가장(Pretexting)은 정보를 빼내기 위해 거짓 시나리오를 만들어내는 기법입니다. 공격자는 전화를 걸거나 이메일을 보내거나 직접 방문할 이유를 만들어냅니다. 예를 들어, 문제를 해결하는 IT 기술자, 기록을 업데이트하는 공급업체, 규정 준수를 확인하는 감사관 등으로 가장합니다. 이러한 거짓 이야기는 질문을 할 구실을 제공하고, 그 답변을 통해 필요한 정보를 얻을 수 있게 해줍니다. 가장은 순수한 사회 공학 기법입니다. 악성코드나 익스플로잇을 사용하지 않고, 그저 그럴듯한 거짓말만으로 이루어집니다.

이 기법이 효과적인 이유는 사람들이 도움을 주고 싶어 하기 때문입니다. 담당자의 이름과 부서 구조를 잘 아는 발신자는 신뢰할 만해 보입니다. 클립보드와 배지 모양의 목걸이를 착용한 방문객은 접수처를 지나쳐 갑니다. 가장 수법은 다른 기법과 결합되는 경우가 많습니다. 전화 통화로 가장을 구축하고, 악성 링크가 포함된 후속 이메일을 보내 통화에서 쌓인 신뢰를 악용합니다. 2020년 트위터 해킹 사건에서도 가장 수법을 사용하여 직원들이 내부 도구에 대한 접근 권한을 넘겨주도록 유도했습니다. 공격자들은 이후 유명 계정을 탈취했습니다. 방어를 위해서는 검증이 필수적입니다. 알고 있는 번호로 다시 전화를 걸고, 별도의 채널을 통해 신원을 확인하십시오. 요청자가 권위 있어 보이더라도 비정상적인 요청에는 의문을 제기하도록 직원들을 교육해야 합니다.

흔한 구실

• IT 지원 - 사용자 계정 정보가 필요한 문제 해결
• 판매자 인증 - 계정 또는 결제 정보 업데이트
• 임원 요청 - 고위 임원의 긴급 업무
• 감사자 - 민감한 데이터가 필요한 규정 준수 점검
• 신입 직원 - 업무 수행을 위해 접근 권한 또는 정보가 필요합니다.

가장행위는 신뢰와 절차상의 허점을 악용합니다. 강력한 검증 절차는 거짓을 지속하기 어렵게 만듭니다.