위스퍼 2FA부터 생성형 AI까지 더 교묘해져
[보안뉴스 김형근 기자] 보안 기업 바라쿠다(Barracuda)의 ‘2025 피싱 보고서’에 따르면, 사이버 범죄자들의 피싱 공격을 돕는 ‘서비스형 피싱’(PhaaS) 키트의 수가 2025년 한 해 동안 전년 대비 2배나 급증한 것으로 확인됐다.
위스퍼 2FA(Whisper 2FA)나 고스트프레임(GhostFrame) 같은 신흥 피싱 세력들이 분석을 방해하는 정교하고 회피적인 도구들을 속속들이 도입하면서 보안 팀의 대응이 더욱 힘겨워지고 있다.
기존의 강자인 맘바(Mamba)와 타이쿤(Tycoon) 그룹 역시 수백만 건의 공격을 성공시키며 기술을 철저하게 고도화하고 있다.
2025년 피싱 키트에서 가장 두드러진 특징은 다중 인증(MFA) 우회 기술과 URL 난독화 기술로, 각각 전체 공격의 48%라는 큰 비중을 차지했다. 보안 장비의 자동 분석을 피하기 위해 캡차(CAPTCHA)를 악용하는 수법도 43%에 달해, 공격자들이 방어 체계를 낱낱이 연구하고 있음을 보여줬다.
이외에도 다형성 기법이나 악성 QR 코드를 활용한 공격이 20%를 기록했으며, 신뢰할 수 있는 플랫폼 사칭이나 생성형 AI 도구를 활용한 공격도 각 10%씩 포착되는 등 심각한 양상을 띠고 있다.
피싱 이메일의 주제는 예년과 비슷하지만, 생성형 인공지능(AI) 덕분에 문구와 로고가 정밀하게 다듬어져 사용자가 가짜임을 눈치채기 어렵게 진화했다.
전체 피싱 메일의 19%는 결제 및 송장 사기와 관련된 것으로 나타났으며, 디지털 서명이나 문서 검토를 사칭한 공격(18%), 인사(HR) 관련 안내(13%)가 그 뒤를 잇는 것으로 나타났다.
바라쿠다의 아속 사크티벨(Ashok Sakthivel) 기술 이사는 피싱 키트의 양적·질적 성장이 초보 해커들에게도 대규모 캠페인을 벌일 수 있는 강력한 플랫폼을 제공하고 있다고 심각하게 경고했다.
이러한 키트들은 사용자와 보안 시스템이 사기를 탐지하기 어렵게 만드는 최신 기술들을 통합하고 있어 기존의 정적인 방어 체계로는 한계가 있다. 따라서 기업들은 단순히 비밀번호를 강화하는 수준을 넘어, 사용자 교육과 더불어 “피싱 저항(Phishing-resistant)’ 기능이 있는 MFA 도입 등 다층적인 방어 전략을 철저하게 수립해야 한다.
또한 이메일 보안을 통합 보안 전략의 핵심으로 삼고 지속적인 모니터링을 병행하는 것이 중대한 과제로 떠올랐다.결국 2025년은 기술의 발전이 공격자들에게 더 유리하게 작용하며 피싱의 문턱을 낮춘 한 해로 기록될 전망이다.
해커들은 생성형 AI와 노코드 플랫폼을 이용해 더 빠르고 정밀하게 공격 도구를 만들어내고 있으며, 이는 전 세계 기업들에게 중대한 위협이 되고 있다. 보안 담당자들은 변화하는 피싱 키트의 동향을 자세하고 파악하고, 위협에 선제적으로 대응할 수 있는 능력을 갖추는 것이 무엇보다 중요하다.
바라쿠다의 보고서는 현대의 피싱이 단순한 속임수를 넘어 고도로 자동화된 첨단 산업으로 변모했음을 보여준다.
[김형근 기자(editor@boannews.com)]
[보안뉴스 김형근 기자] 보안 기업 바라쿠다(Barracuda)의 ‘2025 피싱 보고서’에 따르면, 사이버 범죄자들의 피싱 공격을 돕는 ‘서비스형 피싱’(PhaaS) 키트의 수가 2025년 한 해 동안 전년 대비 2배나 급증한 것으로 확인됐다.
위스퍼 2FA(Whisper 2FA)나 고스트프레임(GhostFrame) 같은 신흥 피싱 세력들이 분석을 방해하는 정교하고 회피적인 도구들을 속속들이 도입하면서 보안 팀의 대응이 더욱 힘겨워지고 있다.
[출처: gettyimagesbank]
기존의 강자인 맘바(Mamba)와 타이쿤(Tycoon) 그룹 역시 수백만 건의 공격을 성공시키며 기술을 철저하게 고도화하고 있다.
2025년 피싱 키트에서 가장 두드러진 특징은 다중 인증(MFA) 우회 기술과 URL 난독화 기술로, 각각 전체 공격의 48%라는 큰 비중을 차지했다. 보안 장비의 자동 분석을 피하기 위해 캡차(CAPTCHA)를 악용하는 수법도 43%에 달해, 공격자들이 방어 체계를 낱낱이 연구하고 있음을 보여줬다.
이외에도 다형성 기법이나 악성 QR 코드를 활용한 공격이 20%를 기록했으며, 신뢰할 수 있는 플랫폼 사칭이나 생성형 AI 도구를 활용한 공격도 각 10%씩 포착되는 등 심각한 양상을 띠고 있다.
피싱 이메일의 주제는 예년과 비슷하지만, 생성형 인공지능(AI) 덕분에 문구와 로고가 정밀하게 다듬어져 사용자가 가짜임을 눈치채기 어렵게 진화했다.
전체 피싱 메일의 19%는 결제 및 송장 사기와 관련된 것으로 나타났으며, 디지털 서명이나 문서 검토를 사칭한 공격(18%), 인사(HR) 관련 안내(13%)가 그 뒤를 잇는 것으로 나타났다.
바라쿠다의 아속 사크티벨(Ashok Sakthivel) 기술 이사는 피싱 키트의 양적·질적 성장이 초보 해커들에게도 대규모 캠페인을 벌일 수 있는 강력한 플랫폼을 제공하고 있다고 심각하게 경고했다.
이러한 키트들은 사용자와 보안 시스템이 사기를 탐지하기 어렵게 만드는 최신 기술들을 통합하고 있어 기존의 정적인 방어 체계로는 한계가 있다. 따라서 기업들은 단순히 비밀번호를 강화하는 수준을 넘어, 사용자 교육과 더불어 “피싱 저항(Phishing-resistant)’ 기능이 있는 MFA 도입 등 다층적인 방어 전략을 철저하게 수립해야 한다.
또한 이메일 보안을 통합 보안 전략의 핵심으로 삼고 지속적인 모니터링을 병행하는 것이 중대한 과제로 떠올랐다.결국 2025년은 기술의 발전이 공격자들에게 더 유리하게 작용하며 피싱의 문턱을 낮춘 한 해로 기록될 전망이다.
해커들은 생성형 AI와 노코드 플랫폼을 이용해 더 빠르고 정밀하게 공격 도구를 만들어내고 있으며, 이는 전 세계 기업들에게 중대한 위협이 되고 있다. 보안 담당자들은 변화하는 피싱 키트의 동향을 자세하고 파악하고, 위협에 선제적으로 대응할 수 있는 능력을 갖추는 것이 무엇보다 중요하다.
바라쿠다의 보고서는 현대의 피싱이 단순한 속임수를 넘어 고도로 자동화된 첨단 산업으로 변모했음을 보여준다.
[김형근 기자(editor@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
강현주기자 기사보기
.gif)
.png){kind=spacer}
.jpg)
.jpg)
