고도화되는 피싱 메일 위협에 대한 개인·기업 대응 방안

1. 개요

최근 피싱 메일이 더욱 교묘해지고 있다. 일반 사용자가 메일을 작성하여 보낸 것처럼 눈에 띄는 오타도 없고, 본문의 내용도 자연스러워졌다. 이는 공격자가 생성형 AI를 활용해 문장, 말투, 용어 까지 자연스럽게 만들어내기 때문이다. Verizon DBIR 2025에 의하면 AI 도움을 받아 작성된 피싱 메일의 비중이 최근 2년간 약 2배로 (5% → 10%) 증가했다고 발표하였다.

 

2. 피싱 메일의 특징과 공격 방식

피싱 메일은 금융기관·공공기관·택배사 등 신뢰받는 기관이나 지인을 사칭해 사용자를 속이는 이메일을 이야기한다. 공격자는 메일 본문을 통하여 수신자가 메일을 열람하거나 본문에 삽입된 링크/첨부파일을 실행하도록 유도한다. 아래에서는 이러한 목적을 달성하기 위해 공격자가 주로 사용하는 공격 방식(링크버튼형, 첨부파일형)의 특징과 공격 과정을 정리한다. 

 

2-1. 링크버튼형

링크버튼형은 메일 본문에 버튼이나 하이퍼링크를 넣어 사용자가 링크를 클릭하도록 유도하고, 피싱 사이트로 이동시켜 개인정보 또는 계정 정보를 입력받아 탈취하는 공격 방식이다. 

 

<그림2>는 KISA를 사칭한 링크버튼형 피싱 메일의 모사본으로, 본문의 내용을 KISA에서 발송한 메일처럼 위장해 사용자가 링크버튼을 클릭하도록 유도하고 있다. 링크버튼형 피싱 메일의 공격 과정은 아래와 같다.

 

1) 피싱 메일 발송 

• 공격자는 신뢰할 수 있는 기관 또는 사람을 사칭하여 대상자에게 피싱 메일을 발송한다.
  
• 메일에는 첨부파일이 포함되어 있으며, 실행 시 악성코드에 감염되도록 설정되어 있다.
  

2) 대상자의 메일 수신 및 링크 클릭 

• 대상자는 공격자가 발송한 메일을 신뢰할 수 있는 메일로 판단하여 메일을 열람한다.
  
• 메일 본문 내용 확인 후 악성 링크가 포함되어 있는 링크버튼을 클릭한다.
  

3) 피싱사이트 접속 및 중요 정보 입력 

• 피싱사이트에 접속한 대상자는 정상적인 사이트로 인지하고 중요 정보를 입력한다.
  
• 대상자가 입력한 중요 정보는 피싱 사이트에서 C2 서버로 전송된다.
  

4) 대상자 중요 정보 획득 

• 공격자는 C2 서버를 통해 대상자의 중요 정보를 획득한다.
  

2-2. 첨부파일형

첨부파일형은 메일 본문에 악성 파일을 첨부해 사용자가 해당 파일을 다운로드·실행하도록 유도하고, 사용자가 파일을 실행하면 악성코드에 감염되도록 설계된 공격 방식이다. 

 

 

1) 피싱 메일 발송 

• 공격자는 신뢰할 수 있는 기관 또는 사람을 사칭하여 대상자에게 피싱 메일을 발송한다.
  
•  메일에는 첨부파일이 포함되어 있으며, 실행 시 악성코드에 감염되도록 설정되어 있다.
  

2) 대상자의 메일 수신 및 첨부파일 실행 

• 대상자는 공격자가 발송한 메일을 신뢰할 수 있는 메일로 판단하여 메일을 열람한다.
  
• 메일 본문의 내용을 확인한 후 아무 의심 없이 첨부파일을 실행한다.
  

3) 악성코드 감염 

• 대상자가 실행한 첨부파일로 인하여 악성코드에 감염된다.
  
• 감염된 악성코드는 대상자의 PC에 존재하는 내부정보를 수집해 C2 서버에 전송한다.
  

4) 내부 정보 획득 

• 공격자는 C2 서버를 통해 대상자가 소지하고 있던 중요한 내부 정보를 획득한다.
  

2-3. 실제 피해 사례

1) ‘국제대회 조직위원회’ 사칭 피싱 사건

 

 

2) ‘방첩사 계엄 문건’ 사칭 피싱 사건 

 

 

 

3. 피싱 메일 예방 방안

피싱 메일은 생성형 AI 기술의 활용으로 점점 더 정교해지고 있어 단번에 구별하기 쉽지 않다. 하지만 몇 가지 핵심 포인트를 꾸준히 확인하는 습관만으로도 의심 메일을 조기에 인지할 가능성을 높일 수 있다. 

 

1) 발신자 이메일 주소 확인

메일을 보낸 사람의 주소가 모르는 주소에 해당하거나, 공식 도메인이 아닌 경우 피싱 메일이 아닌지 의심해 보아야 한다. 또한 공식 도메인 이름에 _cs, _marketing 등의 문자를 추가되어 있거나, 공식 도메인 이름에 일부분이 비슷한 문자로 변경되어 있는 경우 경우 피싱 메일에 해당할 가능성이 높다. 

 

2) 링크(URL) 주소가 이상할 경우 클릭 금지

이메일 본문 내 클릭을 유도하는 URL이 있는 경우 해당 URL에 마우스를 올려 실제 하이퍼링크 주소를 확인하고 하이퍼링크 주소가 무작위 문자 조합이거나 실제 메일을 보낸 업체의 웹사이트 주소와 다르다면 무작정 클릭하지 않는다. 

 

3) 출처가 불분명한 첨부파일 함부로 실행 금지

출처가 불분명하거나, 발신자가 의심되는 상황에서 메일에 첨부된 파일을 열지 말아야 한다. 악성 코드와는 관련이 없을 법한 PDF나 ZIP 형식의 파일 또한 악성 코드를 포함하고 있을 수 있다. 

 

4) 링크 클릭 또는 첨부파일 다운로드를 유도하는 문구 확인

“바로 처리하세요”, “곧 만료됩니다”, “환급을 받을 수 있습니다”처럼 수신자를 불안하게 만들거나 이득을 강조하는 문구를 통해 행위를 유도하는 경우 피싱 메일에 해당할 가능성이 높다. 

 

5) 사전에 안내되지 않은 메일 주의 

공공기관 또는 수사기관은 메일을 통해 개인정보나 금융 정보를 요구하지 않는다. 메일 본문을 통해 개인정보 및 금융 정보를 요구하고 링크/첨부파일 실행을 유도한다면 피싱 메일에 해당할 가능성이 높다. 

 

 

4. 피싱 메일 대응 방안

피싱 메일의 피해 규모는 개인이 어떻게 대응하느냐, 그리고 기업이 어떤 절차를 갖추었느냐에 따라 크게 달라진다. 이에 대응 방안은 개인과 기업의 관점으로 구분해 볼 수 있다.

1) 개인의 대응 방안

• 의심되는 메일은 열람하지 않고 삭제 또는 신고한다.
  
• 비밀번호는 정기적으로 변경하고, 2차 인증(OTP, 앱 인증 등)을 활성화 한다.
  
• 보안 프로그램 또는 브라우저를 최신 상태로 유지하고 정기적으로 검사한다.
  
• 의심되는 메일 수신 시 보안팀에 즉시 신고한다.
  
• 링크/첨부파일을 실행 했다면 위 내용들을 순차적으로 수행하고 보안팀의 안내에 따라 추가적인 조치를 취한다.
  (단 열람했던 피싱 메일은 분석에 필요하니 삭제하지 않는다.)
  

2) 기업 차원의 대응 방안

• 메일 보안 솔루션(스팸 필터, 첨부파일 샌드박스, URL 필터링 등) 도입한다.
  
• 의심메일 신고 시 신속히 분석하고, 해당 메일을 열람하지 못하도록 사내 전파를 통해 2차 피해를 예방한다.
  
• 전 직원 대상 정기적인 이메일 모의훈련을 실시하고, 피싱 메일 수신 시 대응 절차를 반복
  
• 의심 메일 신고 체계, 보안팀 연락 경로를 문서화해 누구나 쉽게 따라할 수 있도록 공유한다.
  

5. 결론

피싱 메일은 이제 단순히 어설픈 오타나 부자연스러운 표현으로만 구분할 수 있는 시대가 아니다. 생성형 AI의 활용으로 문장, 말투, 형식까지 정교해지면서 누구라도 속을 수 있는 수준으로 고도화되고 있다. 따라서 개인은 작은 습관부터 실천하는 것이 중요하다. 메일을 받을 때 발신자 주소와 URL 주소를 꼼꼼히 확인하고, 수상하다면 절대 클릭하지 않는 원칙을 지켜야 한다. 

 

또한 비밀번호 관리, 다단계 인증, 보안 프로그램 업데이트 같은 기본적인 보안 습관을 생활화해야 한다. 기업 차원에서는 기술적 방어와 함께 교육, 신고 체계 마련이 병행되어야 한다. 피싱 메일은 한 명이 속는 것만으로도 조직 전체에 심각한 피해를 줄 수 있기 때문에, 개인과 기업 모두가 지속적인 관심과 대비를 통해 대응 역량을 강화하는 것이 무엇보다 필요하다.