 있는 노력 중 하나는 먼저 고객들에게 피싱의 위험성을 알리는 것이다. 메일프론티어의 크래빌이 실시한 테스트 결과, 대부분의 사용자들은 피싱 메시지가 담긴 메일과 실제로 업체에서 보낸 메일을 제대로 구분하지 못하는 것으로 나타났다.
신용카드 회사인 체스카드의 수석 부사장인 마이크 커닝험은 "금융 서비스회사들은 이런 수법에 대해 빨리 알아차리기 때문에 공격을 막을 수 있다"며 "그러나 대부분의 소비자들은 어떤 것이 정말 자신이 거래하고 있는 회사로부터 온 메일인지를 구별하지 못하기 때문에 피싱을 구분하는 법을 더 널리 알려야한다"고 말했다.
이밖에도 업계에서는 피셔들을 소탕하기 위해 법적 대응을 불사하고 있다. 경매사이트인 이베이를 사칭해 4년이나 고객들을 속여온 자칼 힐은 업체들의 법적 대응으로 구속됐다.
이처럼 피싱 대응에 대한 표면적인 성과가 나타나고 피싱을 막는 기술이 발전하고 있음에도 불구하고 피싱 사기를 막는 가장 중요한 방법은 고객들이 사전에 이 메시지에 속지 않도록 하는 것이다.
커닝험은 의심되는 메시지가 메일 박스에 들어올 경우 이를 즉시 삭제하는 것은 물론 이 메일의 발신자에게 항의메시지를 보내는 것도 중요하다고 강조했다.
그는 "절대 메일에 쓰인 메시지대로 해서는 안 된다. 그것이 피싱 사기를 막을 수 있는 가장 쉽고 간단한 방법"이라고 말했다.
CNET/맷 하인스 기자
