2026 기업 이메일 피싱 공격 통계와 실전 방어 제안

피싱 공격의 ‘진화론’: 기존 방어는 왜 무력해지고 있는가

2019년 이전까지 피싱 메일의 특징은 상당히 뚜렷했습니다. 문법 오류, 낯선 발신자, exe 파일 첨부 등이었습니다. 기업 메일 관리자는 스팸 필터만 설정해도 대부분의 공격을 막아낼 수 있었습니다. 그러나 2024년 이후 공격자들은 기업의 방어 패턴을 완전히 파악했고, 더 이상 대량 발송하지 않고 특정 직무를 겨냥한 표적 공격을 감행하고 있습니다. 이러한 변화로 피싱 메일을 식별하기가 훨씬 어려워졌습니다. 메일은 겉보기에 완전히 정상이고 발신자 신원에도 아무런 허점이 없기 때문입니다. 올해 저희는 실제 피싱 사건 하나를 처리했습니다. 고객사의 재무 책임자가 ‘공급업체’를 사칭한 메일을 받았는데, 내용은 잔금을 재촉하는 것이었고 메일 주소는 supplier@companyname.com으로 실제 공급업체 도메인과 철자 하나만 달랐습니다. 재무 담당자는 별다른 의심 없이 메일에 적힌 계좌 정보로 대금을 송금했습니다. 사흘 뒤 진짜 공급업체에서 대금을 재촉하는 전화가 걸려오고 나서야 진실이 드러났습니다. 이런 공격은 악성코드나 바이러스 링크에 전혀 의존하지 않고 오직 신뢰 관계와 사회공학에만 기대는 것으로, BEC(비즈니스 이메일 사기)의 전형적인 특징입니다.

SPF에서 DMARC까지: 메일 인증 프로토콜을 제대로 활용하는 방법

많은 기업의 메일 서버 설정이 10년 전 수준에 머물러 있어, 기본적인 SPF 레코드만 활성화해 둔 상태입니다. 더 황당한 것은 일부 기업의 IT 관리자가 SPF를 ‘softfail’로 설정한다는 점입니다. ‘검증에 실패하더라도 메일은 그대로 통과시키고 표시만 남긴다’는 뜻입니다. 이렇게 있으나 마나 한 설정은 메일 입구에 가짜 감시 카메라를 달아 놓은 것과 같습니다. SPF의 작동 원리는 사실 복잡하지 않습니다. 수신 측 서버에 ‘목록에 있는 IP만이 당신의 도메인을 대표해 메일을 발송할 권한이 있다’고 알려주는 역할입니다. 다만 SPF는 발송 서버만 검증할 뿐 발신자 신원은 검증하지 못하므로, 이를 보완하는 것이 DKIM입니다. DKIM은 메일에 디지털 서명을 추가하는 것과 같아서, 수신 측이 공개키로 전송 과정에서 메일 내용이 위변조되지 않았는지 확인할 수 있습니다. 문제는 DKIM 서명의 개인키를 반드시 안전하게 보관해야 한다는 점입니다. 한 번 유출되면 공격자가 정상으로 보이는 메일을 위조할 수 있습니다. DMARC는 SPF와 DKIM을 통합한 엔터프라이즈급 방안입니다. 기업은 세 가지 정책을 설정할 수 있습니다. none(모니터링만), quarantine(의심 메일 격리), reject(즉시 거부)입니다. 여건이 되는 기업이라면 도메인의 DMARC 정책을 p=reject로 설정할 것을 권장합니다. 이렇게 하면 위조 메일을 차단할 수 있을 뿐 아니라, 공격자에게 ‘이 도메인은 이미 보호되고 있다’는 명확한 신호를 보낼 수 있습니다.

1. SPF 설정: 회사 메일 서버의 IP만 승인하고, 더 이상 사용하지 않는 서드파티 메일 서비스 IP는 삭제합니다.
2. DKIM 설정: 2048비트 RSA 키를 사용하고 서명 키를 정기적으로 교체합니다.
3. DMARC 정책: 먼저 p=none으로 2주간 관찰한 뒤, 단계적으로 p=quarantine으로 올리고 최종적으로 p=reject로 설정합니다.

한 가지 유의할 점은, 메일 인증 프로토콜은 도메인 위조만 방어할 수 있을 뿐 공격자가 유사한 도메인(예: 알파벳 l을 숫자 1로 바꾸는 방식)을 사용하는 것은 막을 수 없다는 것입니다. 따라서 기술적 수단 외에도 구성원의 보안 의식이 똑같이 중요합니다.

직원 교육: 모의 피싱 메일 몇 통 보내는 것으로 끝나지 않습니다

많은 기업의 보안 교육이 아직도 ‘영상 시청, 문제 풀이’ 방식에 머물러 있습니다. 직원들은 규정 준수 요건을 채우기 위해서만 교육을 이수하고, 교육 내용은 석 달이면 이미 까맣게 잊혀집니다. 정말 효과적인 보안 의식 교육은 PPT에 적힌 딱딱한 주의사항이 아니라 실제 상황을 재현하는 데서 시작합니다. 저희는 매달 한 번 모의 피싱 메일을 발송할 것을 권장합니다. 다만 메일 내용은 정교하게 설계해야 하며, 한눈에 가짜임이 드러나는 메일은 안 됩니다. 예를 들어 상사가 업무 시간 외에 보낸 긴급 업무, 또는 공급업체가 보낸 인보이스 링크 등을 재현할 수 있습니다. 매번 모의 훈련 후에는 ‘낚인’ 직원에게 즉시 피드백을 보내 어디서 문제가 발생했고 어떻게 식별해야 하는지 알려줍니다. 6개월간의 지속적인 훈련을 거쳐 한 제조업 고객사의 직원 피싱 클릭률이 23%에서 4%로 떨어졌습니다. 중점 교육 대상은 재무 부서와 구매 부서여야 합니다. BEC 사기의 표적은 대개 이 두 부서입니다. 교육 내용에는 결제 정보를 전화로 확인하는 것이 표준 절차이며, 모든 긴급 결제 요청은 반드시 전화로 확인해야 한다는 점이 포함되어야 합니다. 기업 네트워크 보안 토탈 솔루션에 대해 더 알고 싶으시다면 저희 네트워크 장비 패키지 서비스 페이지를 참고하시기 바랍니다. 공격자가 이미 일부 계정 권한을 확보했다면, 가장 먼저 모든 활성 세션을 무효화하고 비밀번호를 강제 재설정한 다음, 메일 전달 규칙이 변조되었는지 확인해야 합니다. 이는 공격자가 즐겨 쓰는 지속성 확보 수단입니다. 일부 고급 공격은 메일함에 자동 전달 규칙을 설정해 수신되는 모든 메일을 공격자의 메일함으로 몰래 복사하는데, 이런 백도어가 발견되지 않으면 민감 정보가 계속 유출됩니다. 마지막으로 하고 싶은 말은, 메일 보안은 장비 한 세트를 사면 해결되는 문제가 아니라는 점입니다. 기술적 수단, 프로세스 관리, 구성원의 의식이 모두 함께 가야 합니다. 많은 기업이 큰돈을 들여 방화벽과 샌드박스를 도입했지만, 직원의 비밀번호는 여전히 123456이고 임원 결재는 여전히 위챗(WeChat) 스크린샷으로 이뤄집니다. 바로 이런 세부 사항이 보안의 진짜 약점입니다.