By DAVID NIELD, WIRED US

2022년 9월, 윈도11 2022년 하반기 최신 업데이트 버전에는 피싱 공격으로부터 사용자의 안전을 최대한 유지하도록 설계된 새로운 기능이 포함되었다. 바로 해커 세력이 사용자 이름과 패스워드 공개를 유도해, 단순한 계정 탈취를 넘어 탈취한 계정 정보로 로그인 시도까지 하는 것을 막을 기능이다.

이와 같은 교묘한 속임수는 주로 이메일로 개시하지만, 항상 공격 경로와 수법이 같다고 장담할 수는 없다. 보안 인증을 통과한 신뢰할 수 있는 출처로 위장하여 로그인 상세 정보를 요청하는 수법은 다이렉트 메신저와 소셜미디어 플랫폼, SMS 문자를 동원하기도 한다. (보통 피싱이라는 이름보다는 스미싱이라는 이름으로 널리 알려졌다.)

윈도11이 새로 도입한 자동 피싱 방지 기능은 복잡한 구성 설정 단계를 거치지 않아도 사용할 수 있다. 필요할 때 실행된다. 그러나 피싱 공격과 윈도11의 자동 피싱 방지 기능 작동 방식, 사용자 안전 유지 방식 등을 이해하는 것이 중요하다.

피싱 개시 과정
피싱 공격은 매우 오랫동안 다양한 형태로 발생했다. 그러나 피싱 스캠은 특정 계정 정보를 손에 넣을 의도로 사용자 이름과 패스워드 상세 정보 통제 권한을 빼앗는다는 공통점이 있다. 일반적으로 약간은 교묘한 속임수로 해커가 아닌 은행이나 소셜 미디어 플랫폼, 직장 등 신뢰할 수 있는 기관의 요청을 다룬다고 속인다. 

일례로, 신용카드 회사가 전송한 것처럼 보이는 이메일을 수신하고 계정 정보 변경 요청을 따를 수 있다. 이때, 메일은 실제 신용카드 웹사이트를 모방한 스캠 웹사이트로 경로를 재지정한다. 사용자가 평소와 같이 상세 정보로 스캠 웹사이트에 접속하는 즉시 사용자의 계정 정보는 해커 세력의 손으로 넘어간다.

혹은 재직 중인 직장의 대표나 상사가 보낸 사내 메일로 위장할 수도 있다. 이때는 보통 시급한 상황인 척하면서 특정 기업 웹사이트를 모방한 해커 세력의 웹사이트 로그인이나 사용자 이름과 패스워드 목록 전달을 유도한다.

피싱 공격 세력은 공격 형태를 변경해, 성공 확률을 높인다. 일반적으로 피싱 메일에 경고 사항을 포함하고는 대응 시간제한도 함께 보여준다. (사용자가 피싱 공격을 의심할 시간을 줄이려는 의도이다.) 최근 보고된 스캠은 코로나바이러스 팬데믹 관련 메일로 위장해, 보건 및 안전 정보를 전달하면서 악의적인 의도를 숨기는 데 초점을 맞춘 것으로 드러났다.

수많은 해킹 시도가 교묘하게 속임수를 적용하여 감지하기 어렵다. 그러나 조금 더 시간을 들이면서 온라인 사용 시 이루어지는 모든 디지털 커뮤니케이션에 신중한 태도를 보인다면, 보통은 피싱 공격을 피할 수 있을 것이다. 피싱으로 의심되는 사례를 발견했다면, 실제 피싱 공격일 확률이 높다. 와이어드는 이미 피싱 스캠 예방 가이드 기사를 통해 피싱 공격을 피할 방법을 자세히 설명했다.
 
피싱 보호 능력 강화
피싱 공격에 맞서 안전을 유지하려면, 운영체제부터 웹 브라우저까지 소프트웨어를 최신 버전으로 업데이트해야 한다. 오늘날 애플리케이션은 보안을 염두에 둔 상태에서 개발돼, 피싱 공격을 대거 감지할 때는 이를 경고하도록 설계되었다.

이 덕분에 윈도11 최신 업데이트 버전은 피싱 보호 기능을 강화하였다. 앞서 언급한 바와 같이 윈도11의 자동 피싱 방지 기능 상당 부분이 백그라운드에서 실행된다. 어떠한 애플리케이션이나 웹사이트든 패스워드를 입력할 때, 윈도가 정보를 수신하는 웹이 신뢰할 만한 기관과 보안 연결이 되었는지 확인한다.

신뢰할 만한 기관과의 보안 연결이 이루어지지 않았다면, 사용자 이름과 패스워드 데이터는 정체를 알 수 없는 기관에 넘어가며, 최악의 상황이라면 신뢰할 수 없는 기관이 사용자 정보를 얻을 수도 있다. 이때는 화면에 패스워드 변경 안내 메시지가 등장할 것이다. 해커 세력이 사용자 로그인 정보를 악용하기 전 로그인 인증 정보를 먼저 변경하도록 지원하려는 취지이다.

사용자 로그인 정보 변경 안내 이외에 다른 수단으로도 피싱 피해를 막을 수 있다. 윈도11에 기본 설정된 자동 피싱 방지 기능은 사용자가 여러 프로그램과 웹사이트에 사용하는 패스워드를 확인하고, 윈도 로그인 시 사용하는 패스워드와 일치할 때 경고 메시지를 보낸다. 모든 웹사이트와 프로그램에 모두 다른 고유한 패스워드를 설정하는 것이 계정 보안을 위해 중요하기 때문이다.

누구나 이미 알고 있는 바와 같이 마이크로소프트와 윈도 계정 패스워드를 제거하고, 스마트폰으로 로그인 명령을 실행할 수도 있다. 최근 들어 인기를 얻는 로그인 수단이다. 보안 솔루션이 없어 100% 안전한 로그인 방식은 아니지만, 이론적으로 누군가가 물리적으로 스마트폰을 탈취한 뒤 피싱 공격을 통해 패스워드까지 탈취하기 더 어렵다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
Windows 11 Now Offers Automatic Phishing Protection