피싱 공격을 손쉽게 실행할 수 있는 ‘피싱 키트(Phishing Kit)’가 텔레그램 등 메신저를 통해 저렴하게 판매되며 사이버 범죄의 진입 장벽을 급격히 낮추고 있다.
12일 노드VPN이 발표한 보고서에 따르면, 해당 키트는 25달러(약 3만5천 원) 이하에 거래되며, 누구나 기술적 지식 없이도 정교한 피싱 웹사이트와 공격 시나리오를 구현할 수 있다.
피싱 키트는 웹사이트 제작 도구와 이메일 템플릿, 연락처 리스트 등 공격에 필요한 요소들이 포함된 일종의 ‘사전 제작형 범죄 패키지’다.
단순한 드래그 앤 드롭 방식만으로 실제 기업 웹사이트와 유사한 페이지를 제작할 수 있어, 계정 탈취, 개인정보 유출, 랜섬웨어 감염 등의 범죄에 손쉽게 활용된다.
특히 최근에는 이러한 키트가 전문화되고, 자동화된 공격까지 지원하면서 사이버 범죄가 보다 대중화되고 있다는 점에서 우려가 크다.
더불어, 피싱을 서비스처럼 판매하는 ‘서비스형 피싱(PhaaS, Phishing-as-a-Service)’ 플랫폼까지 등장하고 있다.
PhaaS는 웹사이트 호스팅, 피해자 타깃팅, 공격 자동화 기능까지 제공하며, 피싱을 하나의 수익 모델로 전환시켰다.
이로 인해 사이버 위협은 더욱 정교하고 빠르게 확대되는 추세다.
노드VPN 조사에 따르면, 2024년 한 해 동안 사이버 범죄자들이 가장 많이 사칭한 브랜드는 구글, 페이스북, 마이크로소프트였다.
이들 브랜드를 모방한 피싱 URL만도 8만5천 건 이상이 탐지됐으며, 특히 가짜 구글 로그인 페이지는 계정 정보를 탈취하는 주요 수단으로 악용됐다.
노드VPN 황성호 지사장은 “피싱 공격은 사이버 범죄자가 민감한 정보에 접근하는 가장 흔하면서도 효과적인 방식”이라며, 예방을 위한 보안 수칙을 제시했다.
의심스러운 링크의 철자나 도메인을 반드시 확인하고, 불특정 무료 콘텐츠 사이트 이용 시에는 악성코드 감염 위험에 유의해야 한다.
계정에는 다중 인증(MFA)을 설정하고, 의심스러운 이메일은 발신자를 확인 후 신중히 검토하는 습관이 필요하다.
또한 파일 다운로드 전에는 악성코드 검사를 시행하고, 광고 차단 및 개인정보 보호용 도구 사용도 권장된다.
무엇보다도 운영체제와 보안 소프트웨어를 최신 상태로 유지해 알려진 취약점을 사전에 차단하는 것이 중요하다.
황 지사장은 “피싱 키트와 PhaaS는 기술력이 없는 일반인도 사이버 공격에 가담할 수 있게 만든 구조”라 말했다.
그는 “사이버 범죄의 확산 속도가 과거와 비교할 수 없을 정도로 빨라진 만큼, 사용자 개인의 보안 인식 강화가 시급하다”고 강조했다.
박세준 (karung2@sabanamedia.com) 기사제보
