스푸핑(Spoofing)이란 무엇일까요?

스푸핑이란?

스푸핑(Spoofing)은 '속이다·위장하다'라는 뜻으로, 공격자가 이메일 발신자, 전화번호, 웹사이트 주소, 네트워크 출발지 등 신뢰할 수 있는 대상인 것처럼 각종 식별 정보를 위조하는 공격 기법입니다. 사람을 직접 속이는 사회공학과 달리, 스푸핑은 시스템이나 사용자가 '확인 근거'로 삼는 정보 자체를 조작한다는 점이 특징입니다.

스푸핑 자체는 최종 목적이 아니라 신뢰를 얻기 위한 수단입니다. 위조된 발신번호로 금융기관을 사칭하면 보이스피싱이 되고, 위조된 이메일 주소로 거래처를 사칭하면 이메일 사기(BEC)가 되며, 위조된 출발지 정보로 공격 근원을 숨기면 대규모 트래픽 공격에 악용됩니다. 그래서 스푸핑은 한 가지 공격이 아니라 여러 공격의 공통된 재료로 이해하는 것이 정확합니다.

스푸핑의 주요 유형

스푸핑은 무엇을 위조하느냐에 따라 여러 유형으로 나뉘며, 실제로는 다른 공격과 결합해 쓰이는 경우가 대부분입니다.

스푸핑의 진행 과정

유형은 다양하지만, 피해로 이어지는 흐름은 대체로 비슷한 네 단계를 거칩니다.

1. 정보 파악 — 공격자가 표적의 거래 관계, 평소 연락 방식 등 신뢰 체계를 파악합니다.
2. 신원 위조 — 발신 번호·메일 주소·접속 주소 등을 신뢰 대상처럼 보이게 꾸밉니다.
3. 신뢰 악용 — 위조된 신원으로 접근해 피해자가 의심 없이 행동하도록 유도합니다.
4. 피해 발생 — 송금, 개인정보 입력, 악성 프로그램 설치 등 실제 피해로 이어집니다.

대표 사례 — 사칭 메일을 이용한 정보 탈취(2024~2025)

2024년 12월, 정부·공공기관 종사자를 대상으로 특정 공식 문건을 사칭한 제목의 메일이 대량 발송된 사건이 있었습니다. 수신자가 첨부파일을 열람하면 악성 프로그램이 설치되거나 로그인 정보 입력을 유도하는 가짜 페이지로 연결되는 방식이었고, 조사 결과 약 120명의 개인정보가 탈취된 것으로 파악됐습니다. 이어 2025년 1월에는 공무원을 사칭한 회의 참여 확인 메일에 악성코드가 첨부되는 유사한 사례도 보고됐습니다. 두 사건 모두 발신자 표시만으로는 진위를 구분하기 어려웠다는 공통점이 있습니다.보안뉴스

국내 기업을 대상으로 한 설문에서도 52%가 이런 사칭 메일을 경험한 적이 있다고 답했고, 이 중 15%는 실제 금전적 손실로 이어졌다고 밝혔습니다. 발신자 인증 기술이 설정되지 않은 메일 도메인일수록 이런 위조 메일이 스팸함에 걸러지지 않고 수신함에 그대로 도착할 가능성이 높습니다.

스푸핑 관련 피해 통계

발신번호 위조를 동반하는 보이스피싱 피해 규모는 최근 3년간 빠르게 늘었습니다.

2025년 1인당 평균 피해액은 5,384만 원으로, 2016년(862만 원) 대비 약 6배 늘었습니다. 다만 2025년 10월부터는 통신사·금융권의 탐지 체계가 강화되며 발생 건수와 피해액 모두 전년 대비 40% 안팎 줄어드는 추세도 함께 나타나고 있습니다.

스푸핑과 피싱의 차이

두 용어는 자주 함께 쓰이지만 가리키는 범위가 다릅니다. 스푸핑은 '신원을 속이는 기법'이고, 피싱은 그 기법을 포함해 '정보·금전을 탈취하려는 목적을 가진 공격' 전체를 말합니다.

실무 체크포인트 — 스푸핑 대응

스푸핑은 발신 정보 자체가 위조되기 때문에, '보이는 대로 믿지 않는' 절차를 갖추는 것이 가장 확실한 대응입니다.

스푸핑은 결국 '진짜처럼 보이는 가짜'로 신뢰를 뚫어 내부 정보에 접근하기 위한 첫 단계인 경우가 많습니다. 오피스키퍼는 정보유출방지(DLP)와 문서중앙화로, 위조된 신원에 속아 접근 권한이 노출되더라도 문서의 열람·다운로드·외부 전송 경로 자체를 통제해 실제 피해로 이어지는 것을 막는 데 도움을 줍니다.

자주 묻는 질문