보안 용어 풀이 — 피싱 가계도: 피싱 · 스피어피싱 · 웨일링 · BEC · VEC · 퀴싱

"피싱"은 흔히 포괄적인 용어로 쓰이지만, 그 아래의 용어들은 의미 있게 다른 공격들을 가리킵니다. 이 가족을 읽는 유용한 방법: 표적이 좁아질수록 페이로드는 옅어지고 신뢰가 그 일을 대신한다.

넓은 것에서 정밀한 것으로

• 피싱(Phishing) — 가장 넓은 용어. 표적 없이 대량으로 던지는 미끼입니다. 가짜 로그인 페이지, 가짜 배송 알림, 가짜 청구서. 노력은 적고, 대상당 성공률은 낮지만, 물량이 막대합니다.
• 스피어피싱(Spear Phishing) — 표적형 피싱. 실제 정보(직책, 프로젝트, 최근 사건)를 이용해 특정 인물이나 팀에 맞춰진 메시지로, 대량 미끼보다 훨씬 설득력이 큽니다.
• 웨일링(Whaling) — "큰 물고기"를 노리는 스피어피싱. 임원 등 권한이 큰 표적을 겨냥하며, 한 번의 성공이 큰 값어치를 가집니다.
• BEC(비즈니스 이메일 탈취) — 신뢰받는 상대(임원, 공급업체)를 사칭해 업무 행위를 유도하는 사기. 송금, 계좌 정보 변경, 상품권 구매 등입니다. 링크도 첨부도 아예 없는 경우가 잦습니다. 공격은 언어와 권위입니다.
• VEC(공급업체 이메일 탈취) — BEC의 날카로운 하위종으로, 공격자가 실제 공급업체의 진짜로 탈취된 메일함에서, 진짜 스레드 안에서 보냅니다. 위조된 것이 없으니 인증이 통과합니다. (주간 리포트 #4에서 다뤘습니다.)
• 퀴싱(Quishing) — 링크를 QR 코드 이미지로 전달하는 피싱. URL 스캐너를 우회하고 클릭을 개인 휴대폰으로 옮깁니다. (주간 리포트 #2.)

알아둘 만한 사촌들: 스미싱(smishing) — 문자(SMS)를 통한 피싱, 비싱(vishing) — 음성 피싱으로, 점점 AI로 복제한 음성을 씁니다.

가족 전체를 관통하는 패턴

위에서 아래로 읽으면 한 가지 흐름이 분명합니다. 공격이 정밀해질수록 기술적 지표는 적어집니다. 대량 피싱에는 잡아낼 악성 링크와 수상한 첨부가 있습니다. BEC와 VEC에 이르면 스캔할 것이 거의 없습니다. 진짜 대화 속, 신뢰받는 듯한 요청 하나뿐입니다.

이것이 바로 탐지가 페이로드 매칭에서 맥락 조사로 옮겨가야 하는 이유입니다. 이 가족에서 가장 큰 피해를 주는 구성원은, 매칭할 것이 가장 적은 구성원입니다.

---

의심스러운 메일이 어느 가지에 속하는지 모르겠다면, 분석 콘솔에 넣고 에이전트별 분석을 읽어 보세요.