보안 위협

사회공학

포스팅 뷰3

사회공학(Social Engineering)이란 무엇일까요?

한눈에 보는 요약

정의 — 시스템의 결함이 아니라 사람의 심리를 파고들어 정보나 접근 권한을 얻어내는 공격 수법입니다.
핵심 — 공격자는 방화벽을 뚫지 않고 우회합니다. 직원이 스스로 문을 열어 주게 만드는 것이 목표입니다.
범위 — 피싱·스미싱·큐싱·파밍·스피어 피싱은 모두 사회공학의 하위 갈래입니다.

사회공학이란 신뢰·권위·긴급함 같은 심리를 이용해 사람을 속여 정보 유출이나 부정 접근을 유도하는 공격 기법을 말합니다.

사회공학이란?

사회공학(Social Engineering)은 기술적 취약점 대신 사람이라는 취약점을 노리는 공격입니다. 암호를 깨거나 서버의 결함을 찾는 것이 아니라, 담당자에게 전화를 걸어 "급한데 비밀번호 좀 알려 주세요"라고 말하는 쪽에 가깝습니다.

공격자가 이 길을 택하는 이유는 단순합니다. 훨씬 싸고 확실하기 때문입니다. 잘 만든 보안 체계를 정면으로 돌파하려면 시간과 실력이 필요하지만, 직원 한 명을 속이면 그 사람의 정당한 권한을 그대로 빌려 쓸 수 있습니다. 이렇게 들어온 공격은 로그에도 정상 접속으로 남습니다.

그래서 사회공학은 개별 수법이 아니라 큰 우산입니다. 피싱·스미싱·큐싱·파밍·스피어 피싱·보이스 피싱은 전부 이 우산 아래에 있고, 전달 수단만 이메일·문자·QR코드·전화로 갈릴 뿐 사람을 속인다는 원리는 하나입니다.

▲ 기술 방어를 정면으로 상대하지 않고, 권한을 가진 사람을 통해 들어온다

왜 통하는가 — 공격자가 누르는 6개의 버튼

사회공학은 사람의 어리석음을 노리는 것이 아니라 정상적인 판단 습관을 노립니다. 아래 여섯 가지는 평소에는 우리를 효율적으로 만들어 주는 반응이고, 그래서 조작에 쓰기 쉽습니다.

▲ 평소에는 유용한 판단 습관이 그대로 공격 표면이 된다

특히 권위와 긴급성이 겹칠 때 방어가 가장 잘 무너집니다. "위에서 지시한 일인데 지금 당장"이라는 조합은 확인 절차를 건너뛸 명분을 만들어 주기 때문입니다.

사회공학 공격의 4단계

즉흥적인 거짓말이 아니라 준비된 절차입니다. 정교한 공격일수록 앞 단계에 시간을 많이 씁니다.

정보 수집 — 홈페이지·채용 공고·SNS·명함 등 공개된 정보로 조직도, 담당자 이름, 거래처, 쓰는 시스템을 파악합니다. 이 단계가 곧 OSINT입니다.
접근과 신뢰 구축 — 그럴듯한 신분과 상황을 만들어 접촉합니다. 실제 업무 맥락을 알고 있다는 사실 자체가 신뢰를 만듭니다.
악용 — 자료를 요청하거나, 링크를 누르게 하거나, 결제 계좌를 바꾸게 합니다. 목적을 이 단계에서 달성합니다.
이탈 — 의심이 생기기 전에 자연스럽게 관계를 끊고 흔적을 정리합니다. 그래서 피해 인지가 늦습니다.

여기서 눈여겨볼 것은 1단계입니다. 공격자가 우리 조직에 대해 아는 정보의 대부분은 우리가 스스로 공개한 것입니다. 조직 구성과 담당자 정보를 필요 이상으로 노출하지 않는 것만으로도 공격의 정교함이 크게 떨어집니다.

사회공학의 갈래 — 전달 수단으로 나뉜다

이름이 제각각이라 복잡해 보이지만, 어떤 경로로 접근하는가로 정리하면 한눈에 들어옵니다.

접근 경로	수법	특징
이메일	피싱 · 스피어 피싱	가장 흔한 경로. 특정 개인을 겨냥하면 스피어 피싱
업무 메일 가로채기	BEC(업무용 이메일 침해)	거래 메일에 끼어들어 계좌 변경을 유도
문자·메신저	스미싱	짧은 링크로 악성 앱 설치나 가짜 사이트 유도
QR코드	큐싱	주소가 눈에 보이지 않아 의심이 어렵다
전화·음성	보이스 피싱 · 딥보이스	AI 음성 합성으로 아는 사람 목소리까지 재현
가짜 웹사이트	파밍	정상 주소를 입력해도 가짜 사이트로 연결
상황 연출	프리텍스팅	헬프데스크·점검 기사 등 역할을 꾸며 접근
물건·물리적 접근	베이팅 · 테일게이팅	악성 USB를 흘려 두거나, 뒤따라 들어와 출입 통제를 통과

실무 체크 포인트 — 사람을 노리는 공격 막기

기술만으로도, 교육만으로도 부족합니다. 절차로 못 하게 만드는 것이 가장 확실합니다.

이중 확인 절차 — 계좌 변경·대금 송금·권한 부여는 메일이 아닌 다른 경로로 직접 전화해 확인(콜백)하게 규정돼 있는가? 메일 안의 번호로 걸면 의미가 없습니다

신고해도 불이익 없는 문화 — 속은 직원이 즉시 알릴 수 있는가? 질책하는 조직에서는 사고가 숨겨지고 대응이 늦어집니다

모의훈련 — 연 1회 강의가 아니라 실제 유형으로 반복 훈련하고 결과를 다음 교육에 반영하는가?

기술적 보완 — 2단계 인증, 메일 발신자 인증, 외부 메일 표시로 속아도 피해가 안 나게 겹겹이 깔았는가?

최소 권한 — 한 사람이 속았을 때 넘어가는 자료의 범위가 제한돼 있는가?

공개 정보 관리 — 조직도·담당자 연락처·사용 시스템이 필요 이상으로 외부에 노출돼 있지 않은가?

반출 지점 통제 — 직원이 속아 자료를 보내려 할 때 그 지점에서 막히는 장치가 있는가?

마지막 항목이 사회공학 대응의 현실적인 마지노선입니다. 사람은 앞으로도 속습니다. 교육으로 확률을 낮출 수는 있어도 0으로 만들 수는 없습니다. 그렇다면 속은 다음에 무엇이 실제로 나가는가를 통제해야 합니다. 오피스키퍼는 정보유출방지로 메일 첨부·USB·클라우드 업로드 같은 반출 경로에서 기밀 문서를 차단하고, 반출 시점의 원본과 이력을 남겨 속아서 시작된 유출을 그 문턱에서 멈추게 합니다.

자주 묻는 질문

Q. 사회공학과 해킹은 다른 건가요?

A. 노리는 대상이 다릅니다. 일반적인 해킹이 시스템의 결함을 파고든다면, 사회공학은 사람의 판단을 파고듭니다. 실제 공격에서는 둘이 함께 쓰입니다 — 사회공학으로 계정을 얻고, 그 계정으로 기술적 공격을 이어 가는 식입니다.

Q. 왜 보안을 아는 사람도 속나요?

A. 지식의 문제가 아니라 상황 설계의 문제입니다. 바쁜 시간대에, 아는 사람 이름으로, 실제 진행 중인 업무를 언급하며 오면 의심할 계기 자체가 생기지 않습니다. 그래서 개인의 주의력에 기대지 않는 확인 절차가 필요합니다.

Q. 기술로 사회공학을 막을 수 있나요?

A. 완전히는 못 막지만 피해로 이어지는 것은 막을 수 있습니다. 비밀번호를 알려 줬더라도 2단계 인증이 있으면 로그인이 안 되고, 첨부를 보내려 해도 유출방지가 걸리면 나가지 않습니다. "속는 것"과 "피해가 나는 것"을 분리하는 것이 핵심입니다.

Q. 교육을 하는데도 계속 당합니다.

A. 연 1회 강의는 효과가 짧습니다. 실제 유형으로 반복 훈련하고, 속은 사람을 질책하는 대신 빨리 신고한 것을 인정하는 쪽으로 문화를 바꾸는 편이 실질적입니다. 신고가 30분 빠르면 피해 범위가 크게 달라집니다.

Q. 공격은 어디서 시작되나요?

A. 대개 공개된 정보 수집에서 시작합니다. 홈페이지의 조직 소개, 채용 공고에 적힌 사용 시스템, SNS의 근무지 정보가 재료가 됩니다. 이 노출을 줄이는 것만으로도 사칭의 정교함이 떨어집니다.

Q. 생성형 AI 때문에 더 위험해졌나요?

A. 네. 어색한 번역 문장으로 걸러내던 시대가 지났습니다. 자연스러운 한국어 메일을 대량으로 만들고, 음성 합성으로 아는 사람의 목소리까지 그대로 따라 만들 수 있습니다. "문장이 어색한지"로 판별하는 기준은 더 이상 유효하지 않으므로, 다른 경로로 확인하는 절차가 그만큼 중요해졌습니다.

🔗 연관 용어 바로가기

피싱 스피어 피싱 스미싱 파밍 OSINT

사람은 속을 수 있습니다. 나가는 자료는 오피스키퍼가 막습니다.

제품소개서 신청하기