피싱 및 파밍

이메일 피싱은 가장 전통적이고 보편적인 피싱 공격 형태로, 공격자가 합법적인 기관이나 개인을 사칭한 이메일을 대량 발송하여 수신자의 개인정보, 금융 정보, 로그인 자격증명 등을 탈취하는 기법이다. 이메일의 발신자, 제목, 본문, 첨부 파일, 포함된 링크 등 모든 요소가 공격 도구로 활용된다.

공격자는 은행, 정부 기관, 유명 온라인 서비스(예: 구글, 마이크로소프트, 네이버), 소셜 미디어, 배송 회사 등을 가장한 이메일을 작성한다. 이메일 내용은 주로 계정 정지 위협, 대금 지불 요구, 확인이 필요한 문제 발생, 특별 할인 혜택 제공 등 긴급하거나 유혹적인 메시지를 담아 사용자가 신속하게 반응하도록 유도한다. 첨부 파일을 열게 하여 맬웨어를 감염시키거나, 이메일 본문에 삽입된 링크를 클릭하게 하여 가짜 웹사이트(파밍 사이트)로 유인하는 것이 일반적인 수법이다.

이메일 피싱은 정교함의 수준에 따라 크게 두 가지로 구분된다. 일반적인 대량 발송형(스팸 피싱)은 맞춤형 정보 없이 무작위로 많은 대상에게 발송되며, 문법 오류나 디자인 미흡함 등 식별이 상대적으로 쉬운 경우가 많다. 반면, 특정 개인이나 조직을 목표로 한 스피어 피싱은 사전 조사를 통해 대상에 대한 정보를 수집한 후, 신뢰할 수 있는 발신자(예: 상사, 동료, 비즈니스 파트너)를 사칭하여 맞춤형 메시지를 보내기 때문에 발견하기 훨씬 어렵고 위험성이 높다.

기술적 방어 수단의 발전에도 불구하고 이메일 피싱은 여전히 높은 성공률을 보이는데, 이는 인간의 심리적 취약점(사회공학)을 직접적으로 공격하기 때문이다. 따라서 사용자는 발신 이메일 주소의 정확한 도메인명 확인, 의심스러운 첨부 파일 실행 금지, 링크 대신 직접 주소창에 웹사이트 주소 입력하기 등의 기본적인 보안 습관이 필수적이다.

스미싱은 문자 메시지(SMS)를 이용한 피싱 공격의 한 형태이다. 'SMS'와 'Phishing'의 합성어로, 주로 휴대전화로 발송되는 악성 문자 메시지를 통해 이루어진다.

공격자는 스미싱 메시지에서 일반적으로 긴급하거나 유익한 제안을 담은 내용을 사용한다. 예를 들어, 택배 배송 문제, 금융 기관의 이상 거래 알림, 포인트 만료 안내, 또는 공공기관의 보조금 지급 안내 등을 가장한다. 메시지 내에는 URL 단축 서비스를 이용해 위장된 악성 URL 링크가 포함되어 있으며, 사용자가 이 링크를 클릭하도록 유도한다. 클릭 시 사용자는 공격자가 미리 만들어 놓은 가짜 웹사이트(파밍 사이트)로 이동하게 되며, 이 사이트에서 개인정보나 금융 정보를 입력하거나 악성 앱을 설치하도록 요구받는다.

스미싱은 이메일 피싱과 기본적인 사회공학적 원리는 동일하나, 모바일 환경에 특화되어 있다는 점이 특징이다. 사용자들은 PC보다 휴대폰에서 링크를 클릭하는 데 더 무방비할 수 있으며, 문자 메시지는 공식적인 통신 채널로 인식되는 경우가 많아 피해 가능성이 높다. 또한, 최근에는 단순한 텍스트 메시지를 넘어 발신자 이름을 공공기관이나 금융기관으로 스푸핑하거나, MMS를 통해 악성 코드가 포함된 이미지 파일을 전송하는 등 기법이 진화하고 있다.

비스팅은 전화 통화를 이용한 피싱 공격의 한 형태이다. 'voice'와 'phishing'의 합성어로, 주로 공격자가 금융기관, 공공기관, 통신사 등의 직원을 사칭하여 피해자에게 전화를 걸어 개인정보나 금융 정보를 탈취한다.

공격자는 사회공학 기법을 활용하여 신뢰를 구축한다. 예를 들어, "고객님 명의로 발급된 휴대폰에서 불법 활동이 감지되었다"거나 "대출 심사를 위해 본인 확인이 필요하다"는 등 긴급하고 합리적으로 보이는 상황을 만들어 위기감을 조성한다. 이후 피해자로부터 주민등록번호, 계좌번호, 비밀번호, 신용카드 번호, 심지어 OTP 인증번호까지 요구한다. 최근에는 AI를 이용해 지인이나 상사 목소리를 합성하여 송금을 요구하는 정교한 공격도 등장했다[1].

비스팅은 음성 통화라는 직접적인 소통 채널을 통해 심리적 압박을 가할 수 있어 피해자가 판단력을 잃기 쉽다. 특히 전화 상대방이 실시간으로 질문에 답변하고 상황을 제어할 수 있어, 이메일 피싱보다 더 위험한 공격 방식으로 평가받는다.

소셜 미디어 피싱은 페이스북, 인스타그램, 트위터, 링크드인 등의 소셜 네트워크 서비스(SNS)를 통해 이루어지는 피싱 공격의 한 유형이다. 공격자는 신뢰할 수 있는 개인, 기업, 유명인, 심지어 친구나 가족을 사칭한 가짜 계정이나 게시물을 만들어 피해자를 속여 개인정보나 금융 정보를 탈취하거나 악성 링크를 클릭하도록 유도한다. 소셜 미디어의 개방성과 신뢰 기반 네트워크 특성을 악용하여 기존의 이메일 피싱보다 더 정교하고 표적화된 공격이 가능하다는 특징이 있다.

주요 수법으로는 가짜 프로필을 생성하여 피해자에게 친구 요청을 보내 접근한 후, 메시지를 통해 악성 링크를 전송하는 방법이 있다. 또한, 합법적인 기업이나 브랜드의 공식 계정을 모방한 가짜 페이지를 만들어 할인 이벤트나 경품 응모를 가장하여 로그인 정보를 요구하거나, 유명인의 이름을 도용한 계정이 팔로워들에게 투자 권유 메시지를 보내는 경우도 빈번하다. 일부 공격은 해킹된 실제 지인의 계정을 통해 악성 링크를 배포하기도 하여 더욱 신뢰도를 높인다.

사용자는 소셜 미디어에서 접하는 모든 링크와 첨부파일, 그리고 예상치 못한 로그인 요청에 주의해야 한다. 공식 계정 여부를 확인하고, 지인 계정으로부터 온 이상한 메시지는 다른 경로를 통해 본인 여부를 확인하는 것이 중요하다. 대부분의 소셜 미디어 플랫폼은 의심스러운 계정이나 게시물을 신고할 수 있는 기능을 제공하고 있다.

DNS 캐시 포이즈닝은 파밍 공격의 대표적인 기법 중 하나로, 공격자가 DNS 서버의 캐시 메모리에 허위 정보를 주입하여 사용자를 가짜 웹사이트로 유도하는 방식을 말한다. DNS는 사람이 읽을 수 있는 도메인 이름(예: www.example.com)을 컴퓨터가 이해하는 IP 주소로 변환해주는 시스템이다. DNS 서버는 이 변환 정보를 일정 시간 동안 캐시에 저장해 두어 응답 속도를 높인다. 공격자는 이 캐시에 거짓된 도메인-IP 주소 매핑 정보를 심어, 사용자가 정상적인 도메인을 입력했을 때 공격자가 운영하는 악성 사이트의 IP 주소로 연결되도록 만든다.

이 공격은 일반적으로 DNS 서버 소프트웨어의 취약점을 악용하거나, DNS 서버와 클라이언트 간의 통신 과정에서 패킷 스푸핑을 통해 이루어진다. 공격자는 정상적인 DNS 응답 패킷을 가로채거나, 그보다 먼저 위조된 응답 패킷을 대상 서버에 전송하여 캐시를 오염시킨다. 한 번 캐시가 오염되면, 해당 DNS 서버를 사용하는 모든 사용자는 캐시 정보가 만료되기 전까지 지속적으로 악성 사이트로 접속하게 된다. 이는 특정 개인을 노리는 것이 아니라, 해당 DNS 서버에 의존하는 광범위한 사용자 집단을 동시에 표적으로 삼는 특징을 가진다.

DNS 캐시 포이즈닝을 방어하기 위한 주요 기술적 대응책은 다음과 같다.

이 공격은 사용자의 컴퓨터를 직접 조작하는 호스트 파일 변조와 달리, 네트워크 인프라 수준에서 발생하기 때문에 사용자가 아무런 개인적 실수를 하지 않았더라도 피해를 입을 수 있다. 따라서 개인 사용자보다는 인터넷 서비스 제공자나 기업의 네트워크 관리자가 서버 보안 패치 적용과 DNSSEC 도입 등을 통해 주의 깊게 방어해야 할 위협이다.

호스트 파일은 컴퓨터가 도메인 이름을 IP 주소로 변환할 때 가장 먼저 참조하는 로컬 파일이다. 운영체제는 DNS 서버에 질의를 보내기 전에 이 파일을 확인하여, 특정 도메인 이름에 대해 미리 정의된 IP 주소로 즉시 연결한다. 호스트 파일 변조는 공격자가 이 파일을 악의적으로 수정하여, 사용자가 정상적인 웹사이트 주소를 입력해도 가짜 사이트로 연결되도록 하는 파밍 기법이다.

변조는 일반적으로 사용자의 컴퓨터에 침투한 맬웨어에 의해 이루어진다. 공격자는 트로이 목마나 키로거 등을 통해 시스템에 접근 권한을 얻은 후, 호스트 파일을 열어 특정 항목을 추가하거나 기존 항목을 변경한다. 예를 들어, 은행 사이트의 도메인 이름 옆에 가짜 사이트의 IP 주소를 기록해 둔다. 이후 사용자가 해당 은행 주소를 브라우저에 입력하면, 시스템은 DNS 서버에 질의하지 않고 변조된 호스트 파일을 참조하여 사용자를 공격자가 운영하는 가짜 사이트로 안내한다.

이 공격의 주요 특징은 사용자의 브라우저 주소창에는 정상적인 도메인 이름이 그대로 표시된다는 점이다. 연결은 변조된 IP 주소로 이루어지지만, 사용자가 입력한 URL 자체는 변경되지 않기 때문에 시각적으로는 이상을 발견하기 어렵다. 이는 DNS 캐시 포이즈닝과 달리, 공격 대상이 특정 개인이나 조직의 컴퓨터라는 점에서 차이가 있다.

호스트 파일 변조를 탐지하고 방지하기 위한 방법은 다음과 같다.

파밍은 피싱과 유사한 목적을 가지지만, 작동 방식에서 근본적인 차이를 보인다. 피싱이 주로 이메일, SMS, 전화 등의 매체를 통해 가짜 메시지를 전송하여 사용자를 속이는 데 초점을 맞춘다면, 파밍은 사용자가 접속하려는 합법적인 웹사이트의 주소(URL) 자체를 공격자가 조작한 사이트로 유도하는 기술적 기만에 중점을 둔다. 즉, 피싱은 '메시지'를 가짜로 만드는 반면, 파밍은 '주소' 또는 '경로'를 가짜로 만드는 공격이다.

이 차이는 사용자 경험에서도 나타난다. 피싱 공격에서는 사용자가 수신한 메일의 링크를 클릭해야 위험에 노출된다. 반면, 파밍 공격에서는 사용자가 브라우저에 정확한 웹사이트 주소(예: 은행의 공식 도메인)를 직접 입력했음에도, DNS 캐시 포이즈닝이나 호스트 파일 변조와 같은 기법으로 인해 네트워크 수준에서 경로가 조작되어 결국 가짜 사이트로 연결될 수 있다. 따라서 파밍은 사용자의 주의 부족보다는 시스템 또는 네트워크의 취약점을 더 많이 악용한다.

다음 표는 두 공격 방식을 비교한 것이다.

결론적으로, 피싱은 사회공학적 기법을 통한 '사람'에 대한 직접적 공격 성격이 강한 반면, 파밍은 인터넷의 핵심 인프라(도메인 이름 시스템)를 표적으로 하는 '기술' 중심의 공격으로 구분된다. 물론, 최근에는 피싱 메일을 통해 맬웨어를 유포하여 피해자의 장치에서 호스트 파일을 변조하는 식으로 두 기법이 복합적으로 사용되는 경우도 흔하다.

스푸핑은 통신 과정에서 송신자의 정보를 위조하여 수신자가 신뢰할 수 있는 출처라고 믿게 만드는 기법이다. 이는 피싱 및 파밍 공격의 핵심 수단으로 활용되며, 주로 이메일 발신자, 웹사이트 주소(URL), 또는 전화번호를 속이는 데 사용된다.

이메일 스푸핑은 가장 일반적인 형태로, 공격자가 이메일 헤더의 '발신자' 정보를 은행, 정부 기관, 유명 기업 등 신뢰할 수 있는 조직의 도메인과 유사하게 조작한다. 수신자는 평소 이용하는 서비스에서 온 메일로 오인하여 메일 본문의 링크를 클릭하거나 첨부 파일을 실행하게 된다. 웹사이트 스푸핑은 파밍 공격과 직접적으로 연관되어 있으며, 정교하게 위조된 웹사이트(가짜 웹사이트)를 통해 개인정보를 입력하도록 유도한다. 이때 URL은 실제 사이트와 매우 유사하게 만들어지며, SSL/TLS 인증서를 위조하는 경우도 있다.

스푸핑 공격을 효과적으로 방어하기 위해서는 기술적 검증과 사용자 경계의 결합이 필요하다. 기술적 측면에서는 SPF, DKIM, DMARC와 같은 이메일 인증 프로토콜을 활용하여 발신자 도메인의 진위를 확인할 수 있다. 또한 웹브라우저를 최신 상태로 유지하면 위조된 SSL 인증서에 대한 경고를 받을 가능성이 높아진다. 사용자 측면에서는 이메일의 발신 주소를 꼼꼼히 확인하고, 메일 본문의 링크 대신 직접 브라우저에 주소를 입력하여 접속하는 습관이 중요하다.

맬웨어 연계 공격은 피싱이나 파밍을 통해 사용자의 시스템에 맬웨어를 설치하거나, 이미 감염된 시스템을 통해 추가적인 피싱 공격을 수행하는 복합적인 공격 기법이다. 이는 단순한 정보 유도에서 나아가 시스템 자체를 장악하거나, 감염된 시스템을 공격의 발판으로 활용하는 것을 목표로 한다.

주요 유형으로는 키로거나 정보 유출형 트로이 목마를 포함한 악성코드가 첨부된 이메일을 보내는 방식이 있다. 사용자가 첨부 파일을 실행하면 시스템이 감염되어 개인정보나 금융 정보가 공격자에게 전송된다. 또한, 피싱 사이트를 통해 접속한 사용자의 브라우저 취약점을 공격하여 드라이브 바이 다운로드 방식으로 맬웨어를 설치하는 경우도 흔하다.

맬웨어 연계 공격의 심화 형태로는 랜섬웨어 공격이 있다. 피싱 이메일을 통해 유포된 랜섬웨어는 시스템의 파일을 암호화하고 몸값을 요구한다. 더 나아가, 봇넷에 감염시킨 시스템을 이용해 대규모 피싱 캠페인을 자동으로 실행하거나, 감염된 시스템 내부의 연락처 정보를 탈취하여 지인을 대상으로 한 정교한 피싱 공격을 확산시키는 경우도 있다.

이러한 공격의 효과를 분석한 표는 다음과 같다.

심리적 조작, 즉 사회공학은 기술적 취약점보다 인간의 심리와 판단에 영향을 미쳐 정보를 탈취하거나 특정 행동을 유도하는 기법이다. 피싱과 파밍 공격의 핵심은 바로 이러한 심리적 조작에 기반한다. 공격자는 피해자의 호기심, 공포, 욕망, 신뢰, 또는 의무감과 같은 감정을 자극하여 신중한 판단을 흐리게 만든다.

공격자들은 다양한 심리적 트리거를 활용한다. 긴급성과 위기감을 조성("계정이 정지될 예정입니다. 지금 확인하세요.")하거나, 권위를 사칭("고객센터입니다.")하여 순응을 유도한다. 때로는 지나치게 좋은 조건의 혜택("한정 특별 할인")을 제시하거나, 호기심을 유발하는 제목("당신이 여기에 나온 영상")을 사용하기도 한다. 이러한 메시지는 피해자가 충동적으로 링크를 클릭하거나, 첨부 파일을 열거나, 개인 정보를 입력하도록 설계된다.

심리적 조작의 효과를 높이기 위해 공격자는 종종 스푸핑 기법을 결합한다. 이는 발신자 이메일 주소, SMS 발신번호, 또는 웹사이트 주소를 신뢰할 수 있는 기관과 유사하게 위조하는 것을 포함한다. 예를 들어, '0' 대신 'o'를 사용하거나, 'rn'을 'm'처럼 보이게 하는 유사 도메인을 생성한다. 이러한 시각적 속임수는 피해자의 경계심을 낮추고, 공격자가 구축한 가짜 환경을 진짜라고 믿게 만든다.

사회공학 기반 공격을 효과적으로 막기 위해서는 기술적 방어만으로는 부족하다. 사용자에 대한 지속적인 보안 인식 교육이 필수적이다. 의심스러운 이메일의 링크를 직접 클릭하기보다 공식 채널을 통해 확인하는 습관, 개인정보 요구에 대한 회의적 태도, 그리고 이상한 유료 요금 청구나 긴급한 문제 해결 요구에 대한 검증 절차 등이 중요하다.

국내에서는 금융기관 및 공공기관을 사칭한 피싱 및 파밍 공격이 빈번하게 발생해왔다. 2000년대 중반부터 본격화된 이메일 피싱은 2010년대에 들어 스미싱과 비스팅으로 진화하며 더욱 정교해졌다. 특히 모바일 인터넷 뱅킹의 활성화와 함께 스미싱 공격이 급증하여, 문자메시지를 통해 악성 링크를 전송하거나 가짜 앱 설치를 유도하는 사례가 많았다.

대표적인 사례로는 2016년 발생한 '카카오톡 대란'으로 불리는 대규모 파밍 공격이 있다. 공격자들은 카카오톡을 사칭한 문자메시지를 대량 발송하여, 수신자가 링크를 클릭하면 가짜 웹사이트(파밍 사이트)로 유도되어 금융 정보를 입력하도록 했다. 이 공격으로 수천 명의 개인정보가 유출되고 금전적 피해가 발생했다[7]. 또한, 코로나19 팬데믹 기간에는 질병관리청이나 보건소를 사칭한 스미싱 메시지가 유행하며 백신 접종 예약을 빙자한 개인정보 탈취 시도가 이루어졌다.

최근에는 암호화폐 거래소나 온라인 쇼핑몰을 대상으로 한 공격이 두드러진다. 공격자는 고객센터를 사칭한 전화(비스팅)를 걸어 계정 정보를 요구하거나, 할인 행사나 시스템 점검을 가장한 이메일을 발송하여 로그인 정보를 훔치는 방식을 사용한다. 2021년에는 국내 주요 은행의 공식 앱과 유사한 인터페이스를 가진 가짜 앱이 유포되어 사용자들의 금융 정보를 탈취한 사건도 있었다.

해외에서는 피싱과 파밍 공격이 초기부터 금융 기관과 유명 온라인 서비스를 주요 표적으로 삼아 왔으며, 그 규모와 정교함이 두드러지는 사례들이 다수 보고되었다.

1990년대 중후반부터 본격화된 피싱 공격의 초기 대표 사례로는 2003년 발생한 페이팔 사칭 피싱 공격을 꼽을 수 있다. 공격자는 페이팔 고객을 대상으로 계정 정보를 확인해야 한다는 내용의 이메일을 대량 발송하고, 이메일 내의 링크를 통해 진짜 페이팔 사이트와 유사한 가짜 웹사이트로 유도하여 로그인 자격증명을 탈취했다. 이 사건은 온라인 결제 서비스를 표적으로 한 최초의 대규모 피싱 공격 중 하나로 기록되었다. 2005년에는 브라질의 여러 은행을 대상으로 한 정교한 파밍 공격이 발견되었는데, 이는 트로이 목마 형태의 맬웨어를 통해 사용자의 호스트 파일을 변조하여, 사용자가 정상적인 은행 URL을 입력하더라도 공격자가 통제하는 가짜 사이트로 접속되도록 한 사례였다.

2010년대 이후에는 공격의 대상과 방법이 더욱 다양화되고 정교해졌다. 2011년에는 네덜란드의 인증기관인 디지노타르가 해킹당하여 구글, 야후, 모질라 등 여러 주요 웹사이트에 대한 가짜 SSL 인증서가 발급되는 사고가 발생했다. 이는 파밍 공격에 신뢰할 수 있는 공인인증서를 악용할 가능성을 보여준 중대한 사건이었다. 2013년에는 미국의 대형 소매업체 타깃의 데이터 유출 사건이 발생했는데, 이는 타깃의 난방·환기 업체를 상대로 한 피싱 이메일 공격이 초기 침투 경로로 사용된 것으로 조사되었다. 이를 통해 기업의 보안 취약점을 공격하기 위해 협력업체를 우회 표적으로 삼는 공급망 공격의 전형적인 예를 확인할 수 있었다.

최근에는 소셜 미디어 플랫폼과 모바일 메신저를 이용한 공격이 증가하고 있다. 2017년 구글과 페이스북은 정교한 피싱 이메일을 통해 직원을 속여 약 1억 달러에 가까운 금액을 공격자의 계좌로 이체하게 한 사기 사건에 당했다고 밝혔다[8]. 또한, 코로나19 팬데믹 기간 동안에는 세계보건기구(WHO)나 각국 정부 기관을 사칭한 피싱 메일과 파밍 사이트가 급증하여, 전 세계적인 보건 위기를 악용한 사회공학적 공격의 진화를 보여주었다.

개인 사용자는 의심스러운 이메일, 문자 메시지, 전화 통화에 대해 기본적인 경계심을 유지하는 것이 가장 중요합니다. 발신자를 알 수 없는 메시지의 링크를 클릭하거나 첨부 파일을 함부로 열지 말아야 합니다. 특히 금융 기관이나 유명 기업을 사칭하며 긴급한 조치를 요구하거나 개인정보 확인을 유도하는 메시지는 주의 깊게 살펴야 합니다.

의심이 가는 경우, 공식 채널을 통해 직접 해당 기관에 문의하는 습관이 필요합니다. 예를 들어, 은행에서 온 것으로 보이는 메시지는 앱이나 공식 홈페이지에 공지된 고객센터 번호로 전화를 걸어 확인합니다. 웹사이트에 접속할 때는 주소창의 URL을 꼼꼼히 확인하여, 정확한 도메인 이름과 보안 연결(https://) 여부를 점검해야 합니다.

기술적 차원에서는 강력하고 고유한 비밀번호를 각 서비스마다 다르게 설정하고, 가능한 모든 계정에 2단계 인증을 활성화하는 것이 효과적입니다. 비밀번호 관리자 사용을 고려할 수 있습니다. 또한 컴퓨터와 스마트폰의 운영체제, 웹 브라우저, 안티바이러스 소프트웨어를 항상 최신 버전으로 업데이트하여 알려진 보안 취약점을 차단해야 합니다. 정기적으로 자신의 주요 금융 계정이나 소셜 미디어 계정의 로그인 활동 내역을 확인하는 것도 이상 징후를 조기에 발견하는 데 도움이 됩니다.

기업 및 조직은 피싱 및 파밍 공격으로 인한 금전적 손실, 영업 비밀 유출, 명성 훼손 등 피해 규모가 클 수 있으므로 체계적인 대응 체계를 마련해야 한다. 핵심은 기술적 방어, 정책 수립, 그리고 지속적인 직원 교육을 결합한 다층적 방어 전략이다.

기술적 차원에서는 스팸 필터 및 이메일 보안 게이트웨이 솔루션을 도입하여 의심스러운 발신자, 첨부 파일, URL을 사전에 차단한다. 웹 필터링 도구를 활용하여 알려진 피싱 사이트나 악성 도메인에 대한 접근을 제한한다. 또한 다중 인증(MFA)을 필수 보안 정책으로 적용하면, 비밀번호만 유출되었을 경우 계정 탈취를 방지할 수 있다. 정기적인 시스템 패치와 엔드포인트 보안 솔루션 업데이트는 맬웨어 감염 경로를 차단하는 데 필수적이다.

조직 관리 차원에서는 명확한 정보 보안 정책을 수립하고 공유해야 한다. 주요 내용은 다음과 같다.

사고 발생 시 신속한 대응을 위해 사고 대응 계획(IRP)을 마련하고 팀을 구성해야 한다. 계획에는 내부 보고 경로, 증거 보존 방법, 관련 기관(예: 경찰청 사이버수사대, 한국인터넷진흥원(KISA))에의 신고 절차, 고객 및 대외 발표 절차 등이 포함된다. 정기적인 모의 훈련을 통해 계획의 유효성을 검증하고 개선해야 한다.

기술적 방어 수단은 피싱 및 파밍 공격을 탐지하고 차단하는 소프트웨어 및 시스템을 의미한다. 개인의 주의력만으로는 진화하는 공격을 완벽히 방어하기 어렵기 때문에, 자동화된 기술적 보호 장치의 도입이 필수적이다. 이러한 도구들은 의심스러운 URL, 이메일 발신자, 웹사이트의 신원을 실시간으로 검증하여 사용자를 보호한다.

주요 기술적 방어 수단은 다음과 같다.

효과적인 방어를 위해서는 이러한 도구들을 계층적으로 조합하여 사용하는 방어 심층화 전략이 필요하다. 예를 들어, 스팸 필터로 1차 걸러낸 이메일을 안티멀웨어가 다시 검사하고, 사용자는 최종적으로 다요소 인증으로 본인임을 확인하는 방식이다. 또한 모든 소프트웨어와 운영체제를 최신 상태로 유지하는 것은 알려진 취약점을 통한 공격을 막는 기본적인 조치이다. 기술적 방어 수단은 지속적으로 업데이트되어 새로운 위협에 대응해야 하며, 사용자 교육과 같은 비기술적 조치와 병행될 때 가장 강력한 효과를 발휘한다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률(약칭 정보통신망법)은 국내에서 피싱 및 파밍 공격을 포함한 사이버 범죄를 규제하는 핵심 법적 근거이다. 이 법률은 주로 제74조(정보통신망에 대한 침해행위 등의 금지)와 제76조(침해행위에 대한 시정조치 등)를 통해 관련 행위를 제재한다.

제74조는 "정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 행위"와 "계정 정보 등의 부정한 사용 및 유포 행위"를 명시적으로 금지한다. 이는 파밍 사이트를 통해 계정 정보를 빼내는 행위나, 피싱을 통해 타인의 인증정보를 취득하여 정보통신망에 접속하는 행위가 해당 조항에 저촉될 수 있음을 의미한다. 위반 시 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해질 수 있다.

법 제76조에 따라, 과학기술정보통신부 장관이나 한국인터넷진흥원(KISA)은 피싱·파밍 사이트 등 불법적인 침해행위가 발견될 경우 해당 사이트의 접속을 차단하거나 삭제를 명할 수 있는 시정조치 권한을 가진다. 또한, 정보통신서비스 제공자는 법 제44조의7(불법정보의 유통금지 등)에 따라 자신이 운영하는 서비스 내에서 발생하는 피싱 관련 불법정보를 신속히 삭제하거나 접근을 차단할 의무가 있다.

이러한 법적 틀은 사후 처벌뿐만 아니라 행정적 시정조치를 통한 신속한 피해 확산 방지에도 중점을 둔다. 그러나 지속적으로 진화하는 피싱·파밍 기법에 대응하기 위해 법률 개정과 집행 역량 강화가 지속적으로 논의되고 있다.

해외에서는 피싱 및 파밍 공격에 대응하기 위해 강력한 개인정보 보호 및 사이버 보안 규제를 도입하고 있다. 대표적인 예로 유럽 연합(EU)의 일반 개인정보 보호 규칙(GDPR)을 들 수 있다. GDPR은 2018년 5월 시행되었으며, EU 시민의 개인 데이터를 처리하는 모든 기관에 적용된다. 이 규정은 피싱이 노리는 개인정보의 불법 수집 및 처리에 대해 엄격한 기준을 제시하고, 위반 시 막대한 과징금(최대 전 세계 연매출의 4% 또는 2천만 유로 중 높은 금액)을 부과할 수 있다[9]. 이를 통해 조직으로 하여금 사용자 데이터 보호를 강화하고, 피싱 공격으로 인한 데이터 유출 위험을 관리하도록 의무화한다.

미국에서는 포괄적인 연방 개인정보 보호법은 없으나, 특정 산업이나 유형의 데이터를 보호하는 여러 법률이 피싱 방어에 영향을 미친다. 예를 들어, 건강보험 이동성 및 책임에 관한 법률(HIPAA)은 의료 정보를, 그램-리치-블라일리 법(GLBA)은 금융 정보를 보호한다. 또한, 캘리포니아 주 개인정보 보호법(CCPA) 및 그 개정안인 캘리포니아 개인정보 권리법(CPRA)은 캘리포니아 주민에게 자신의 개인정보에 대한 더 큰 통제권을 부여하고, 기업의 데이터 보호 의무를 강화하여 간접적으로 피싱으로부터 취약한 정보의 보호 수준을 높였다.

아시아태평양 지역에서도 비슷한 추세가 나타난다. 싱가포르의 개인정보 보호법(PDPA)과 일본의 개인정보 보호법(APPI)은 개인정보 처리에 관한 규정을 마련하고 있다. 특히, 이러한 법률들은 데이터 유출 발생 시 규제 기관 및 피해자에게의 통지 의무를 명시함으로써, 피싱 공격 성공 시 발생할 수 있는 2차 피해를 최소화하려는 목적을 가진다. 호주의 개인정보 보호법(Privacy Act 1988) 역시 데이터 유출 통지 제도를 운영 중이다.

이러한 규제 동향은 단순한 법적 준수 요구를 넘어, 사이버 보안을 기업 경영의 핵심 요소로 자리매김하게 하는 계기가 되었다. 결과적으로 기업들은 피싱 방지 교육 강화, 기술적 보안 조치 투자, 사고 대응 계획 수립 등 보다 적극적인 예방 체계를 구축하도록 압력을 받게 되었다.