피싱과 파밍의 구별

핵심 정리

피싱은 사람의 심리를 이용해 사용자가 스스로 정보를 내놓게 하는 공격이다. 기술적으로 시스템에 침입하기보다 속이는 과정이 중심이라는 점이 특징이다. 피싱으로 빼낸 정보는 이후 금융 사기에 이용될 수 있다.

파밍은 사용자를 가짜 사이트로 보내 정보를 빼내는 공격이며 서비스 거부 공격이 아니다. 두 공격을 구별하는 출발점은 사용자가 가짜 사이트에 어떻게 도착하는지에 있다.

스미싱은 피싱의 한 유형으로 문자메시지로 링크 접속을 유도하는 공격이다. 세 공격은 모두 사용자의 정보를 노린다는 점에서 같지만, 가짜 사이트로 향하는 경로가 서로 달라 이 경로의 차이를 기준으로 구분해야 한다.

자세히

피싱은 가짜 사이트로 끌어들인다

피싱은 진짜 웹사이트와 거의 같게 꾸민 가짜 웹사이트로 개인정보를 탈취하는 공격이다. 이메일 등으로 가짜 사이트에 접속하도록 유도해 개인정보를 빼내는 기법도 피싱에 해당한다. 전형적인 흐름은 유명기관을 사칭해 ‘비밀번호를 바꿔라’, ‘개인내역을 확인하라’는 식으로 메일을 보내고, 첨부된 주소를 누르면 실제와 똑같은 위장 홈페이지에 접속하게 되는 것이다. 위장 사이트에서 계좌번호와 비밀번호 같은 금융 정보를 입력하면 그 정보가 공격자에게 넘어간다. 온라인 뱅킹은 온라인 상에서 거래하는 것이므로 이런 사기에 특히 취약하다. 한국에서는 KISA가 피싱대응센터를 통해 신고와 차단을 운영한다.

파밍은 정확한 주소에도 연결이 바뀐다

파밍은 사용자가 웹 브라우저에 정확한 주소를 입력해도 가짜 웹 페이지에 접속하게 만드는 방식이다. 사용자는 맞는 주소를 입력했다고 믿기 때문에 파밍의 위험은 주소창만 보고는 구별하기 어렵다는 데 있다. 파밍은 도메인 탈취나 악성코드로 DNS 정보를 속여 연결을 바꾸는 수법을 쓴다. 악성코드 방식은 트로이목마 같은 바이러스를 몰래 설치해 두고, 제대로 된 주소를 입력해도 피싱 사이트로 이동하게 한다. 인터넷 서비스제공자의 서버에 결함이 있는 소프트웨어가 있으면 해커가 인터넷 주소 정보를 바꿀 수 있어 같은 결과가 생긴다. 파밍에는 사기죄나 컴퓨터등사용사기죄 등이 성립할 수 있다.