사이버 보안 인식의 달: 피싱 공격 방어하기

작성자: 셰니 도킨스 (Shaneé Dawkins)

이번 주 블로그 게시물은 사이버 보안 인식의 달을 맞아 NIST의 셰니 도킨스 박사, ITL 시각화 및 사용성 그룹의 컴퓨터 과학자가 작성했습니다. 이 글에서 도킨스는 피싱 공격과 사기 수법, 그리고 정보를 보호하는 방법에 대해 논의합니다.

NIST에서 사이버 보안 프로젝트를 맡게 된 계기는 무엇인가요?

저는 ITL의 시각화 및 사용성 그룹에서 약 10년간 컴퓨터 과학자로 근무하며 정보 기술의 인간적 측면을 연구해 왔습니다. 2019년 말, 그룹의 '사용자 친화적 사이버 보안' 프로그램에 합류할 기회가 생겨 바로 지원했습니다. 이전부터 해당 프로그램의 연구 프로젝트를 관심 있게 지켜봐 왔기에, 실제 현장에 큰 영향을 미치는 연구에 참여하게 되어 매우 기뻤습니다. 6개월 후에는 피싱 이메일에 대한 인간의 취약성을 연구하는 피싱 프로젝트의 책임자가 되었습니다.

피싱 공격과 관련해 '사이버 스마트(Cyber Smart)'가 된다는 것은 어떤 의미인가요?

'사이버 스마트'란 누구나 피싱의 대상이 될 수 있음을 인지하고, 자신과 조직을 피싱 위협으로부터 보호하기 위해 경계를 늦추지 않는 것을 의미합니다. 이메일을 받으면 잠시 멈추어 발신자와 메시지 내용을 꼼꼼히 검토해야 합니다. 공격자가 압박감을 조성해 성급한 판단을 유도하는 흔한 수법(한정 기간 제안, 너무 좋아서 믿기 힘든 제안 등)에 속아 악성 링크를 클릭하거나 악성 첨부파일을 다운로드하지 않는 것이 바로 '사이버 스마트'한 태도입니다. 피싱 공격에서 '사이버 스마트'해지는 것은 클릭하기 전에 발신자와 메시지 내용을 멈추어 생각하는 것입니다.

일반인이 피싱에 대해 꼭 알아야 할 점은 무엇인가요?

공격자는 이메일이나 문자 메시지 등 다양한 경로로 접근할 수 있습니다. 누구나 피싱의 표적이 될 수 있습니다. 업무용 이메일이든 개인용 이메일이든 피싱 메일은 누구에게나 발송됩니다. 자신이 훔칠 만한 정보가 없다고 생각할 수 있지만, 우리 모두는 표적이며 고위 관리자만이 아닙니다. 누구나 더 큰 조직을 감염시키고 노출시키는 진입점이 될 수 있습니다. 발신자 이메일 주소, 메시지 내용, URL, 로고 등 모든 것이 위조될 수 있습니다!

NIST에서 일하며 가장 좋아하는 점은 무엇인가요?

NIST는 제가 즐기는 연구를 훌륭 과학자들과 함께 수행할 수 있는 독특한 기회를 제공합니다. 또한 NIST 전역의 세계적인 과학자들로부터 다양한 흥미로운 주제를 배울 수 있습니다. 무엇보다 우리가 하는 일이 실제 사람들이 직면한 실질적인 문제를 해결하며 현실 세계에 긍정적이고 큰 영향을 미친다는 점이 가장 큰 보람입니다!

덧붙이고 싶은 말씀이 있으신가요?

사용자 친화적 사이버 보안 프로그램에 대한 자세한 정보는 https://csrc.nist.gov/Projects/Usable-Cybersecurity에서 확인하실 수 있습니다. 피싱 프로젝트 외에도 사용자 친화적 프라이버시, 사이버 보안 도입 및 인식, 사물인터넷, 인증 등 다양한 연구 프로젝트를 수행하고 있습니다! 더 많은 인사이트와 정보는 DVIRC에 문의하세요.

원문 출처: https://www.nist.gov/blogs/cybersecurity-insights/cybersecurity-awareness-month-fight-phish