미국 사이버보안 및 인프라 보안국(CISA)의 표현을 빌리자면, 소셜 엔지니어링은 다음과 같은 공격입니다. "공격자는 인간 상호작용(사회적 기술)을 이용하여 조직이나 그 컴퓨터 시스템에 대한 정보를 획득하거나 손상시킵니다."이 방법이 효과적인 이유는 소프트웨어가 아닌 사람을 대상으로 하기 때문입니다. 버라이즌의 2026년 데이터 침해 조사 보고서에 따르면 다음과 같은 결과가 나왔습니다. 침해 사고의 62%에서 인적 요소가 발견되었습니다.이는 전년도의 60%에서 상승한 수치입니다.
다음은 5개씩 3세트로 구성된 15가지 사회공학적 공격 사례입니다. 각 사례에는 주의해야 할 위험 신호와 취해야 할 조치가 제시되어 있습니다. 1세트는 피싱, 2세트는 가장 및 사칭, 3세트는 물리적 공격 및 미끼 공격을 다룹니다. 각 세트는 마지막에 경고 표시와 함께 마무리됩니다. 우리의 선택우리가 먼저 학습시킬 예제와 함께 한 줄로 된 이유를 제시합니다.
아래에 예시로 제시된 회사, 인물, 메시지는 모두 가상의 것입니다.
세트 1: 피싱 가족
- 이메일 피싱. 은행, 공급업체 또는 회사 IT 팀에서 온 것처럼 보이는 메시지에 링크를 클릭하고 로그인하라는 내용이 포함되어 있습니다. CISA에 따르면 피싱 공격은 이메일이나 악성 웹사이트를 이용합니다. 신뢰할 수 있는 기관으로 가장하여 개인 정보를 수집합니다.. 적기: 실제 사업체를 모방한 발신자 주소, "고객님께"와 같은 일반적인 인사말, 또는 마우스 커서를 올렸을 때 링크 주소가 텍스트와 일치하지 않는 링크 등이 있습니다. 중지: 클릭하지 마세요. 주소를 직접 입력하여 해당 사이트로 이동하거나 메시지를 신고하세요.
- 스피어 피싱. 같은 수법이지만, 이번에는 특정 한 사람을 겨냥한 것입니다. 발신자는 당신의 이름, 상사의 이름, 그리고 당신이 실제로 참여하는 프로젝트를 이용하는데, 이는 공개된 정보를 통해 쉽게 추측할 수 있습니다. 적기: 이상하리만치 구체적이면서도 평소와 어울리지 않는 요청, 예를 들어 "오늘 당장 아틀라스 계약서를 보내주세요"와 같은 요청. 중지: 발신자에게 다른 채널, 예를 들어 이미 알고 있는 번호로 전화를 걸어 문의해 보세요.
- 스미싱. 문자 메시지를 이용한 피싱. CISA 설명 스 미싱 SMS 메시지를 악용하는 소셜 엔지니어링으로, 도청 시 브라우저가 열리거나 전화가 걸리도록 링크, 숫자 또는 주소를 포함합니다. 적기: "배송 보류 중" 또는 "계정 잠금"이라는 메시지와 함께 짧은 링크가 표시됩니다. 중지: 해당 파일을 삭제하고 실제 앱이나 사이트를 직접 실행하세요.
- 비싱. 음성 피싱. CISA 발표 바이 싱 음성 통화를 사용하고 발신자 번호가 위조될 수 있으므로, 익숙한 이름이 표시되는 통화는 아무런 증거가 되지 않습니다. 적기: 전화를 건 사람이 압박감을 조성하며 코드나 비밀번호를 요구하는 경우. 중지: 전화를 끊고 명세서나 회사 웹사이트에 인쇄된 번호로 다시 전화하세요.
- QR 코드 피싱. QR 코드는 연결되는 주소를 숨깁니다. FBI는 이에 대해 경고했습니다. QR 코드가 포함된 원치 않는 소포 수신자에게 개인 정보 및 금융 정보를 요구하거나 데이터 탈취 소프트웨어를 설치하는 행위. 적기: 예상치 못한 번호가 발신자 정보와 함께 도착했습니다. 중지: 출처를 알 수 없는 QR 코드는 스캔하지 마세요.
저희가 선택한 예시: 4번, 보이스피싱. Verizon은 피싱 시뮬레이션에서 중간 클릭률이 다음과 같다는 것을 발견했습니다. 음성 및 문자 메시지와 같은 모바일 중심 벡터는 40% 더 높았습니다. 이메일보다 전화 통화가 더 효과적입니다. 사람들은 전화 통화를 불신하기보다 이메일을 더 빨리 불신하게 되었습니다.
세트 2: 가장과 사칭
Verizon은 가장행위를 공격자가 사용하는 전술로 다음과 같이 정의합니다. 신뢰 관계는 꾸며낸 시나리오를 통해 구축된다. 사용자를 속여 조직의 보안을 위협하는 행동을 유도하는 공격으로, 주로 음성을 이용하지만 이메일이나 문자를 통해서도 이루어집니다. 2026년 보고서에 따르면 전체 보안 침해 사례 중 6%를 차지했으며, 피싱은 16%를 차지했습니다.
- CEO 사기 및 비즈니스 이메일 침해. 미 연방수사국(FBI)의 인터넷 범죄 신고 센터(IC3)는 다음과 같이 정의합니다. 비즈니스 이메일 침해(BEC) BEC(비즈니스 이메일 사기)는 기업을 대상으로 하며, 해킹된 이메일 계정 및 기타 통신 수단을 통해 무단으로 자금을 이체하는 수법입니다. 2025년 IC3(국제 이메일 보안 연맹)에는 24,768건의 BEC 관련 신고가 접수되었으며, 신고된 손실액은 약 30억 5천만 달러에 달합니다. 적기: 고위 간부가 "아무에게도 말하지 마"라는 조건과 함께 급하게 결제하거나 상품권을 구매해달라고 요청하는 내용. 중지: 모든 결제 요청은 전화 또는 직접 방문을 통해 확인하십시오.
- 가짜 IT 지원. 누군가 헬프데스크 직원이라고 주장하며 "문제를 해결하기 위해" 비밀번호나 원격 접속 권한이 필요하다고 합니다. IC3에서 접수되었습니다. 2025년에는 기술 지원 관련 불만이 47,794건 발생할 것으로 예상됩니다.보고된 손실액은 2.1억 달러를 넘어섰습니다. 적기: IT 부서에서 먼저 연락하여 비밀번호 또는 일회용 코드를 요청합니다. 중지: 실제 IT 팀은 귀하의 비밀번호를 필요로 하지 않습니다. 전화를 끊고 통상적인 절차에 따라 지원 티켓을 접수하십시오.
- 공급업체 송장 변경. 평소 거래하는 업체에서 온 것으로 보이는 이메일에는 은행 계좌 정보가 변경되었다는 내용이 담겨 있습니다. IC3의 BEC(비즈니스 이메일 침해) 정의는 이러한 유형의 사기를 포괄합니다. 공급업체와 거래하고 정기적으로 송금을 하는 기업. 적기: 새로운 은행 계좌 정보와 납부 기한입니다. 중지: 변경 사항이 생기기 전에 먼저 등록된 공급업체 번호로 연락하십시오.
- 가짜 채용 담당자. "채용 담당자"가 승진처럼 보이는 직책을 제안하며 직원에게 접근한 후, 개인 서류를 요구하거나 다운로드가 필요한 테스트 과제를 요청합니다. IC3는 이러한 사례를 접수했습니다. 2025년에는 24,688건의 취업 사기 관련 민원이 접수될 것으로 예상됩니다.. 적기: 신청하지 않은 제안이며, 절차가 매우 빠르게 진행됩니다. 중지: 회사 채용 페이지를 통해 채용 담당자를 확인하고, 면접을 위해 절대로 소프트웨어를 설치하지 마세요.
- 딥페이크 음성. 감독과 똑같이 들리는 복제된 목소리가 긴급한 지급을 요구합니다. IC3는 이렇게 말합니다. 음성 복제를 이용하여 계좌이체 결제를 요청할 수 있습니다. 또한 기업들이 2025년에 AI를 이용한 BEC 사기로 30천만 달러 이상의 손실을 입었다고 보고했습니다. 적기: 확인하기 전에 행동을 취하도록 재촉하는 음성 메시지나 전화. 중지: 결제에 대한 암호나 콜백 규칙을 정해야 하므로, 설득력 있는 목소리만으로는 충분하지 않습니다.
저희가 선택한 사례: 6번, CEO 사기 및 BEC. 이는 여기서 가장 비용이 많이 드는 사례로, IC3의 2025년 통계에서 기술 지원 사기보다도 더 큰 규모이며, 조치를 취하는 데 드는 비용은 저렴합니다. 돈이 이체되기 전에 알려진 번호로 전화 한 통만 하면 됩니다.
세트 3: 물리적 공격 및 유인
이러한 공격에는 키보드가 필요하지 않습니다. 건물 내의 낯선 사람이 방화벽으로 보호되는 시스템에 접근할 수 있다는 점에서 중요합니다.
- 테일게이팅. 누군가가 "양손에 짐이 있어서" 보안문을 통해 당신을 따라 들어옵니다. 적기: 배지를 달지 않은, 편안하고 친근한 사람. 중지: 정중하게 그들에게 직접 출입증을 발급받으라고 요청하거나, 안내 데스크까지 동행해 주세요.
- USB 드라이브를 미끼로 사용하는 전략. "2027년 연봉 검토"라고 적힌 USB 메모리가 주차장이나 로비에 놓여 있습니다. 적기: 구매하지 않은 탈착식 드라이브. 중지: 주운 기기는 절대 전원에 연결하지 마세요. IT 담당자에게 넘겨 안전하게 점검받으세요.
- 어깨 너머로 서핑하기. 기차 안이나 공용 책상에서 누군가가 당신의 화면을 읽거나 당신이 PIN 번호를 입력하는 것을 지켜볼 수 있습니다. 적기: 너무 가까이 서 있거나 휴대폰을 화면에 비스듬히 비추는 사람. 중지: 개인 정보 보호 필터를 사용하고, 자리를 비울 때는 화면을 잠그고, 벽에 등을 기대고 앉으세요.
- 쓰레기통 뒤지기. 인쇄된 이메일, 조직도, 회의록 등이 일반 쓰레기통에 버려지면 공격자는 다음 통화에서 사용할 이름, 전화번호, 프로젝트 제목 등을 얻을 수 있습니다. 적기: 이름이나 번호가 적힌 종이를 열린 쓰레기통에 버려두세요. 중지: 서류를 파쇄하거나 잠금장치가 있는 쓰레기통을 사용하고, 책상을 깨끗하게 유지하는 습관을 들이세요.
- 가짜 배송. 회사 로고가 새겨진 재킷을 입은 택배 기사가 리셉션을 지나 안으로 들어가게 해달라고 하거나, 서버실에 소포를 두고 가도 되는지 물어본다. 적기: 주문한 사람이 없는 배달이거나, 접수처로 배송할 수 없는 배달입니다. 중지: 프런트 데스크에 가져가시고, 예상치 못한 소포는 라벨에 적힌 담당자에게 확인해 주세요.
저희가 고른 예시: 11번, 차량 행렬 파티. 특별한 기술도 필요 없고 비용도 들지 않으며, 좋은 예절만 있으면 됩니다. 직원들에게 정중한 대화 스크립트를 제공하여 누군가에게 이의를 제기하는 것이 무례하게 느껴지지 않고 자연스럽게 느껴지도록 하세요.
15개를 모두 멈추는 방법
이 15가지 사례에는 한 가지 공통점이 있습니다. 바로 신속하게, 그리고 혼자서 행동하도록 부추긴다는 것입니다. 하지만 세 가지 습관이 이러한 방식을 깨뜨립니다.
- 다른 경로를 통해 확인하십시오. 요청에 금전, 비밀번호, 코드 또는 접근 권한이 포함된 경우, 이미 알고 있는 연락처 정보를 사용하여 다른 방법으로 확인하십시오. CISA는 요청이 진짜인지 확신할 수 없는 경우, 해당 회사에 직접 연락하여 확인하십시오.메시지에 제공된 연락처 정보가 아닌 다른 방법으로 연락을 취해야 합니다.
- 신고하세요. CISA는 피싱 의심 사례에 대해 다음과 같이 권고합니다. 메시지를 신고하세요 그리고 나서 삭제하세요. 신고 기능을 클릭 한 번으로 간편하게 만들고, 누구에게도 책임을 전가하지 않도록 하여, 문제를 처음 발견한 사람이 다른 모든 사람에게 알릴 수 있도록 하세요.
- 천천히 해. CISA 목록 긴급하거나 감정적으로 호소하는 언어 피싱의 일반적인 징후 중 하나입니다. CISA는 또한 인공지능 덕분에 맞춤법이 완벽한 이메일도 있기 때문에 완벽한 문법이 더 이상 안전의 보증이 되지 않는다고 지적합니다. 메시지가 빠른 응답을 요구하는 경우, 이는 잠시 멈춰야 한다는 신호입니다.
습관을 들이는 방법은 훈련입니다. 침해 사고의 62%에 인적 요소가 관련되어 있다는 점을 고려할 때, 버라이즌의 2026년 보고서이러한 15가지 사례를 찾아내는 연습을 한 팀은 여러분의 방어에 실질적인 도움이 될 것입니다. 더 자세한 프로그램은 저희 가이드를 참조하세요. 사이버 보안 인식 교육.
소셜 엔지니어링 세션을 진행하는 방법 AhaSlides
15가지 예시를 회의실이나 화상 통화에서 실시간으로 실행하고, 사람들이 답변하는 동안 화면에 정답이 표시되도록 하세요.
- 정답을 고르세요: "진짜인가요, 아니면 피싱인가요?" 각 예시에 대해 가상의 메시지를 보여주고 그것이 진짜인지 묻습니다. 주의해야 할 점을 밝히고 토론합니다.
- 워드 클라우드: "가장 흔하게 당하는 사기" 가장 큰 단어는 무엇을 먼저 연습해야 하는지를 보여줍니다.
- 평가 척도: "가짜를 얼마나 잘 구별해낼 수 있다고 생각하십니까?" 세션 전후에 1부터 5까지의 점수로 평가해 달라고 요청하고 평균값을 비교하세요.
- 개방형 질문: "수상한 메시지를 받았습니다." 이름은 삭제한 실제 사례들을 수집하고, 그중 가장 적합한 사례를 다음 라운드의 시나리오로 사용하세요.
피싱 및 소셜 엔지니어링 교육 과정 템플릿은 바로 사용할 수 있는 슬라이드를 제공하며, 내부자 위협 인식 템플릿은 팀 전체를 위한 후속 교육 자료로 활용하기 좋습니다.
자주하는 질문
사회공학의 예는 무엇인가요?
피싱, 가장, 미끼, 그리고 미행이 주요 수법입니다. 이 글에서는 이메일 피싱과 비싱부터 가짜 IT 지원, USB 미끼, 가짜 배송까지 15가지 수법을 소개합니다.
사회공학적 기법 중 가장 흔한 유형은 무엇인가요?
피싱. 버라이즌의 2026년 보고서에 따르면 피싱은 전체 데이터 유출 사고의 16%를 차지하며, 가장 공격은 6%입니다. 또한 IC3는 2025년에 191,561건의 피싱 및 스푸핑 관련 신고를 접수했습니다.
사회공학적 공격을 어떻게 방지할 수 있을까요?
두 번째 채널을 통해 요청을 확인하고 의심스러운 요청은 신고하십시오. 공격은 일회성 교육 과정보다 훨씬 빠르게 변화하므로 짧고 정기적인 교육을 추가하십시오.
가장행위란 무엇인가요?
정보를 얻거나 접근 권한을 확보하기 위해 꾸며낸 이야기입니다. 공격자는 헬프데스크 전화와 같은 그럴듯한 시나리오를 통해 신뢰를 구축한 후, 비밀번호, 결제 또는 문을 열어달라는 등의 요청을 합니다.
어디서 시작하나요
한 가지 예시를 골라 다음 팀 회의에서 실행해 보세요. 시간이 부족하다면 보이스피싱을 예시로 들고, 모두에게 예상치 못한 전화가 왔을 때 어떻게 대처할지 물어보세요.
