프리텍스팅 (Pretexting)
한 줄 정의: 공격자가 그럴듯한 가짜 상황과 신분을 꾸며내어 상대의 신뢰를 얻은 뒤 정보나 접근 권한을 얻어내는 사회공학 기법입니다.
쉽게 풀면
프리텍스팅은 "핑계(pretext)"라는 단어처럼, 그럴듯한 이야기를 미리 짜 놓고 그 안에서 상대를 속이는 방식입니다. 예를 들어 공격자가 본사 감사팀 직원인 척 전화를 걸어 "정기 점검 중인데 확인이 필요하다"며 계정 정보를 요구하는 식입니다. 피싱이 주로 이메일 한 통으로 승부를 보는 것과 달리, 프리텍스팅은 대화나 상호작용을 통해 신뢰를 쌓아가며 정보를 조금씩 얻어내는 경우가 많습니다.
왜 중요한가
프리텍스팅은 전화, 대면, 이메일 등 다양한 채널에서 다른 사회공학 공격의 밑바탕이 되는 시나리오 구성 기법이기 때문에, 정보보안학에서 공격 시나리오 설계와 방어 훈련 설계 모두에 중요한 개념으로 다뤄집니다. 조직의 신원 확인 절차가 얼마나 취약한지를 점검하는 침투테스트에서도 자주 활용됩니다.
논문에서는 이렇게 쓰입니다
"침투테스트 시나리오는 IT 지원팀을 사칭한 프리텍스팅을 통해 직원의 계정 비밀번호 재설정을 유도하는 방식으로 설계되었다."
가짜 상황을 만들어 직원의 협조를 얻어내는 방식으로 테스트를 진행했다는 뜻입니다.
"본 연구는 콜센터 환경에서 발생한 프리텍스팅 시도 사례를 수집하여 공격자가 활용하는 대화 전략을 유형화하였다."
실제 사례를 바탕으로 공격자가 쓰는 대화 방식을 분류했다는 의미입니다.
조금 더 깊게 보면
프리텍스팅은 대체로 조직 구조, 업무 절차, 직원 이름 등 사전 조사한 정보를 활용해 시나리오의 신빙성을 높이며, 전화 기반으로 이뤄질 경우 비싱과, 물리적 출입과 결합될 경우 테일게이팅과 겹치는 경우가 많습니다. 방어 연구에서는 신원 확인 절차의 표준화와 직원의 검증 습관 형성이 핵심 대응 방안으로 논의됩니다.
주의할 점
프리텍스팅은 기술적 흔적을 거의 남기지 않는 경우가 많아 로그 기반 탐지가 어렵고, 사고 발생 후에야 인지되는 경우가 흔하다는 한계가 있습니다.