Cisco Talos가 2026년 3분기 사고 대응(IR) 동향 보고서를 발표했으며, 보안 팀에서 일한 적이 없더라도 핵심 발견 내용을 이해할 가치가 있습니다. 피싱은 여전히 가장 주요한 초기 침투 기법이었고, 랜섬웨어 및 랜섬웨어 사전 단계 사례의 비중이 증가했으며, 금융과 공공 행정이 가장 표적이 된 산업으로 공동 1위를 차지했습니다. 이 보고서는 또한 공격자들이 비싱(음성 피싱) 공격에서 IT 헬프 데스크를 사칭하는 점을 강조합니다. 이 글은 그 의미를 알기 쉽게 설명하고, 전화 한 통으로 시작되는 Talos 2026년 3분기 IR 동향으로부터 자신을 보호하는 방법을 알려드립니다.
Talos 2026년 3분기 보고서에서 발견된 내용
원문 자료는 해당 분기에 대한 간결한 요약을 제공합니다:
- 피싱이 여전히 1위. 공격자들이 첫 발판을 확보하는 주요 수단으로 남아 있었습니다.
- 랜섬웨어 비중 증가. 보고서가 다루는 이전 기간과 비교해 랜섬웨어 및 랜섬웨어 사전 단계 사례의 비율이 증가했습니다.
- 두 부문이 공동 1위. 금융과 공공 행정이 가장 표적이 된 산업이었습니다.
- 헬프 데스크 사칭. 공격자들이 비싱 공격에서 IT 헬프 데스크로 위장했습니다.
여기서 "랜섬웨어 사전 단계"가 중요합니다. 이는 대응 담당자들이 랜섬웨어 자체가 배포되기 전에 네트워크 내부에서 공격자를 발견한 사례입니다. 이는 많은 침입이 준비 단계에서 포착되거나 최소한 인지되고 있으며, 그 시점에는 신속한 조치로 여전히 피해를 제한할 수 있음을 시사합니다.
헬프 데스크 사칭 비싱은 어떻게 작동하는가
비싱은 음성을 통한 피싱입니다. 이메일의 의심스러운 링크 대신, 공격자가 전화를 걸어(때로는 메시지를 보내) IT 지원팀에서 왔다고 주장합니다. 이 수법은 보통 긴급성과 일상적인 상황을 기반으로 구성됩니다: 계정 문제, 보안 경고, 재설정이 필요한 비밀번호, 또는 반드시 설치해야 하는 소프트웨어 업데이트 등입니다.
이것이 통하는 이유는 사람들이 지원 직원에게 협조하도록 길들여져 있기 때문입니다. 이름이나 직책을 알고 있는 친절하고 자신감 있는 발신자는 신뢰할 수 있게 들릴 수 있습니다. 목표는 일반적으로 victim이 다음과 같은 몇 가지 행동 중 하나를 하도록 만드는 것입니다:
- 비밀번호나 일회용 다중 인증 코드를 공개하게 한다.
- 본인이 시작하지 않은 로그인 프롬프트를 승인하게 한다.
- "기술자"가 문제를 해결할 수 있도록 원격 접속 소프트웨어를 설치하게 한다.
- 그럴듯하지만 가짜인 로그인 페이지를 방문하게 한다.
공격자가 합법적으로 보이는 세션 또는 자격 증명을 확보하면, 시스템 내부를 조용히 이동할 수 있습니다. 이것이 바로 나중에 랜섬웨어 사고로 이어질 수 있는 유형의 발판입니다. Talos 요약은 이러한 공격의 모든 단계를 상세히 설명하지 않으므로, 실질적인 교훈은 첫 순간, 즉 전화 자체에 관한 것입니다.
IT 발신자를 확인하는 방법
가장 안전한 습관은 자격 증명, 코드, 원격 접속에 대한 예상치 못한 요청을 달리 입증하기 전까지 미확인으로 취급하는 것입니다. 몇 가지 간단한 단계가 도움이 됩니다:
- 전화를 끊고 다시 걸기. 회사 디렉터리, 공식 웹사이트, 또는 과거 청구서에 있는 번호를 사용하세요. 발신자가 알려준 번호는 절대 사용하지 마세요.
- 코드를 절대 공유하지 않기. 정당한 지원 직원은 비밀번호나 다중 인증 코드를 필요로 하지 않습니다.
- 요청에 따라 소프트웨어를 설치하지 않기. 원격 접속 도구는 본인이 직접 지원 요청을 시작한 경우에만 사용해야 합니다.
- 속도를 늦추기. 압박과 긴급성은 사회 공학의 주요 도구입니다. 확인 후에도 실제 문제는 여전히 존재할 것입니다.
- 신고하기. 속지 않았더라도 실제 IT 팀이나 보안 담당자에게 해당 시도를 알리세요. 다른 사람들도 같은 전화를 받고 있을 수 있습니다.
내부 티켓 시스템이 있는 곳에서 일한다면, 좋은 규칙은 실제 헬프 데스크 연락은 본인이 개설했거나 알고 있는 티켓으로 추적 가능해야 한다는 것입니다.
이것이 당신에게 의미하는 것
이 보고서는 조직과의 사고 대응 engagements를 기반으로 하지만, 전술은 사무실을 훨씬 넘어 적용됩니다. 많은 사람들이 집에서 업무 기기를 사용하고, 가정 네트워크에서 소규모 사업을 관리하며, 개인 생활과 직업 생활 전반에 걸쳐 동일한 계정을 재사용합니다. 직장에서 침해된 계정은 개인 데이터를 노출할 수 있고, 집에서 성공한 전화 사기는 동일한 종류의 자격 증명을 넘겨줄 수 있습니다.
랜섬웨어 비중의 증가는 초기 단계의 침해에 주의를 기울여야 함을 상기시킵니다. 전화 후 뭔가 이상하게 느껴진다면, 예를 들어 예상치 못한 프롬프트가 나타나거나 설치할 의도가 없었던 소프트웨어가 있다면, 신속하게 행동하세요. 깨끗한 기기에서 영향을 받은 비밀번호를 변경하고, 활성 세션에서 로그아웃하며, IT 담당자에게 알리세요.
전화 및 네트워크 보안은 또한 더 넓은 프라이버시 습관과 연결됩니다. 국가 규모에서 연결성과 모니터링이 얼마나 취약해질 수 있는지에 대한 맥락은 이란의 기록적인 1,000시간 인터넷 차단 보도를 참조하세요. 이는 다른 유형의 사건이지만, 누가 당신의 연결을 통제하고 관찰할 수 있는지 이해하는 것이 왜 중요한지를 보여줍니다.
실행 가능한 핵심 사항
- 예상치 못한 IT 전화는 미확인으로 취급하고, 신뢰할 수 있는 번호로 다시 전화하세요.
- 비밀번호나 다중 인증 코드를 절대 읽어주지 말고, 본인이 유발하지 않은 프롬프트를 절대 승인하지 마세요.
- 본인이 요청을 시작한 경우에만 원격 지원 도구를 설치하세요.
- 다중 인증을 활성화하고 소프트웨어와 백업을 최신 상태로 유지하세요. 랜섬웨어 사례가 사고에서 차지하는 비중이 증가하고 있기 때문입니다.
- 의심스러운 전화를 신속하게 신고하여 방어자들이 랜섬웨어 사전 단계 활동을 조기에 포착할 수 있도록 하세요.
Talos 2026년 3분기 IR 동향은 명확한 신호입니다: 공격자들은 여전히 이국적인 익스플로잇보다 사람에 더 의존합니다. 잠깐 멈추고 확인된 번호로 다시 전화하는 것이 헬프 데스크 비싱에 대한 가장 효과적인 방어 수단 중 하나로 남아 있습니다.
