최근 한 보안 전문가가 기업의 로그인 시스템과 도메인 관리 방식이 피싱(phishing) 공격에 취약한 환경을 조성하고 있다고 지적했습니다. 사용자나 DNS(Domain Name System) 구조를 탓하기보다, 정상적인 웹사이트를 사기 사이트와 구별하기 어렵게 만드는 기업의 관행을 바꿔야 한다는 주장입니다.
문제는 기업의 로그인 과정이 여러 외부 도메인을 거치거나, 사용자명·비밀번호·2단계 인증(2FA) 요구 화면이 회사 도메인 밖에 위치하는 경우가 많다는 점입니다. 예를 들어, 회사 웹사이트에서 출발해 login.smallcrow.com, experience.crow-cloud.com 같은 외부 인증 도메인을 거쳐 다시 회사 사이트로 돌아오는 식입니다. 여기에 토큰 만료로 예고 없이 인증 팝업이 나타나면, 사용자는 정상 절차와 사기를 거의 구분할 수 없게 됩니다. 이는 사용자가 URL(Uniform Resource Locator)을 확인하는 습관을 들이기 어렵게 만들고, 공격자는 회사 로고와 비밀번호 입력창만 갖춘 웹사이트를 만들어도 쉽게 사용자를 속일 수 있게 됩니다.
이러한 관행은 URL의 복잡한 읽는 방향과 맞물려 비기술 사용자에게 혼란을 가중시킵니다. 호스트명과 스킴은 구체적인 것에서 일반적인 것으로 읽히는 반면, 경로는 반대 방향으로 읽히는 등 직관적이지 않습니다. 따라서 조직은 잘 알려진 단일 루트 도메인 아래에 모든 내부 서비스를 배치하고, 이메일이나 SMS(Short Message Service)로 보내는 링크 역시 사용자가 알아볼 수 있는 자체 도메인에 속하도록 해야 합니다. 외부 사이트로 안내해야 할 경우에도 자체 도메인에 리디렉션(redirection)이나 링크를 마련하는 것이 바람직합니다. 이는 단순히 로그인 페이지뿐 아니라 모든 서비스에 적용되어야 할 원칙으로, 사회공학(social engineering) 공격을 막고 좋은 보안 습관을 형성하는 데 필수적입니다.
일부에서는 하위 도메인(subdomain) 자체가 범죄자의 사칭을 허용한다며 DNS 구조를 문제 삼기도 하지만, DNS는 40년 넘게 구조가 바뀌지 않은 계층 시스템입니다. 문제는 DNS 자체가 아니라, 정상 사이트들이 사기 사이트와 구별하기 어렵게 만드는 관행이 널리 퍼져 있다는 점입니다. 심지어 정부 기관조차 할당받은 최상위 도메인(TLD)을 일관되게 사용하지 않는 경우가 있습니다. 이러한 기업의 무책임한 관행은 사용자를 보안 취약성에 노출시키고, 피싱 공격의 성공률을 높이는 주요 원인이 됩니다.
결론적으로, 피싱 공격의 책임은 사용자에게만 있는 것이 아닙니다. 기업이 명확하고 일관된 도메인 및 연락처 원칙을 수립하고 준수하는 것이 중요합니다. 이는 보안 교육이나 기술적 방어만큼이나 중요한 요소이며, 기업이 사용자 보안에 대한 책임을 다하는 첫걸음이 될 것입니다. 이러한 변화는 장기적으로 기업의 신뢰도를 높이고, 사용자들의 안전한 디지털 환경을 조성하는 데 기여할 것입니다.