직원이 피싱 메일의 링크를 눌렀거나 첨부파일을 열었다면 처음 1시간 동안 할 일은 네 가지입니다. 해당 기기의 네트워크를 끊고, 다른 안전한 기기에서 계정 비밀번호를 바꾸고, 사내 담당자에게 바로 보고하고, 원본 메일과 화면 캡처 같은 증거를 지우지 않고 보존한 뒤, 후속 조치로 로그인 세션을 모두 종료하고 피해 범위를 판단해 외부 기관 신고 여부를 결정합니다.
링크를 누른 직후 가장 먼저 해야 할 조치는 무엇인가요?
가장 먼저 해당 기기의 네트워크를 끊고, 이어서 비밀번호 변경, 보고, 증거 보존 순서로 대응합니다. 공격자는 빼낸 계정 정보를 곧바로 써서 메일함에 접근하거나, 내부 직원에게 2차 피싱 메일을 보내거나, 다른 시스템으로 침투를 넓힐 수 있으므로 대응이 빠를수록 추가 피해를 줄일 수 있습니다. 따라서 아래 순서를 미리 정해 두고 모든 직원이 똑같이 따르도록 하는 것이 좋습니다.
- 네트워크 분리: 링크를 누르거나 첨부파일을 연 기기에서 유선 랜선을 뽑고 무선 연결을 끕니다. 전원은 끄지 않습니다. 메모리(전원이 꺼지면 지워지는 임시 기억 공간)에 남은 흔적이 조사에 필요할 수 있기 때문입니다.
- 안전한 기기에서 비밀번호 변경: 감염이 의심되는 기기 말고 다른 기기에서 해당 계정의 비밀번호를 바꿉니다. 같은 비밀번호를 쓰는 다른 서비스 계정도 함께 바꿉니다.
- 즉시 보고: 정보보호 담당자나 전산 담당자에게 클릭한 시각, 입력한 정보, 메일 제목과 발신 주소를 알립니다.
- 증거 보존: 원본 메일은 지우지 않고, 화면을 캡처해 둔 뒤 담당자의 지시에 따라 전달합니다.
특히 보고가 늦어지는 경우가 많습니다. 직원이 질책을 걱정해 사실을 숨기는 일이 흔하기 때문입니다. 경영진은 신속하게 보고한 직원을 문책하지 않는다는 원칙을 평소에 분명히 알려 두어야 합니다. 이 원칙이 있어야 사내 보안 대응 체계가 실제로 작동합니다.
비밀번호만 바꾸면 충분한가요?
충분하지 않습니다. 비밀번호를 바꿔도 공격자가 이미 받아 둔 로그인 세션 토큰(로그인 상태를 유지하는 인증 정보)이 살아 있으면 계속 접속할 수 있습니다. 그래서 비밀번호를 바꾼 뒤에는 계정 관리 화면에서 모든 기기의 로그아웃을 실행하고, 접속 기록에서 낯선 지역이나 낯선 기기의 로그인이 있었는지 확인해야 합니다.
메일 계정이 노출되었다면 다음 항목도 점검합니다.
- 자동 전달 규칙: 받은 메일을 외부 주소로 자동 전달하는 규칙이 새로 생겼는지 확인합니다. 공격자가 오랫동안 정보를 빼내는 데 자주 쓰는 수법입니다.
- 받은편지함 필터: 특정 키워드가 담긴 메일을 바로 삭제하거나 보관함으로 옮기는 규칙이 있는지 봅니다. 이런 규칙은 피해자가 경고 메일을 보지 못하게 만듭니다.
- 연동 앱 권한: 메일이나 클라우드 문서에 접근 권한을 받은 외부 앱 가운데 모르는 것이 있으면 권한을 회수합니다.
- 보낸편지함: 본인이 보내지 않은 메일이 거래처나 동료에게 나갔는지 확인하고, 나갔다면 받은 사람에게 따로 알립니다.
다중 인증을 아직 쓰지 않는 계정이라면 이 단계에서 설정합니다. 비밀번호가 새어 나가도 추가 인증 단계가 있으면 공격자가 계정에 접근하기가 더 어려워집니다.
피해 범위는 어떤 기준으로 판단하나요?
대응 수준은 직원이 무엇을 했는지와 어떤 정보가 노출될 수 있었는지에 따라 정합니다. 아래 표는 사내에서 바로 쓸 수 있도록 상황별 위험도와 우선 조치를 정리한 것입니다.
| 상황 | 위험도 | 우선 조치 | 추가 검토 사항 |
|---|---|---|---|
| 링크만 열고 아무 정보도 입력하지 않음 | 낮음~중간 | 브라우저 기록·다운로드 폴더 확인, 백신 정밀 검사 | 자동 다운로드된 파일이 있는지 확인 |
| 가짜 로그인 화면에 아이디·비밀번호 입력 | 높음 | 비밀번호 변경, 전체 세션 종료, 다중 인증 설정 | 메일 전달 규칙과 접속 기록 점검 |
| 첨부파일 실행 또는 매크로 허용 | 매우 높음 | 네트워크 분리, 기기 격리, 전문 분석 의뢰 | 공유 폴더·내부 서버로 확산되었는지 확인 |
| 결제 정보·계좌 정보 입력 또는 송금 | 매우 높음 | 송금한 금융기관에 즉시 연락해 지급정지 가능 여부 확인, 수사기관 신고 | 거래 내역과 송금 시각 정리 |
| 고객 정보가 담긴 시스템 계정 노출 | 매우 높음 | 접근 기록 분석, 유출 여부 확인 | 법정 통지·신고 대상인지 검토 |
위험도가 '높음' 이상이면 해당 직원 한 사람의 문제로 끝나지 않을 가능성이 큽니다. 같은 메일을 받은 다른 직원이 있는지 메일 서버에서 검색하고, 같은 발신 주소와 도메인을 차단해 추가 피해를 막습니다.
외부 기관 신고는 언제, 어디에 해야 하나요?
금전 피해가 생겼다면 송금한 금융기관과 수사기관에 알리고, 개인정보가 유출되었다면 정보주체 통지와 함께 개인정보 유출 신고를 검토합니다. 해당 여부를 판단하기 어렵다면 아래에 안내한 공식 신고 안내를 먼저 확인합니다.
고객이나 임직원의 개인정보가 유출되었다면 개인정보 보호법에 따른 절차가 적용됩니다. 개인정보처리자는 유출 사실을 알게 되면 정보주체에게 유출 항목과 경위 등을 알려야 합니다. 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우, 민감정보나 고유식별정보가 유출된 경우, 외부의 불법 접근으로 유출된 경우 가운데 하나에 해당하면 신고 대상이며, 통지와 신고는 원칙적으로 유출을 알게 된 때부터 72시간 이내에 해야 합니다. 피싱으로 계정이 탈취되어 유출이 생겼다면 외부의 불법 접근에 해당할 수 있으므로, 유출 인원이 적더라도 신고 대상이 될 수 있습니다. 신고 방법과 신고처(개인정보보호위원회·한국인터넷진흥원)는 개인정보 유출 신고 안내에서 확인하고, 유출을 인지한 시점과 판단 근거를 기록해 두어야 합니다.
회사가 정보통신서비스 제공자 등에 해당한다면, 개인정보 유출 여부와 별개로 침해사고가 발생한 사실 자체에 대해 정보통신망법에 따른 침해사고 신고 의무가 있는지도 따로 확인해야 합니다.
송금 같은 금전 피해가 생겼다면 먼저 송금한 금융기관에 즉시 연락해 지급정지가 가능한지 확인합니다. 거래 유형에 따라 지급정지가 적용되지 않을 수 있으므로 금융기관의 안내를 따릅니다. 이어서 수사기관에 신고합니다. 경찰청 사이버범죄 신고 창구는 피해자 본인이 신고하도록 안내하고 있으며, 대리인이나 제3자는 경찰서를 방문해 신고할 수 있습니다. 회사 명의로 피해를 입은 경우 누가 신고인이 되는지는 신고 창구 안내나 관할 경찰서에서 확인합니다.
같은 일이 반복되지 않게 하려면 무엇을 바꿔야 하나요?
사고를 처리한 뒤에는 원인을 분석하고 재발 방지 대책을 문서로 남깁니다. 개인의 부주의로만 결론 내리지 말고, 그 메일이 왜 필터를 통과했는지, 왜 보고가 늦어졌는지를 함께 검토해야 실효성 있는 대책이 나옵니다.
- 기술적 조치: 모든 업무 계정에 다중 인증을 적용하고, 외부에서 온 메일에는 '외부 발신' 표시를 붙이며, 매크로가 포함된 첨부파일은 기본적으로 차단합니다.
- 관리적 조치: 계좌 정보 변경 요청은 메일만 보고 처리하지 않고, 메일 외의 별도 채널(예: 이미 알고 있는 전화번호)이나 추가 인증으로 다시 확인하는 절차를 둡니다.
- 교육 조치: 실제 사례를 바탕으로 모의 훈련을 정기적으로 하고, 의심 메일을 한 번에 신고할 수 있는 창구를 만들어 둡니다.
- 대응 문서화: 앞의 네 단계처럼 누가, 언제, 무엇을 하는지 정한 대응 절차서를 만들고 담당자의 연락처를 최신 상태로 유지합니다.
대응 절차서와 담당자 연락처를 이번 주 안에 정리해 전 직원에게 공유합니다. 클릭이 일어났을 때 누구에게 무엇을 알릴지 모든 직원이 알고 있어야 대응 속도를 높일 수 있습니다.
자주 묻는 질문
모바일 기기에서 링크를 눌렀을 때도 같은 절차를 따라야 합니까?
기본 순서는 같습니다. 데이터와 와이파이 연결을 끄고, 다른 기기에서 계정 비밀번호를 바꾼 뒤 담당자에게 보고합니다. 모르는 앱이 설치되었거나 설치를 허용했다면 기기 점검을 따로 받아야 합니다.
백신 검사에서 아무것도 나오지 않으면 안심해도 되나요?
안심하기는 이릅니다. 가짜 로그인 화면에 계정 정보를 입력한 경우는 기기에 악성코드가 없어도 계정이 이미 노출된 상태입니다. 백신 검사 결과와 관계없이 비밀번호를 바꾸고 세션을 종료하고 접속 기록을 확인해야 합니다.
사고 기록은 얼마나 자세히 남겨야 하나요?
클릭한 시각, 입력한 정보, 발견 시각, 조치한 내용과 조치한 사람을 시간 순서대로 적습니다. 이 기록은 법정 신고 대상인지 판단하고 재발 방지 대책을 세우는 근거가 됩니다. 기록은 담당자 한 사람이 한곳에 모아 관리합니다.