브랜드 및 평판 보호

학습 목표

이 유닛을 완료하면 다음을 수행할 수 있습니다.

• 현재 구축된 이메일 보안을 확인할 수 있습니다.
• 가장 일반적인 이메일 보안 위협에 대해 설명할 수 있습니다.
• 피싱 및 스푸핑 사기의 징후를 인식할 수 있습니다.
• DMARC를 채택하고 이메일에 사용할 수 있습니다.

이메일은 생명선

이메일, 즉 전자 우편은 메시지를 송수신하는 방법으로 개발되었습니다. 이메일은 이제 비즈니스 세계에서 가장 중요하고 널리 사용되는 커뮤니케이션 시스템일 것입니다. 이 시스템은 클라이언트, 고객, 직원, 잠재 고객 및 공급업체와 연결하는 수단이며, 비즈니스의 거의 모든 부분에서 사용됩니다. 이메일로 소통하면 수신자는 여러분이 발신인이라고 믿고 내용을 신뢰하게 됩니다. 이메일은 평판에 직결되고, 평판은 가장 큰 성공의 이유 중 하나입니다. 이메일은 브랜드의 필수적인 부분입니다.

하지만 다음과 같은 문제도 있습니다. 기본 이메일 프로토콜인 SMTP(Simple Mail Transfer Protocol)는 개발된 지 30년이 넘었는데, 당시에는 이메일을 사용하는 사람은 물론이고 이메일에 대해 아는 사람도 많지 않았습니다. SMTP는 지금의 이메일 시스템이 매일 직면하는 보안 위협에 대처할 능력이 애초부터 없었습니다. 이메일 보안은 최신 상태로 유지하면 브랜드와 평판에 중요한 모든 것이라 할 수 있는 클라이언트, 직원 및 비즈니스가 보호됩니다.

이메일 시스템 해킹 또는 보안 침해가 발생한다고 상상해 보세요. 이제 사이버 범죄자들이 내 행세를 하고, 바이러스를 퍼트리고, 기밀 정보에 액세스함으로 인해 나를 신뢰하는 사람들이 피해를 입을 수 있습니다. 많은 비즈니스가 갑자기 중단될 것입니다. 피해는 엄청날 수 있습니다. 조직의 규모에 관계없이, 브랜드 및 평판 보호는 모든 조직의 중요한 목표가 되어야 합니다. 조직에서 이메일 보안을 강화하려면 DMARC를 구현해야 합니다. 그럼 자세히 살펴보겠습니다.

DMARC는 나의 친구

도메인 이름 스푸핑은 타인이 SMTP 서버와 이메일 소프트웨어를 사용하여 내 이메일 주소에서 이메일을 '보내는' 경우에 발생합니다. 이메일 보안과 평판을 이메일 및 도메인 스푸핑으로부터 보호하기 위해 DMARC(Domain-based Message Authentication, Reporting & Conformance)를 사용할 수 있습니다. DMARC를 사용하면 발신인이 자신의 메시지가 보호되고 있음을 알릴 수 있고, 수신인은 DMARC가 사용하는 인증 방법 중 하나가 성공하거나 실패할 경우 어떻게 해야 하는지 알게 됩니다.

DMARC의 운영상의 이점은 다음과 같습니다.

• 피싱 이메일을 사용자가 수신하기 전에 차단함
• 피싱 이메일이 시스템에 유입될 위험을 줄임
• 피싱 시도 실시간 알림

DMARC가 모든 유형의 스푸핑/피싱 공격을 해결하지는 않습니다. 해당 조직의 도메인 이름을 사용하는 공격만 차단하죠. 그렇기 때문에 다른 이메일 보안 메커니즘도 함께 사용 및 구현해야 합니다.

손뼉도 마주쳐야 소리가 납니다. 즉, 발신 조직과 수신 조직이 모두 DMARC 프로세스에 참여해야만 더 효과적입니다. 고객과 공급업체가 DMARC를 사용하면 양측이 모두 이메일 도메인 스푸핑으로부터 보호됩니다. 한쪽만 사용하면 아무도 보호되지 않습니다. DMARC 정책을 수립하고 이행하는 책임은 발신 조직의 몫입니다. 수신 조직은 DMARC 확인을 사용하도록 설정할 책임이 있습니다. 널리 알리고 타인의 채택을 장려하세요! 조직이 소유한 모든 도메인을 자체적인 DMARC 정책으로 보호해야 합니다.

다행히 DMARC를 구현하기는 쉽습니다. 세계 사이버 동맹(GCA)의 간단한 구현 지침을 공유해 드리니 확인해 보세요. 이 지침은 직접 이메일 도메인을 확인/DMARC를 사용하도록 설정하고, GCA DMARC 설정 가이드를 사용하고, DMARC Bootcamp 온라인 라이브러리를 액세스하는 데 도움이 됩니다. 

세계 사이버 동맹의 이메일 및 평판 보호 도구 상자를 통해 무료 DMARC 보고서 분석 도구를 확인할 수 있습니다. 또한 인터넷에서 내 웹사이트 또는 도메인을 가장하려고 하는 사람이 없는지 모니터링하는 데 도움이 되는 리소스도 포함되어 있습니다. 세계 사이버 동맹 이메일 및 평판 보호 도구 상자의 상표 보호 섹션 아래에 나열된 도구를 사용하여 상표를 보호할 수 있습니다.

이제 DMARC가 무엇인지 알았으므로. 무엇으로부터 보호해 주는지에 대해 알아보겠습니다. 이메일 공격은 대부분 피싱과 스푸핑을 통해 유입됩니다. 실제로 90%가 넘는 사이버 공격이 피싱 이메일로 시작됩니다.

피싱

피싱 이메일은 신뢰할 수 있는 출처의 '정당한' 요청처럼 보이게 하여 중요한 정보나 자금에 액세스하기 위해 사람을 속이려고 하는 수법입니다. 피싱 이메일은 정교해서 알아차리기가 매우 어려울 수 있습니다. 아주 작은 부분에서 불법 이메일임을 알 수 있는 단서를 발견할 수 있죠. 발신자의 이메일이 의심스럽다는 생각조차도 들지 않을 수 있습니다. 회사 이름의 철자가 한 글자 틀리거나, 배색이 약간 다를 수 있습니다. 피싱 사기에 대해 가장 잘 아는 사람도 속을 수 있습니다.

스푸핑

사이버 범죄자가 피싱을 시도할 때 사용하는 가장 일반적이고 쉬운 방법 중 하나는 '이메일 스푸핑'입니다. 스푸핑 공격은 사람이나 프로그램이 데이터를 위조해 다른 프로그램이나 사람인 것처럼 가장하는 데 성공하여 부당한 이익을 얻는 경우에 발생합니다. 스푸핑 공격자는 수신자가 가치 있는 정보를 공유하거나 작업을 대신 수행하도록 설득하려고 합니다. 이 수법은 여러 피싱 사기만큼 정교하고, 스푸핑 공격자는 피해자와 가상 세계에서 관계를 형성하는 경우가 많습니다. 스푸핑 공격자는 사용자의 컴퓨터 네트워크에 침투한 후 종종 멀웨어를 배포하고 여러 시스템을 손상시키고 상당한 피해를 초래합니다.

피싱과 스푸핑에 그치지 않는 위협

이 두 가지가 가장 일반적인 이메일 위협이지만, 더 많은 위협이 존재합니다. 다음과 같은 이메일 사기도 있습니다.

• BEC(Business Email Compromise): 전신 송금을 수행하고 해외에 공급업체가 있는 회사를 공략하는 사기의 일종입니다. BEC를 이용하는 공격자는 회사의 CEO, 공급업체 또는 변호사처럼 행세합니다. BEC에는 흔히 재무부에 자금 이체를 요청하는 수법이 사용됩니다. 이런 요청은 합법적인 것처럼 보이고, 수신인의 실제 이름을 사용하여 속게 만듭니다. 때로는 사기꾼이 CEO, 공급업체 또는 변호사의 이메일 계정을 액세스하는 더 심각한 사례도 있습니다. 신뢰할 수 있는 사람이 이메일을 보낸 것처럼 보인다고 해서 합법적이라고 단정하면 안 됩니다. 모든 요청을 확인해야 합니다.
• 스팸: 누구나 스팸을 받고, 무시하려고 합니다. 스팸은 그리 악의적이지 않고, 대부분 성가실 뿐입니다. 하지만 두 가지 종류의 스팸 이메일이 있습니다. 첫 번째는 제품이나 서비스를 팔기 위해 스패머들이 직접 보내는 스팸입니다. 이 스팸은 성가시지만 비교적 무해한 범주에 해당합니다. 바이러스에 감염된 컴퓨터에서 대량으로 보내는 스팸도 있습니다. 이런 스팸에 주의해야 하죠.

'그 정도는 내가 구분할 수 있다'고 생각할지도 몰라요. 어떤 경우에는 구분이 가능할 수도 있겠지만 이러한 피싱 이메일은 정말 실제 이메일처럼 보이고 설득력이 있을 수 있습니다. 최근에도 사람들이 계속 이 수법에 속아 넘어가고 있기 때문에 해커들이 이 수법을 계속 사용하고 있습니다. 강력한 이메일 보안을 구현하여 직원, 고객 및 비즈니스를 보호하세요.

요약

이메일은 여러분을 대표합니다. 이메일은 여러분의 브랜드와 평판의 중요한 일부입니다. 이메일 시스템에 침투해서 온갖 정보에 액세스하려고 모든 노력을 기울이는 사람들이 있습니다. DMARC는 비즈니스를 보호하는 가장 효과적인 방법이며, 이를 구현하는 데 도움이 되는 많은 리소스가 있습니다.

리소스

• 외부 사이트: GCA '이메일 및 평판 보호' 툴킷(영문)
• 외부 사이트: GCA '피싱 및 멀웨어 차단' 툴킷(영문)
• 외부 사이트: GCA 학습 포털: DMARC 이해하기(영문)(등록 필요)