프리텍스팅 (Pretexting)
쉽게 풀면
프리텍스팅은 "핑계(pretext)"라는 단어처럼, 그럴듯한 이야기를 미리 짜 놓고 그 안에서 상대를 속이는 방식입니다. 예를 들어 공격자가 본사 감사팀 직원인 척 전화를 걸어 "정기 점검 중인데 확인이 필요하다"며 계정 정보를 요구하는 식입니다. 피싱이 주로 이메일 한 통으로 승부를 보는 것과 달리, 프리텍스팅은 대화나 상호작용을 통해 신뢰를 쌓아가며 정보를 조금씩 얻어내는 경우가 많습니다.
왜 중요한가
프리텍스팅은 전화, 대면, 이메일 등 다양한 채널에서 다른 사회공학 공격의 밑바탕이 되는 시나리오 구성 기법이기 때문에, 정보보안학에서 공격 시나리오 설계와 방어 훈련 설계 모두에 중요한 개념으로 다뤄집니다. 조직의 신원 확인 절차가 얼마나 취약한지를 점검하는 침투테스트에서도 자주 활용됩니다. 원격근무 확산으로 대면 확인이 어려운 조직일수록 프리텍스팅에 취약해진다는 지적이 있어, 최근에는 화상통화나 다단계 인증 같은 절차가 대응 방안으로 함께 논의됩니다.
논문에서는 이렇게 쓰입니다
가짜 상황을 만들어 직원의 협조를 얻어내는 방식으로 테스트를 진행했다는 뜻입니다.
실제 사례를 바탕으로 공격자가 쓰는 대화 방식을 분류했다는 의미입니다.
조금 더 깊게 보면
프리텍스팅은 대체로 조직 구조, 업무 절차, 직원 이름 등 사전 조사한 정보를 활용해 시나리오의 신빙성을 높이며, 전화 기반으로 이뤄질 경우 비싱과, 물리적 출입과 결합될 경우 테일게이팅과 겹치는 경우가 많습니다. 방어 연구에서는 신원 확인 절차의 표준화와 직원의 검증 습관 형성이 핵심 대응 방안으로 논의됩니다. 프리텍스팅 시나리오는 대상이 자연스럽게 협조하도록 권위(상사나 감사팀을 사칭), 긴급성(당장 처리하지 않으면 문제가 생긴다는 압박), 친밀감(동료인 척 접근) 같은 심리적 지렛대를 조합해 구성되는 경우가 많다는 점이 사회공학 연구에서 분석됩니다.
주의할 점
프리텍스팅은 기술적 흔적을 거의 남기지 않는 경우가 많아 로그 기반 탐지가 어렵고, 사고 발생 후에야 인지되는 경우가 흔하다는 한계가 있습니다.
프리텍스팅은 기술적 보안 장치를 우회하는 인간 심리에 대한 공격이므로, 방화벽이나 백신 같은 기술적 대책만으로는 근본적인 방어가 어렵다는 한계가 있습니다.