피싱 퀴즈 — 가짜 메일 가려내기 50문항

은행에서 온 것처럼 보이는 메일입니다. 어디에서 왔는지를 실제로 정하는 부분은 어디인가요?

정답 마지막 골뱅이표 뒤의 도메인

주소는 «오른쪽부터» 읽습니다. 마지막 @ 앞은 보낸 사람이 마음대로 적는 자리이고, 그 뒤만 누군가에게 등록돼 있습니다. 이 습관 하나로 어설픈 시도는 대부분 걸러집니다.

보낸 사람 이름은 「고객지원」이고 주소는 yourbank.secure-login.net 으로 끝납니다. 실제로는 어느 도메인에서 온 메일인가요?

정답 secure-login.net

점으로 끊어 «뒤에서 두 조각»을 봅니다 — secure-login.net 입니다. 그 왼쪽에 붙은 은행 이름은 그 도메인 주인이 마음대로 만들 수 있는 하위 이름일 뿐입니다.

표시 이름은 팀장의 실명인데 주소는 무료 웹메일입니다. 여기서 무엇을 알 수 있나요?

정답 표시 이름은 보내는 쪽이 적는 것이라 그것만으로는 아무것도 증명하지 못한다

표시 이름은 보낸 사람이 «타이핑한 이름표»입니다. 봉투에 적은 발신인 이름과 같아서, 메일 앱이 그것을 보여 주는 이유는 편해서이지 무엇을 확인해서가 아닙니다.

실제 주고받던 스레드 안으로 답장이 오고, 내가 보낸 문장이 그대로 인용돼 있습니다. 이걸로 진짜라고 할 수 있나요?

정답 할 수 없다. 뚫린 메일함을 읽는 쪽은 진짜 스레드 안에서 답장할 수 있다

실제 대화에 끼어드는 수법은 흔합니다. 남의 메일함을 읽고 있는 사람은 «진짜 이력이 아래에 인용된 채로» 답장할 수 있어서, 대화 자체에서는 이상한 점이 하나도 안 보입니다.

두 주소가 똑같아 보이는데, 한쪽은 m 자리에 rn이 들어가 있습니다. 무슨 일인가요?

정답 한눈에 잘못 읽히도록 등록한 닮은꼴 도메인

글꼴에 따라 rn 은 m 과 거의 구별되지 않습니다. 소문자 l 과 대문자 I, 숫자 0 과 알파벳 O 도 같은 수법입니다. 주소를 긁어서 키우거나 «한 글자씩 소리 내어» 읽으면 바로 드러납니다.

내 주소에서 온 것처럼 보이는 메일이 「몇 달째 네 계정 안에 있었다」고 합니다. 가장 그럴듯한 설명은 무엇인가요?

정답 보낸 주소를 위조한 것뿐이고, 그건 아무 접근 권한도 필요 없다

보내는 주소를 위조하는 데에는 아무 권한도 필요 없습니다. 봉투에 아무 발신인이나 적는 것과 같습니다. 메일에 비밀번호가 함께 들어 있었다면 그것은 거의 언제나 «공개된 유출 목록»에서 온 것입니다.

SPF와 DKIM 검사를 통과한 메일입니다. 실제로 증명된 것은 무엇인가요?

정답 그 도메인이 그 서버를 허용했다는 것뿐이고, 내용에 대해서는 아무것도

SPF·DKIM 이 답하는 것은 하나뿐입니다 — 「이 서버가 그 도메인을 대신해도 되는가」. 그 도메인이 «믿을 만한가»는 답하지 않아서, 공격자 자기 도메인도 둘 다 완벽하게 통과합니다.

동료의 진짜 계정에서 새벽 세 시에 이상한 송금 요청이 잇따라 옵니다. 어떤 상황일까요?

정답 계정을 빼앗긴 것이라 주소 검사는 전부 통과한다

이 경우는 기술적 검사가 전부 통과합니다. 메일이 «정말로» 그 계정에서 왔기 때문입니다. 남는 방어선은 내용뿐입니다 — 평소와 다른 요구가, 평소와 다른 시각에, 돈을 움직이는 방향으로 옵니다.

보낸 주소가 회신 불가(no-reply) 주소였습니다. 판단 재료로 얼마나 무겁게 볼까요?

정답 거의 무게가 없다. 진짜도 가짜도 쓰는 주소다

진짜 자동 발송도 no-reply 를 많이 쓰고, 공격자도 «되물어 보지 못하게» 하려고 씁니다. 어느 쪽 증거도 아니니 중립으로 두고 요구 내용을 보십시오.

휴대폰에서는 보낸 사람 이름만 보이고 주소가 가려져 있습니다. 안전한 습관은 무엇인가요?

정답 무언가 하기 전에 이름을 눌러 주소 전체를 펼쳐 본다

휴대폰 메일 앱은 대개 표시 이름만 보여 주는데, 그 칸이 바로 공격자가 마음대로 정하는 자리입니다. 이름을 눌러 실제 주소를 펼치는 데 1초가 걸리고, 가장 쉬운 속임수가 그것으로 사라집니다.

https://accounts.example.com.verify-id.co/login 을 열면 실제로 어느 사이트가 열리나요?

정답 verify-id.co

첫 «홑 슬래시» 앞까지 보고, 거기서 뒤 두 조각을 취합니다 — verify-id.co 입니다. 앞쪽의 익숙한 이름은 장식입니다. 자기 도메인 앞에는 어떤 말이든 붙일 수 있습니다.

주소에서 실제 목적지를 정하는 부분은 어디인가요?

정답 .com이나 .co.uk 같은 끝부분과 그 바로 앞의 이름

실제 주인을 가리키는 것은 «맨 뒤 꼬리와 그 바로 앞 이름» 한 쌍입니다. 그 왼쪽은 주인이 정하고, 첫 슬래시 뒤도 주인이 정합니다. 책임 소재를 알려 주는 것은 그 가운데 한 쌍뿐입니다.

링크 글자는 은행 주소인데 마우스를 올리면 다른 도메인이 뜹니다. 어느 쪽이 맞나요?

정답 올렸을 때 뜬 목적지. 링크 글자는 아무렇게나 적을 수 있으니까

링크에 «보이는 글자»는 표시 이름과 똑같이 아무렇게나 쓸 수 있습니다. 컴퓨터에서는 마우스를 올리면 상태 표시줄에 진짜 목적지가 뜨고, 휴대폰에서는 누르지 말고 «길게 누르면» 나옵니다.

자물쇠 표시가 있고 https로 시작하는 페이지입니다. 무엇이 보장되나요?

정답 연결이 암호화됐다는 것뿐이고, 누구의 사이트인지는 아무것도

자물쇠는 「오가는 내용이 암호화됐다」는 뜻뿐입니다. 인증서가 공짜에 즉시 나오기 때문에 피싱 면도 대부분 자물쇠가 있습니다 — 자물쇠는 비밀번호를 넘겨주는 동안 «엿듣는 사람이 없다»는 것만 보증합니다.

급하다는 메시지에 단축 링크가 들어 있습니다. 무엇이 문제인가요?

정답 이미 열어 본 뒤에야 목적지를 알 수 있다

단축 주소는 판단할 수 없는 주소 뒤에 목적지를 숨깁니다. 미리보기를 지원하는 서비스도 있지만, 더 안전한 것은 그냥 «평소 하던 대로» 그 사이트에 들어가는 것입니다.

다른 문자 체계의, 라틴 문자와 닮은 글자를 쓴 도메인이 있습니다. 무엇을 노린 것인가요?

정답 한눈에는 익숙한 도메인으로 읽히게 하려고

이것을 호모그래프 공격이라고 합니다. 다른 문자 체계에는 라틴 문자와 «모양이 같은» 글자가 있어서, 익숙한 이름의 한 글자만 바꿔도 그대로 읽힙니다. 브라우저는 의심스러운 이름을 punycode 로 바꿔 보여 주는데, 주소가 xn-- 로 시작하는 알 수 없는 글자로 보인다면 그것은 고장이 아니라 «경고»입니다.

메일에 링크 대신 QR 코드가 들어 있습니다. 왜 위험이 커지나요?

정답 열기 전에 목적지를 읽을 수 없고, 연 뒤에도 휴대폰이 가리는 일이 많다

QR 코드는 «읽을 수 없는 링크»입니다. 게다가 화면이 작아 주소가 덜 보이고 모든 앱에 로그인돼 있는 휴대폰으로 사람을 옮깁니다. 예상 못 한 메시지의 코드는 단축 주소와 똑같이 대하십시오.

「계정에 문제가 있으니 링크로 로그인하라」고 합니다. 더 안전한 길은 무엇인가요?

정답 늘 쓰던 입구로 직접 열어서 같은 안내가 떠 있는지 본다

안전한 길은 «메시지에서 시작하지 않는» 길입니다. 늘 쓰던 앱을 열거나 아는 주소를 직접 칩니다. 문제가 진짜라면 거기에도 그대로 있습니다. 진짜인 일은 그쪽 링크를 써야만 되는 법이 없습니다.

링크가 https://yourbank.account-check.com/ 이었습니다. 익숙한 이름은 여기서 무슨 일을 하나요?

정답 account-check.com 주인이 마음대로 붙인 하위 도메인이다

여기서 yourbank 는 account-check.com 의 «하위 이름»이고, 그 도메인을 등록한 사람이 지어낸 것입니다. 하위 이름은 무제한이고 공짜라, 왼쪽에 붙은 익숙한 이름은 아무 값이 없습니다.

첨부를 열었더니 문서를 보려면 메일 비밀번호를 넣으라는 페이지가 떴습니다. 이 페이지는 무엇인가요?

정답 인증정보를 걷는 페이지. 문서를 보는 데 메일 비밀번호가 필요할 이유가 없다

문서를 보는 데 메일 «비밀번호»가 필요한 정당한 경우는 없습니다. 무언가를 보여 주는 대가로 자격 증명을 요구하는 면은, 겉모습이 어떻든 수집용 면입니다.

「스물네 시간 안에 확인하지 않으면 계정을 정지한다」고 적혀 있습니다. 이 기한은 왜 있나요?

정답 이미 믿고 쓰는 창구로 확인해 볼 틈을 없애려고

급함은 이 메시지의 부작용이 아니라 «장치»입니다. 마감이 있는 이유는 당신이 그것을 들킬 유일한 행동 — 이미 믿는 통로로 확인해 보는 것 — 을 못 하게 막기 위해서입니다.

응모한 적 없는 추첨에 당첨됐다는 연락이 갑자기 왔습니다. 가장 분명한 신호는 무엇인가요?

정답 응모하지 않은 추첨에 당첨될 수는 없다

더 볼 것도 없습니다. 응모한 적이 없으면 당첨도 없습니다. 상품 이야기를 쓰는 이유는 그것이 «이상한 발신인»을 설명해 주고, 정보를 스스로 넘기게 만들기 때문입니다.

임원이 「아무에게도 말하지 말고 조용히 처리해 달라」고 합니다. 이 입단속은 무슨 일을 하고 있나요?

정답 사기가 드러날 유일한 단계, 즉 다른 사람에게 물어보는 것을 없애고 있다

비밀로 하라는 말은 «확인 절차를 없애는» 말입니다. 그럴듯해 보이는 요구에 맞설 유일한 방어선이 그것인데 말입니다. 진짜 상사는 확인해도 개의치 않고, 공격자는 확인을 허락할 수가 없습니다.

「해외에서 로그인이 감지됐다」는 알림이 왔습니다. 안전한 대응은 무엇인가요?

정답 그 서비스를 직접 열어 그쪽 기록을 본다

로그인 알림은 가장 많이 흉내 내는 메시지입니다. 놀랍고, 게다가 진짜도 자주 오기 때문입니다. 링크는 쓰지 말고 «서비스를 직접 열어» 최근 활동 기록을 보십시오.

상사가 「거래처 줄 상품권을 사서 번호를 보내 달라, 나중에 정산하겠다」고 합니다. 사기 쪽에 상품권이 좋은 이유는 무엇인가요?

정답 번호를 바로 쓸 수 있고 되돌리기가 거의 불가능하다

상품권 코드는 보통 사람이 보낼 수 있는 것 가운데 «되돌릴 수 없는 현금»에 가장 가깝습니다. 몇 분이면 쓰이고 결제 취소도 없습니다. 그 요구가 존재하는 이유가 그것뿐입니다.

「택배를 배달하지 못했다, 소액의 수수료가 필요하다」는 문자가 옵니다. 왜 이게 그렇게 잘 통하나요?

정답 택배를 기다리는 사람이 많아서, 진짜 예정 위에 얹히기 때문에

수로 승부하는 수법입니다. 많이 보내면 그중 누군가는 «정말로 택배를 기다리고» 있습니다. 수수료를 적게 부르는 것은 확인하기도 귀찮게 만들려는 것이고, 진짜 목적은 입력하는 카드 정보입니다.

지원한 적 없는 자리의 채용 연락이 오고, 첫 절차가 장비값이나 교육비 입금이었습니다. 이 모양은 무엇인가요?

정답 일이 시작되기도 전에 돈이 나에게서 고용하는 쪽으로 가고 있다

진짜 일자리에서 돈은 «내 쪽으로» 옵니다. 일이 시작되기도 전에 장비값·교육비·신원조회비를 내라는 것 자체가 사기의 전부이고, 정상적인 고용주는 그러지 않습니다.

보던 페이지에 「기기가 감염됐다」가 뜨고 전화번호가 안내됩니다. 무슨 일인가요?

정답 웹페이지는 기기를 검사할 수 없으니, 전화를 걸게 만들려는 연출이다

웹 페이지는 내 컴퓨터를 검사할 수 없습니다. 할 수 있는 것은 놀라운 화면과 전화번호를 보여 주는 것뿐이고, 그 번호를 받는 사람은 원격 접속이나 결제를 요구합니다.

「부끄러운 영상을 공개하겠다」고 협박하는 메일에 내가 예전에 쓰던 비밀번호가 적혀 있었습니다. 그건 어디서 왔을까요?

정답 거의 언제나 공개된 유출 목록에서. 실제 침입보다 훨씬 싸게 먹힌다

그 비밀번호는 거의 확실히 «공개 유출 목록»에서 왔습니다. 대량으로 팔려 조회 비용이 사실상 0입니다. 녹화 이야기는 애초에 확인할 수 없게 만들어졌습니다. 아직 그 비밀번호를 쓰는 곳이 있다면 바꾸십시오.

그것만으로 가장 빨리 의심해야 할 조합은 무엇인가요?

정답 급하다는 말과, 상대가 준 링크로 처리하라는 요구

각각은 흔합니다. 그런데 «함께» 오면 거의 모든 공격의 모양이 됩니다 — 생각을 멈추게 하는 압박과, 확인하지 못하도록 «그쪽이 정한 통로».

은행이라며 전화가 와서 방금 도착한 인증번호를 알려 달라고 합니다. 그 번호는 무엇인가요?

정답 상대가 지금 진행 중인 로그인이나 송금의 마지막 한 걸음

그 코드는 «지금 이 순간» 누군가 로그인하거나 결제하는 마지막 단계입니다. 은행도 서비스도 상담원도 그것을 물어볼 일이 없습니다 — 그 코드는 남의 손에 들어가지 않게 하려고 존재합니다.

전화한 쪽이 「화면을 보고 고쳐 주겠다」며 프로그램 설치를 요구합니다. 상대는 무엇을 얻나요?

정답 기기 조작 권한. 이미 로그인돼 있는 것까지 전부 포함한다

원격 접속 프로그램은 «이미 로그인돼 있는 모든 것»을 넘겨줍니다. 메일·은행·저장된 비밀번호까지입니다. 진짜 고객센터는 먼저 전화해서 이것을 깔라고 하지 않습니다.

거래처에서 늘 쓰던 같은 스레드로 입금 계좌가 바뀐 청구서가 왔습니다. 올바른 절차는 무엇인가요?

정답 예전부터 가지고 있던 번호로 전화해 변경을 확인한다. 메일에 적힌 번호는 쓰지 않는다

진짜 청구서에 계좌만 바뀌는 수법은 피해액이 가장 큰 축입니다. 확인은 «전에 갖고 있던» 번호로 하십시오 — 그 메시지에 적힌 번호로 걸면 확인이 아니라 확인의 흉내입니다.

문서를 여니 「편집 사용」이나 「콘텐츠 사용」을 누르라고 적혀 있습니다. 무엇을 요구하는 건가요?

정답 파일에 박힌 프로그램을 실행할 권한

「편집 사용」·「콘텐츠 사용」은 보호 모드를 끄고 «문서에 심긴 코드»를 실행하게 하는 단추입니다. 읽기만 하면 되는 문서는 둘 다 필요 없습니다.

요청한 적 없는 비밀번호 재설정 링크가 왔습니다. 가장 안전한 읽기는 무엇인가요?

정답 누군가 찔러 보는 중일 수 있으니, 링크는 두고 늘 쓰던 입구로 들어가 확인한다

요청하지 않은 재설정 메일은 대개 누군가 로그인 화면에 «내 주소를 넣어 봤다»는 뜻입니다. 링크 자체는 진짜인 경우가 많지만 그게 요점이 아닙니다 — 내가 시작하지 않았으면 무시하고 계정을 직접 확인하십시오.

대화 초반에 상대가 회사 연락 수단에서 개인 메신저로 옮기자고 합니다. 왜 문제가 되나요?

정답 기록도 검사도 동료의 눈도 닿는 자리를 벗어나게 되니까

개인 앱으로 옮기면 사기를 잡아 줄 것들이 전부 사라집니다 — 메일 필터, 보관 기록, 그리고 그 대화를 볼 수 있었을 동료입니다. 누가 하는 요청이든 «그 요청 자체»가 신호입니다.

월급날 직전에 링크로 급여 계좌를 바꾸라는 연락이 왔습니다. 시점이 공격의 일부인 이유는 무엇인가요?

정답 월급날 직전의 변경은 돈이 나간 뒤에야 눈에 띄니까

급여 계좌 변경은 «마지막 확인 뒤, 지급 전»에 들어오도록 시각을 맞춥니다. 그래서 누군가 월급이 안 들어왔다고 말할 때에야 드러나고, 그때는 돈이 이미 옮겨 간 뒤입니다.

압축 파일이 왔는데 안에 이름이 아주 긴 파일 하나만 들어 있습니다. 이 모양이 수상한 이유는 무엇인가요?

정답 압축은 검사를 덜 받고, 긴 이름은 진짜 확장자를 가릴 수 있어서

압축 파일은 그냥 붙은 첨부라면 걸렸을 검사를 통과하고, 아주 긴 파일 이름은 «진짜 확장자를 화면 밖으로 밀어냅니다». 문서처럼 보이는 것이 실행 파일일 수 있습니다.

본인 확인이라며 카드 번호와 유효기간과 뒷면 세 자리를 넣으라는 칸이 있습니다. 어떻게 판단해야 하나요?

정답 뒷면 세 자리는 결제를 통과시키는 번호라서, 신원 확인에 그게 필요한 상대는 없다

카드 뒷면 세 자리는 «결제하는 순간 카드를 손에 들고 있다»는 것을 증명하려고 있는 숫자입니다. 신원을 확인하는 곳은 이미 내 계정을 갖고 있고, 그 숫자가 필요한 쪽은 «카드를 쓰려는 사람»뿐입니다.

환급을 해 주겠다며 주소와 생년월일과 어머니 성함을 확인하라고 합니다. 무엇을 모으는 건가요?

정답 다른 곳에서 비밀번호를 재설정하고 전화 본인 확인을 통과할 답

주소·생년월일·어머니 성함은 여기서 신원 확인이 아닙니다 — 다른 회사에서 «비밀번호를 재설정하고 전화 확인을 통과하는» 답들입니다. 환급은 그것을 모으기 위한 구실입니다.

은행에서 온 연락에 링크가 없고, 카드 뒷면에 적힌 번호로 전화하라고 합니다. 어떻게 읽히나요?

정답 진짜 관행에 맞는다. 이미 손에 쥔 창구로 보내고 있으니까

내 «카드에 적힌 번호»로 걸라는 것은 공격자가 원하는 것의 정반대입니다. 자기가 통제하지 못하는 통로로 사람을 보내기 때문입니다. 몇 안 되는 구조적인 선의의 표시입니다.

일 분 전에 내가 비밀번호 재설정을 요청했고 그 메일이 왔습니다. 이게 평범한 이유는 무엇인가요?

정답 쓰던 서비스에서 조금 전에 내가 직접 시작한 절차라서

증거는 «시각»입니다. 몇 초 전에 내가 아는 서비스에서 직접 시작했으므로, 이 메일은 느닷없는 접근이 아니라 «내가 한 일에 대한 답»입니다.

배송 안내가 내 주문과 맞고, 택배사 사이트를 직접 열어 봐도 같은 상태가 떠 있습니다. 무엇을 한 건가요?

정답 다른 경로로 따로 확인했다

«독립된 두 번째 경로»로 확인했다는 것이 요점입니다. 독립됐다는 말이 핵심이라, 같은 메시지 안의 링크를 눌러 확인하는 것은 아무것도 증명하지 못합니다.

결제 알림에 카드 뒷 네 자리와 맞는 금액이 있고, 아무것도 요구하지 않습니다. 얼마나 수상한가요?

정답 특별히 수상하지 않다. 내 결제와 맞고 아무것도 요구하지 않으니까

내가 한 결제와 맞고 아무것도 요구하지 않으므로 할 일이 없습니다. 판매점이 카드 «끝 네 자리»를 보여 주는 것은 흔한 일이고, 전체 번호를 보여 주는 일은 없습니다 — 그랬다면 그것이 경고입니다.

로그인을 누른 바로 그 순간에 인증번호가 왔습니다. 그대로 읽으면 무엇인가요?

정답 방금 내가 한 동작에 딸린 번호다

「로그인」을 누른 그 순간에 온 코드는 그 행동에 딸린 것입니다. 위험한 것은 «아무것도 안 했는데» 오는 코드이고, 그것은 누군가 이미 내 비밀번호를 갖고 있다는 뜻입니다.

내가 직접 신청한 소식지 끝에 수신 거부 링크가 있습니다. 그 링크가 수상함의 근거가 되나요?

정답 안 된다. 볼 것은 로그인이나 결제를 요구하는지 여부다

수신거부 링크는 대부분의 나라에서 «법으로 요구»되는 것이라 지극히 평범합니다. 중요한 것은 그 링크가 무엇을 요구하느냐입니다 — 수신거부를 하려고 비밀번호를 넣으라는 면은 수신거부 면이 아닙니다.

공적 통지가 링크 대신 「이미 깔아 둔 공식 앱에서 확인하라」고 합니다. 이 모양이 안심되는 이유는 무엇인가요?

정답 보낸 쪽이 쥐고 있지 않은 경로로 옮기게 하니까

이미 깔아 둔 앱으로 오라는 것은 카드에 적힌 번호로 걸라는 것과 같은 이유로 좋은 신호입니다 — 통제권을 보낸 쪽에서 «나에게» 되돌려 줍니다.

동료의 요청이 이상해서 예전부터 알던 번호로 전화했더니 본인이 맞다고 합니다. 이 통화로 무엇이 확인됐나요?

정답 요청 자체가 진짜라는 것. 공격자가 쥐지 못한 경로로 확인했으니까

그 통화가 확인한 것은 «요청 자체가 진짜인가»이고, 그것도 공격자가 통제하지 못하는 통로로 확인했습니다. 이 확인은 계정이 털린 경우까지 막아 냅니다 — 메시지가 진짜인지에 «기대지 않기» 때문입니다.

무슨 일이 있었다고 알려 주기만 하고 아무것도 요구하지 않는 경고가 왔습니다. 사기 경고와 무엇이 다른가요?

정답 사기는 거의 언제나 내 행동이 필요해서, 아무것도 요구하지 않는 알림은 얻을 게 적다

피싱은 내가 무언가를 해야 합니다 — 누르거나, 답하거나, 보내거나, 코드를 넣어야 합니다. 아무것도 요구하지 않는 메시지는 돈이 될 길이 없고, 그래서 순수한 알림은 진짜인 경우가 훨씬 많습니다.

진짜로 다뤄도 된다는 것을 가장 강하게 받쳐 주는 조합은 무엇인가요?

정답 내가 한 일과 시점이 맞고, 이상한 요구가 없고, 직접 확인해도 같은 것이 나온다

한 가지 표시로는 정해지지 않습니다. 그래서 답이 «조합»입니다 — 내가 한 일과 시각이 맞고, 이상한 것을 요구하지 않으며, 돌아가는 길을 «그쪽이 준 것이 아니라 내가 고른» 것입니다.