기존의 Buffer Stack Overflow, OOB(out-of-bounds) 등의 취약점은 시스템의 취약점으로 이용하여 내가 원하는대로 실행의 흐름을 바꾸는 등의 공격을 할 수 있었던 것 기억하시겠죠? 😎

사회공학적 해킹은 사람의 약점을 공략하는 것입니다. 사람의 약점이라니, 어떤 것들이 있을까요? 사람은 기계가 아니기 때문에 신뢰, 불안, 자만, 호기심, 욕구 등의 감정을 느끼며 가장 중요한 것은 방심할 수 있다는 것이 문제예요.

8월 30일 날 발송된 해킹짹짹 주간뉴스에 '내부자에게 랜섬웨어를 심어달라 요청하는 사이버 범죄 그룹 💰' 기사를 기억하시나요? 비트코인 100만 달러(약 11억)을 줄 테니 랜섬웨어를 심어달라고 요청한 내용으로, 돈으로 내부자를 유혹한 사건이죠. 🤑

사람의 신뢰를 이용한 공격도 많이 발생합니다. 페이스북 친구 신청을 걸어서 친구가 된 다음 악성코드가 있는 파일을 보내 경계심 없이 열어보거나, 심지어는 항공 우주 직원을 목표로 수년간 에어로빅 강사로 위장한 해커도 있었어요.

스미싱의 로맨스캠 또는 친구, 가족인 척 접근해 돈을 요구하는 것도 이 사람을 믿기 때문에 돈을 보내준 것인데, 해커의 주머니로 들어가게 되죠. 💰

물론 버락오바마, 빌게이트 등의 계정을 해킹하여 그들을 사칭하고 비트코인을 탈취한 행위도 이 유명인들에 대한 대중의 신뢰를 이용한 사회공학에 해당됩니다. 게다가 30분이라는 시간제한까지 걸어 지금 당장 해야 한다는 생각에 이성적인 판단을 못 하게 방해했죠. 사회공학 중 스피어피싱을 이용하여 트위터를 해킹해 계정을 탈취하고, 또다시 사회공학 방법으로 대중들의 비트코인을 탈취한 거에요. 🤔

이 질문에 피싱, 스피어피싱, 웨일링까지 총 3개의 공격을 알아갈 수 있겠군요! 😏

우선 피싱(Phishing)은 많이 알고 있을 것 같아요.

예를 들어, 은행에서 이메일이 와서 위장된 홈페이지에 접속해서 계좌번호, 비밀번호 등 비밀 정보를 입력함으로써 사용자의 정보를 빼내거나, 또는 단지 피해자의 컴퓨터에 악성코드를 설치하는 공격을 말합니다.

중요한 것은 신뢰성 있는 것처럼 가짜 홈페이지를 위장하여 피해자를 불러오게 하는 것이죠.

앞서 말한 보이스피싱과 스미싱도 이 피싱에 해당됩니다.