[카드뉴스] 서비스형 피싱 공격 ‘PhaaS’

PhaaS는 클라우드로부터 기존 피싱 공격을 감행하는 것으로, 서비스형 피싱 공격(Phising as a Service)의 약자다. 피싱(Phising)은 사용자의 금융 정보와 패스워드를 낚는 것에서 유래된 사이버 공격이며, Private Data와 Fishing의 합성어다.

PhaaS가 등장한 것은 전문 기술이 없는 사용자(의뢰인)와 공격 능력 및 도구를 가진 판매자(해커)들의 이해관계가 맞아 떨어지면서부터다. 피싱이 이제는 SaaS(Software as a Service)와 비슷한 방식으로 구독자가 원하는 부분만 별도로 구독 서비스를 제공하는 서비스형 피싱으로 영역을 확장하게 됐다.

전문 사이버 범죄집단(해커)들은 피싱에 필요한 모든 프로세스를 단계별로 세분화해 의뢰자의 요구에 따라 구독 기반으로 제공하며, 이러한 은밀한 거래는 다크웹에서 활성화되고 있다.

PhaaS의 급성장으로 인한 위험성은 크게 세 가지다. 첫 번째는 상대적으로 저렴한 비용이다. 기존 피싱 공격에 비해 공격하는 데 드는 비용이 1/4밖에 되지 않아 공격자들이 거두는 실익이 증가한다.

두 번째는 신속한 차단이 불가능하다는 점이다. 실제 판매자(제작자)를 찾아내기 힘들기 떄문에 연쇄적인 공격을 신속하게 차단하지 못한다. 피싱 키트의 제작자와 사용자가 나뉘게 되면서 공격자(사용자)를 찾는다 해도 제작자를 찾기는 어렵다.

세 번째는 기술이 필요 없다는 점이다. PhaaS를 전문적으로 공급하는 업체가 등장하고, 사용자와 판매자간 생태계가 구축된 상태다. 따라서 PhaaS를 활용하면 해킹 기술이나 피싱 공격 기술을 보유하고 있지 않은 초보자들도 동시다발적인 공격을 감행할 수 있게 된다.

PhaaS 공격을 대비할 수 있는 방안으로는 ①소프트웨어 패치 및 업데이트 유지 ②백업 활성화 ③피싱 공격의 지원지로 알려진 웹사이트 차단 ④피싱 방지 소프트웨어 사용 등이 있다.
[제작=서울여자대학교 정보보호학과 학생회 플레이스]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다