2년 전 예상하지 못한 FedEx 통관 안내를 받았는데, 직원 개인이 보낸 듯한 이메일에 PDF가 첨부돼 있어 사기처럼 보였음
챗봇을 끈질기게 설득한 끝에 상담원에게 실제 FedEx 메시지임을 확인했지만, PDF에는 다른 사람의 정보가 들어 있었고 검은 사각형만 옮기면 가려진 내용을 볼 수 있는 엉터리 개인정보 마스킹까지 적용돼 있었음
해외 협력자가 보낸 깜짝 선물로 밝혀졌지만, 지금도 FedEx 로고를 보면 사기 같은 느낌이 남아 있음

수년 동안 FedEx에서 같은 메시지를 여러 번 받았으며, 여전히 이상하게 느껴짐

비기술직 고위 임원에게는 “진짜 영업사원이 술 냄새 나는 구겨진 양복 차림으로 나타나, 상품은 정체불명의 흰색 밴 뒤에서 볼 수 있지만 먼저 상품 가격만큼의 상품권을 보여 달라고 하는 것과 같다”고 설명할 만함

비유보다 핵심 기술을 간단히 전달하는 편이 나음
2000년대 초부터 회사가 보낸 메시지임을 입증하는 DNS와 HTTPS가 있는데 이를 지키지 않아 결제 요청이 사칭 메시지와 구별되지 않으며, 해당 국가에 구현하는 비용은 수만 달러 수준이지만 사칭 사기와 브랜드 훼손을 크게 줄일 수 있다고 설명하면 됨

회사 도메인에서 피싱 식별 교육을 받은 며칠 뒤, 외부 도메인에서 다른 교육을 이수하라는 이메일이 왔음
모두 교육에서 배운 전형적인 피싱이라고 판단해 무시했고, 일주일 뒤 경영진은 교육 이수율이 낮다고 불평했음

회사는 KnowBe4가 조직 외부 표시 없이 ‘공식’ 피싱 시험 메일을 보내도록 허용해, 진짜와 가짜를 구별할 방법을 없애 버렸음
게다가 KnowBe4 시험 메일에는 고유 헤더가 있어 쉽게 판별 가능하고, 내용 자체도 대개 지나치게 뻔함

직장에서 훈련용 피싱 메일을 신고하면 성공 페이지가 표시됨
피싱처럼 보이는 실제 업무 메일도 전부 신고하고 있으며, 이를 검토하는 IT 담당자가 수상한 공식 메일을 보내는 부서들 때문에 골치 아플 듯함

모바일처럼 마우스오버가 없는 환경에서도 이메일 앱이 URL 옆에 실제 링크 주소를 펼쳐 표시할 수 있다면 상당수 피싱을 막을 수 있음

거래 중인 은행이 개인정보 설문을 작성하면 iPad를 준다는 이메일을 보내며, 가끔 같은 날 사기 식별 안내문도 함께 발송함

클라우드 저장 공간 사기 메일을 자주 받는 계모에게 Google 저장 공간이 75% 찼다는 정상으로 보이는 메일이 왔지만, 모든 링크가 c.gle 도메인을 사용했음 whois c.gle은 getaddrinfo(whois.nic.gle): Name or service not known 오류가 나고 whois gle만 작동해 나조차 진위를 확신하기 어려웠으며, 비전문가는 판단할 방법이 없음

.gle은 Google이 운영하는 최상위 도메인이라 이론상 그 아래에는 Google 도메인만 존재하고, c.gle 같은 한 글자 도메인은 피싱에 소모하기도 비쌈
하지만 사용자가 이를 알아야 할 이유는 없으며, 공식적이고 긴급한 메시지에는 google.com이나 .google을 쓰는 편이 훨씬 나음
적어도 Microsoft처럼 이메일에 1drv.com을 쓰지는 않음

핵심은 대기업과 정부 기관이 적절한 신뢰 기준인 자체 도메인을 제대로 사용하지 않는 데 있음
새 도메인으로 이를 우회해도 조직의 무능은 결국 다른 곳에서 다시 드러남

ICANN이 새 최상위 도메인을 확대한 데에는 수익 증대와 DNS 루트가 미국 통제 밖으로 분산되는 것을 막으려는 계산이 있었음

다양한 최상위 도메인은 어느 정도 필요악임
이전에는 도메인 선점업자, 대기업, 벤처 투자금을 받은 스타트업이 괜찮은 주소를 대부분 차지해 쓸 만한 도메인을 구하기가 거의 불가능했음

검색 결과나 첫 화면에 올라온 글에서 낯선 최상위 도메인을 보면 신뢰하지 않고 대체로 무시함
여러 그럴듯한 단어를 하이픈으로 이어 붙인 도메인도 예전 피싱이 즐겨 쓰던 방식이라 또 다른 위험 신호임

지난 2년간 소유 중인 도메인을 발신 주소로 위조한 피싱 캠페인의 반송 메일을 받고 있는데, 피해자를 유도하는 도메인은 전부 .com이었음
최근에는 detention-unit.com을 사용했으며 영어가 모국어가 아닌 대상에게는 충분히 속을 만함
많은 서버 관리자가 SPF를 검사하지 않아 이런 메일이 실제 받은편지함까지 도달함

IRS의 전화 연결 시스템은 상용 음성 합성 시스템을 사용하는데, 가짜 콜센터 사기꾼도 같은 시스템을 써서 목소리가 완전히 똑같음
공식 시스템 자체가 가짜처럼 들리기 때문에 그 음성을 사기 판별 신호로 삼을 수도 없음

돈을 요구하는 수신 전화는 바로 끊고, 공식 출처에서 직접 찾은 기관 번호로 다시 전화하면 됨
금전 문제에서는 걸려 온 전화를 신뢰하지 않는 것이 원칙임

호주의 피싱 문자는 SIM 카드가 든 실제 전화가 아니라, 발신자 사칭을 허용한 통제되지 않은 SMS 게이트웨이에서 발생했음
최근에는 사업자가 발신자 이름을 등록하도록 해 허점을 일부 막았음

회선 개통에 대체 전화번호까지 요구하면 최초 가입자는 번호를 어디서 마련해야 하는지 순환 문제가 생김

TNT 택배를 인수한 뒤 호주 FedEx 법인을 FedEx Express, 즉 사실상 “Federal Express Express”라고 부르게 됐음
대기업이라면 https://fedex.au/duty/abc123처럼 깔끔한 공식 링크를 제공하고, 안내 페이지를 거쳐 복잡한 원래 주소로 이동하게 할 수 있어야 함

미국에서도 같은 명칭을 사용함

약 20년 전 Tire Rack에서 주문한 휠과 타이어를 부모님 집으로 배송했는데, FedEx 기사가 진입로 아래로 굴려 보내 외벽에 충돌시켰음
새 휠이 긁히고 외벽에 약 2만 달러 피해가 발생했으니, 그동안 정말 많이 발전한 모양임

다음 BlueShieldCA 메시지를 계속 받는데 진짜인지 판단할 수 없음 BlueShieldCA: ANON, you have an important benefits message in your health feed. blueshieldca.customerfeed.com/a/abcd12345 Txt help/stop Msg&DataRatesApply
BSCA에 직접 로그인하면 메시지함은 비어 있지만, 인터넷의 일부 글을 보면 customerfeed가 실제 서비스처럼 보임