2014년 데이터 유출로 인해 2016억 명의 Yahoo 사용자 정보가 노출되었습니다. XNUMX년 Sony Pictures 직원들은 수천 건의 회사 문서와 함께 민감한 개인 정보가 유출되는 것을 목격했습니다. 이 두 공격의 공통점은 무엇입니까? 둘 다 피싱 이메일로 시작했습니다.

이메일 위협은 여전히 ​​공격자가 중요한 정보에 액세스하거나 맬웨어를 설치해야 하는 가장 일반적인 방법 중 하나입니다. 대부분의 알려진 피싱 사례는 익명의 사용자를 대상으로 하지만 공격자는 가짜 링크나 파일이 포함된 이메일을 사용하여 중요한 정보를 보유한 특정 개인을 대상으로 할 수도 있습니다. 그리고 ESET 연구원들이 지적했듯이 2022년에는 이러한 종류의 위협이 전년 대비 거의 30% 증가했습니다. 그리고 AI 언어 모델을 통해 이메일 작성이 더 쉬워짐에 따라 이러한 수치가 훨씬 더 높아질 가능성이 있습니다!

피싱 공격은 우리가 긴박감과 호기심으로 반응하게 만드는 사회 공학의 한 형태입니다. 우리는 모두 이러한 유형의 공격의 피해자가 될 수 있지만 이를 피하는 방법도 배울 수 있습니다. 우리를 속이는 데 사용되는 가장 일반적인 피싱의 실제 사례를 살펴보겠습니다.

1. “세션이 만료되었습니다. 다시 로그인하려면 여기를 클릭하세요.”

가장 일반적인 피싱 라인 및 전술 중 일부는 계정에서 로그아웃되었음을 간단히 알리고 자격 증명을 입력하도록 합니다. 링크를 클릭하면 실제 웹사이트와 매우 유사한 웹사이트로 이동합니다. 그러나 차이점은 자격 증명을 입력하면 공격자에게 즉시 전송되어 정보에 액세스하는 데 사용할 수 있다는 것입니다. 경우에 따라 귀하를 대신해 로그인하고 암호를 변경하여 액세스 권한을 부여하지 않을 수도 있습니다.

이 기술은 콘텐츠에 대해 생각하지 않거나 피싱 이메일/메시지의 일반적인 징후를 확인하지 않고 이러한 메시지에 자동으로 응답하는 사용자의 습관에 의존합니다. (그 징후에 대해 알아보기 여기에서 지금 확인해 보세요.). 

예를 들어 작년에 GitHub Security는 인기 있는 소프트웨어 개발 CI/CD 플랫폼인 CircleCI를 사칭하는 이메일에 대해 경고했습니다. 사칭자는 "세션 만료"라는 경고를 보내고 GitHub 자격 증명을 사용하여 새 로그인을 요청합니다. “귀하의 계정에서 비정상적인 활동이 감지되었습니다. 확인 부탁합니다."

이 트릭을 사용하여 사기꾼은 긴박감을 조장하려고 합니다. 갑작스러운 계정 손실을 피하고 싶지 않은 사람이 있을까요? 일반적으로 이러한 이메일은 Amazon, PayPal 등과 같은 합법적인 서비스의 메시지를 가장합니다.  

예를 들어 2018년 말 미국 연방통상위원회(FTC)는 경고를 내렸다. 스트리밍 거인 Netflix를 사칭하는 피싱 이메일에 대해. 이 이메일은 결제 세부 정보에 문제가 있어 계정이 보류되었다고 주장하며 사람들에게 포함된 링크를 사용하여 결제 정보를 업데이트하도록 요청했습니다. 물론 악의적이며 로그인 자격 증명을 얻는 데 사용되었습니다.

마찬가지로, Apple 고객은 2016년 표적이 되었습니다. 사기꾼이 Apple의 iTunes 데이터베이스에서 "바이러스"가 발견되었기 때문에 사용자가 자신의 계정 세부 정보를 재확인해야 한다고 주장하는 피싱 이메일로 개인 정보를 훔치려고 시도했을 때. 

2. “급하게 결제해 주세요”

회사 이메일 계정을 사칭하는 것은 익명의 사람을 대상으로 하지 않고 선택한 회사의 특정 개인 또는 직원 그룹을 대상으로 하는 스피어피싱 캠페인의 오랜 챔피언입니다. 

이러한 사기성 전자 메일을 보내기 전에 사기꾼은 피싱 전자 메일을 진짜 전자 메일과 거의 구별할 수 없도록 만들기 위해 기업 구조, 시각적 요소, 비즈니스 언어 등에 대해 가능한 한 많이 배웁니다. 

이러한 이메일 중 일부는 특히 현금 취급 및 재정 문제를 담당하는 직원을 대상으로 합니다. 그들은 CEO나 금전 송금을 명령할 권한이 있는 다른 상사인 것처럼 가장하고 피해자에게 CEO나 회사의 특정 계좌로 자금을 보내도록 요청합니다. 

2018년에는 CEO를 사칭하여 캐나다 오타와에서 100,000캐나다 달러 이상을 훔쳤습니다. 시 관리자의 요청을 사칭한 시 재무관은 결국 사기꾼의 주머니에 들어간 금액을 이체하라는 가짜 이메일을 받았습니다.

탐욕스러운 사기꾼들도 두 번째로 재무를 속이려고 시도했지만 또 다른 이메일을 받았을 때 시 관리자가 직접 목격했습니다. 요청이 정당한지 묻자 사기가 드러났고, 사기꾼들은 거짓말에 휩싸였다.

3. “지원자님…”

이러한 피싱 이메일 또는 메시지는 가짜 구인 제안을 미끼로 사용합니다. 그들은 잠재적인 피해자가 피싱 링크를 클릭하거나 이메일 메시지와 함께 전송된 악성 파일을 열도록 속일 수 있습니다. 예를 들어 피해자에게 구직 지원 수단으로 계정을 만들고 개인 정보를 입력하도록 요청할 수 있습니다.

예를 들어 Lazarus 위협 그룹은 Operation DreamJob, ESET 연구원이 발견 가짜 구인으로 피해자를 유인한 최근.

이러한 사기는 인기 있는 구인 광고 게시판에도 존재하므로 귀하에게 연락한 헤드헌터 또는 귀하가 보는 구인 제안이 합법적인지 항상 확인하십시오.

최신 캠페인은 가짜 HSBC 구인 제안을 미끼로 전달하는 ZIP 파일로 Linux 사용자를 대상으로 했습니다. 

4. “현재 상황으로 인해…

피싱은 또한 스포츠 경기나 인도주의적 위기 등 큰 행사가 있을 때 증가하고 있습니다.

예를 들어 2023년 초에 위협 그룹은 Fancy Bear는 이메일 캠페인을 진행했습니다. 우크라이나 전쟁 관련. 이메일에는 "Nuclear Terrorism A Very Real Threat"라는 악성 RTF 파일이 포함되어 있었습니다. 일단 열리면 그 컴퓨터를 손상시킬 뿐만 아니라 평판이 좋은 싱크탱크인 Atlantic Council의 블로그이기도 하여 우크라이나 전쟁에서 푸틴이 핵무기를 사용할 가능성은 매우 낮다고 주장했습니다. 문서 이름과 피해자가 열도록 유도했습니다.

5. "메리 크리스마스!"

휴일 동안의 사기는 합법적인 공급업체의 메시지를 사칭하는 이메일로 쇼핑 사기를 악용하는 경우가 많습니다. 이메일에는 "사실이라기엔 너무 좋은" 제안이 포함되어 있거나 막바지 거래를 잡기 위해 긴박감을 느끼게 합니다! 

사기꾼을 위한 또 다른 접근 방식은 크리스마스 카드, 상품권 등 휴일과 관련된 악성 파일이 포함된 이메일을 보내는 것입니다. 

6. "귀하의 세금 환급을 처리할 수 없습니다"

이 세상에서 확실한 것은 사망, 세금, 납세 기간 동안의 피싱 이메일입니다. 사람들이 세금을 신고하고 있기 때문에 세무 기관으로부터 이메일을 받는 것은 놀라운 일이 아닙니다. 

사기꾼은 가짜 세무 기관 메시지가 포함된 피싱 이메일을 보냄으로써 이 상황을 악용합니다. 일반적으로 그들은 다음과 같이 주장합니다. 일부 정보가 누락되었습니다. 추가 개인 정보 또는 금융 정보를 요청합니다.

다른 이메일은 환불을 제공합니다 신용 카드 정보를 묻는 동안. 

7. 응답 불필요

일부 피싱 이메일에는 내용이 거의 또는 전혀 없기 때문에 문제에 대해 자세히 알아보려면 첨부 파일을 열도록 유도합니다. 

예를 들어, ESET Research, 악성 캠페인 발견 2021년에 PDF 첨부 파일이 있는 짧은 이메일을 사용하여 스페인어 사용 국가의 기업 네트워크를 대상으로 합니다. 

이메일 제목은 다음과 같이 간단할 수 있습니다. "더블린 서비스 명세서"; 베네수엘라에서는 서명과 휴대전화 연락처 외에는 메시지가 없었다. 

한편, 첨부 파일은 추가 정보 가치가 없는 단순한 PDF 파일이지만 피해자를 멀웨어를 다운로드할 수 있는 클라우드 스토리지 서비스로 리디렉션하는 링크가 포함되어 있습니다.

피싱 이메일로부터 보호하는 방법 

• 이메일을 주의 깊게 읽으십시오. 아무 것도 자동으로 클릭하지 마십시오. 
• 이메일 주소가 실제 도메인과 일치하는지 확인하십시오. 
• 은행, 공급업체 또는 기타 조직에서 예상치 못한 갑작스러운 이메일에 주의하십시오.
• 즉각적인 응답이 필요한 긴급하거나 위협적인 이메일 또는 자격 증명, 개인 및 금융 정보 요청과 같은 위험 신호를 확인하십시오. 수많은 문법 실수, 철자 오류 및 오타도 위험 신호입니다. 
• 첨부된 URL을 합법적인 회사 또는 조직의 해당 도메인과 비교하십시오. 의심스러운 것을 발견하면 클릭하지 마십시오.  
• 진실하기에는 너무 좋은 제안과 예상치 못한 선물에 주의하십시오. 
• 성급하게 돈을 보내지 마십시오. 상사가 갑자기 그런 전근을 요구하면 직접 접근하라.
• 피싱 방지 도구가 통합된 사이버 보안 제품을 설치하십시오. 

피싱 이메일은 만연한 위협이며 IT 전문가도 이 사기에 빠질 수 있습니다. 운 좋게도 발신자를 확인하기 전에 링크를 클릭하거나 첨부 파일을 열고 싶은 충동을 제어하면 이러한 이메일의 대부분을 쉽게 찾을 수 있습니다.

• SEO 기반 콘텐츠 및 PR 배포. 오늘 증폭하십시오.
• PlatoData.Network 수직 생성 Ai. 자신에게 권한을 부여하십시오. 여기에서 액세스하십시오.
• PlatoAiStream. 웹3 인텔리전스. 지식 증폭. 여기에서 액세스하십시오.
• 플라톤ESG. 자동차 / EV, 탄소, 클린테크, 에너지, 환경, 태양광, 폐기물 관리. 여기에서 액세스하십시오.
• BlockOffsets. 환경 오프셋 소유권 현대화. 여기에서 액세스하십시오.
• 출처: https://www.welivesecurity.com/en/scams/dear-all-what-are-some-common-subject-lines-in-phishing-emails/