피싱과 사회공학 — 문을 부수는 대신 초인종을 누른다

다섯 명 가운데 한 명

진짜처럼 꾸민 가짜 메일을 사람들에게 몰래 보내 보는 실험이 있습니다. 받은 사람이 메일 속 링크를 누르거나 정보를 적어 넣으면 「속았다」고 셉니다. 실험실 밖, 사람들이 평소대로 메일을 쓰는 자리에서 한 이런 실험 48편을 모아 보니, 속은 비율은 평균 21%였습니다 (DOI: 10.1109/ecrime47957.2019.9037502). 평균하면 가짜 메일을 받은 다섯 명 가운데 한 명꼴로 속았다는 뜻입니다. 무슨 메일이었느냐에 따라 이 비율은 크게 달랐습니다.

이 메일들은 컴퓨터를 부수려 하지 않았습니다. 받는 사람이 제 손으로 링크를 누르고, 제 손으로 정보를 적어 넣게 하려 했습니다. 보안이 뚫리는 주된 원인 하나가 바로 이것, 사람이 속는다는 기본적인 약점입니다 (DOI: 10.17705/1jais.00447). 많은 공격이 이런 메일 한 통에서 시작하고 (PMID 36403509), 사람을 속이는 공격은 더 정교하고 피해가 큰 공격의 앞 단계가 되는 일이 많습니다 (PMID 33101096).

이 글은 세 물음을 따라갑니다. 사람을 속이는 공격은 어떻게 생겼는가. 그 속임수는 사람의 무엇을 노리는가. 막는 장치들은 어디까지 막는가. 다섯 명 가운데 속은 한 명이 어떤 사람이었는지도 뒤에서 다시 봅니다.

문을 부수는 대신 초인종을 누른다

남의 집에 들어가는 길은 둘입니다. 자물쇠를 부수거나 창문을 넘는 길이 있고, 초인종을 눌러 안에 있는 사람이 문을 열어 주게 하는 길이 있습니다. 두 번째 길에서는 자물쇠가 얼마나 튼튼한지가 문제가 되지 않습니다. 문을 여는 손이 집 안에 있기 때문입니다.

사회공학은 기계의 빈틈 대신 사람의 마음과 판단을 파고들어, 그 사람이 스스로 정보를 내주거나 위험한 일을 하게 만드는 공격입니다. 사람이 생각하고 판단하는 방식의 약점을 노리는 심리적인 공격입니다 (PMID 33101096). 설득과 위협은 심리학이 오래 다뤄 온 주제인데, 이것으로 정보를 얻어 내는 일이 이제는 사이버 공격의 큰 수법이 됐습니다 (DOI: 10.1109/ccwc57344.2023.10099202).

피싱은 믿을 만한 곳에서 온 것처럼 꾸민 메시지로 비밀번호 같은 정보를 받아 내거나 해로운 링크·파일을 열게 하는 속임수입니다. 사회공학의 여러 수법 가운데 가장 가까이 닥친 위협으로 꼽히는 것이 피싱입니다 (DOI: 10.28991/esj-2024-08-02-025).

피싱이라는 말은 흔하지만, 연구자들이 함께 쓰는 정의는 한동안 없었습니다. 2013년 8월까지의 문헌에서 서로 다른 정의 113개를 모아 견준 뒤, 그 공통 뼈대로 정의 하나가 제안됐습니다. 피싱은 사칭을 써서 상대에게서 정보를 얻어 내는, 규모를 키울 수 있는 속임수라는 것입니다 (DOI: 10.1186/s40163-014-0009-y). 이 정의는 정보를 얻어 내는 쪽에 초점을 둡니다. 해로운 링크를 눌러 악성 프로그램을 내려받게 하는 메일도 피싱이 노리는 또 하나의 결과입니다 (DOI: 10.17705/1jais.00447).

사칭은 다른 사람이나 기관인 척하는 일입니다. 피싱 메일은 은행, 택배회사, 회사의 윗사람인 척합니다. 보낸 사람의 이름과 로고와 말투는 꾸밀 수 있고, 주소도 진짜와 한두 글자만 다르게 만들거나 경우에 따라 그대로 흉내 낼 수 있습니다. 링크를 누르면 진짜 사이트를 흉내 낸 가짜 사이트로 이어지기도 합니다 (DOI: 10.1145/1754393.1754396).

피싱은 자물쇠를 부수지 않고, 집 안에 있는 사람이 문을 열게 합니다.

메일, 문자, 전화 — 그리고 누른 다음

사람을 속이는 메시지가 오는 통로로는 여전히 이메일이 가장 흔합니다. 그 뒤를 소셜 미디어, 문자, 전화가 잇습니다 (DOI: 10.47772/ijriss.2025.907000456, 2010~2025년 실증 연구 49편 정리).

스미싱은 문자 메시지로 하는 피싱입니다. (DOI: 10.1145/3577923.3583640) 보이스피싱은 전화 목소리로 하는 피싱입니다. 이 글에서는 영어권 연구가 말하는 전화 피싱을 가리키며, 한국에서 이 말로 넓게 부르는 전화 금융사기 전반을 다 다루지는 않습니다. 소셜 미디어에서는 해로운 링크가 가짜 뉴스나 화제의 영상, 솔깃한 기회로 꾸며져 돌아다닙니다 (PMID 32501314). 통로는 달라도 뼈대는 같습니다. 믿을 만한 누군가인 척하고, 받는 사람이 무언가를 하게 만듭니다.

누른 다음에 오는 일은 크게 둘입니다. 하나는 정보를 넘겨주는 것입니다. 가짜 로그인 화면에 비밀번호를 적어 넣는 식입니다. 다른 하나는 해로운 프로그램이 깔리는 것입니다. 피싱 메일은 링크를 누르게 해 악성코드를 내려받게 하거나, 속여서 개인 정보를 털어놓게 합니다 (DOI: 10.17705/1jais.00447). 악성코드는 사용자 몰래 해를 끼치려고 만든 프로그램입니다(이 시리즈의 다른 편 「보안」).

회사에서는 이 한 번의 클릭이 회사 시스템 안으로 들어오는 입구가 됩니다. 피싱 메일은 직원이 해로운 링크나 첨부 파일을 열게 해서 조직의 시스템에 스며드는 수단입니다 (DOI: 10.1016/j.ijhcs.2018.06.004). 그렇게 들어오는 악성코드 가운데 하나가 랜섬웨어입니다. 랜섬웨어는 파일을 암호화하는 등으로 못 쓰게 만든 뒤, 풀어 주는 대가로 돈을 요구하는 악성코드입니다. (DOI: 10.1109/icdcs.2016.46; DOI: 10.1016/s1353-4858(1630086-1)

피싱이 성공하면 돈을 잃고, 평판이 깎이고, 남이 내 신원을 도용하는 일이 따라옵니다 (DOI: 10.1016/j.cose.2023.103387). 빼앗긴 비밀번호 하나로 무엇이 열리는지, 그 피해를 줄이는 장치는 무엇인지는 이 시리즈의 다른 편 「비밀번호와 패스키」가 다룹니다.

겉모습으로 빨리 판단하는 순간

한 조직의 직원 62,000명에게 6주 동안 모의 피싱 메일 아홉 종을 보낸 뒤, 메일마다 권위와 재촉의 단서가 들었는지 평가했습니다. 권위 있는 쪽에서 온 듯한 단서가 든 메일일수록 직원이 수상한 링크를 누를 가능성이 컸습니다 (DOI: 10.1016/j.ijhcs.2018.06.004).

사람은 메일을 받을 때마다 내용을 하나하나 따지지 않습니다. 보낸 이름, 제목, 말투 같은 겉모습 몇 가지로 빨리 판단하는 때가 많습니다. 겉모습으로 빨리 판단하는 방식은 인터넷 사기에 속는 일과 함께 가고, 내용을 차근차근 따지는 방식은 사기를 알아채는 데 도움이 됩니다. 여기까지는 연구자들의 견해가 대체로 일치합니다 (PMID 36814645). 다만 이 관계를 확인하고 그 속을 설명하는 작업은 아직 더 필요합니다. 대부분 모의 실험으로 잰 것이라 실제 피해와는 차이가 있을 수 있습니다 (PMID 36814645).

속임수는 사람이 겉모습 몇 가지로 빨리 판단하는 순간을 노립니다. 그 순간을 흔드는 단서로는 권위, 겁주기, 재촉, 희소함, 익숙함이 꼽힙니다 (DOI: 10.1109/ccwc57344.2023.10099202).

사회공학자들이 쓴 책 속 공격 장면에서는 권위가 가장 자주 쓰였습니다. 그 책 네 권에서 공격 장면 74개를 뽑아 단계마다 쪼개 보니, 여섯 가지 설득 원리 가운데 권위가 다른 것보다 훨씬 자주 쓰였습니다 (DOI: 10.1002/jip.1482). 진짜 메일과 가짜 메일을 섞어 판별하게 한 실험에서도, 권위에 기대고 호감을 사는 문장이 많을수록 사람들이 가짜 메일에 더 잘 속았습니다 (PMID 32271628).

재촉은 조금 다르게 움직입니다. 같은 실험에서 겁주고 재촉하는 문장이 많아질수록 사람들은 오히려 가짜 메일을 더 잘 알아챘습니다 (PMID 32271628). 위협하거나 서두르게 하는 말은 맞춤법 실수보다 먼저 눈에 띄었고, 위협하는 말이나 맞춤법 실수가 든 메일이 가장 덜 믿음직하다고 평가됐습니다. 참가자 22명의 탐색 연구 결과입니다 (PMID 32849040).

받는 사람이 실제로 시간에 쫓기는 처지라면 사정이 다릅니다. 시간 압박을 준 조건에서 사람들은 사기 자료에 더 잘 속았습니다. 특히 「지금 하지 않으면 잃는다」 꼴의 사기에서 그랬고, 「이득을 준다」 꼴의 사기에서는 시간 압박의 효과가 뚜렷하지 않았습니다 (PMID 40330294). 두 실험은 재료와 조건이 달라 곧바로 견줄 수는 없습니다. 다만 나란히 놓으면 적어도 이것은 보입니다. 메일에 적힌 재촉과 받는 사람이 실제로 쫓기는 처지는 같은 것이 아닙니다.

감정도 판단을 흔듭니다. 대학생 7,225명에게 해가 없는 가짜 메일을 보낸 실험에서, 소중한 것을 잃을까 하는 두려움이나 갖고 싶은 것을 얻으리라는 기대를 건드린 메일에 더 많은 학생이 속았습니다 (DOI: 10.17705/1jais.00447). 실험실에서 들뜬 감정이든 불안한 감정이든 실제로 크게 일어난 사람들은 거짓 광고 물건을 사겠다는 마음이 더 커졌습니다. 이 효과는 젊은 층과 나이 든 층에서 다르지 않았습니다 (PMID 29658750). 감정 실험의 연구진은 마음이 가라앉을 때까지 돈에 관한 결정을 미루도록 알리는 것이 이런 수법을 막는 데 도움이 될 수 있다고 봅니다.

나를 알고 오는 메일

실험실에서 메일을 꾸미는 쪽에 받는 사람의 개인 정보를 많이 쥐여 주자, 그렇게 만든 메일에 받는 사람이 2.97배 더 취약했습니다 (PMID 36403509). 정보가 많을수록 받는 사람의 사정에 딱 들어맞는 사칭과 이야기를 꾸밀 수 있었습니다.

스피어 피싱은 특정한 사람이나 집단을 골라 미리 조사한 뒤, 그 사람에게 맞춰 꾸민 피싱입니다. 이런 메일을 만들려면 표적과 그 주변 사람에 대해 개인 정보를 모으고 조사해야 합니다. 보안 기술이 크게 나아졌는데도 스피어 피싱이 계속 통하는 까닭이 이 맞춤성에 있습니다 (PMID 36403509). 설득 원리를 다룬 연구들을 정리한 종설도, 표적의 특성과 관심과 약점에 맞출 수 있다는 점에서 스피어 피싱이 특히 효과적이라고 결론지었습니다 (DOI: 10.1109/trustcom60117.2023.00222).

현장에서도 맞춤의 힘은 드러납니다. 직원이 6,000명 넘는 이탈리아의 한 대형 병원에서 벌인 첫 번째 모의 훈련에서, 누구에게나 보낼 법한 메일은 직원의 64%가 열지 않았습니다. 그 병원 사정에 맞춘 메일은 38%만 열지 않았고, 링크를 누른 직원도 맞춤 메일 쪽이 뚜렷이 많았습니다 (PMID 35321019). 메시지가 먹히는지는 그곳에서 지금 일어나는 일에 얼마나 맞췄는가에 달려 있었습니다. 다만 이 훈련은 병원 안에서 문제가 제기돼 계획대로 진행되지 못했습니다 (PMID 35321019).

회사를 노리는 공격자에게는 한 사람의 답장으로 충분할 수 있습니다. 회사는 모든 직원이 받는 모든 메일을 걱정해야 하지만, 공격자는 돈이나 인사를 맡은 핵심 인물 한 사람의 답장만 얻어도 큰 피해를 낼 수 있습니다 (DOI: 10.1109/stast.2015.10). 이 맞춤 공격이 회사의 돈길을 겨누면 이름이 따로 붙습니다. 기업 이메일 사칭은 거래처나 회사 윗사람인 척하거나 그 사람의 실제 메일 계정을 빼앗아 보낸 이메일로, 회사가 돈을 보내거나 민감한 정보를 넘기게 만드는 사기입니다. (DOI: 10.1016/j.cose.2025.104630)

표적을 알고 맞춤으로 꾸민 메일일수록 잘 통합니다. 그 재료는 그 사람에 관해 모을 수 있는 개인 정보입니다.

누가 속는가

미국의 한 의료기관에서 직원 5,416명이 모의 피싱 메일을 스무 차례 모두 받았습니다. 그동안 한 번도 누르지 않은 사람은 975명, 17.9%였고, 3,565명(65.3%)은 두 번 이상 눌렀습니다 (PMID 30861069). 열 명 가운데 여덟 명 남짓이 적어도 한 번은 눌렀다는 뜻입니다.

앞에서 본 현장 실험 48편을 모은 정리에서, 연구자들이 확인한 관계 140개 가운데 116개가 받는 사람에 관한 것이었고 그 대부분은 통계적으로 뚜렷한 차이를 보이지 않았습니다. 반면 경고 장치, 메일의 맞춤 정도, 훈련, 이미 알려진 속임수는 속는 비율을 바꿨고, 사기의 종류에 따라 성공률이 몇 자릿수씩 차이 나는 것으로 보였습니다 (DOI: 10.1109/ecrime47957.2019.9037502). 이 정리만 놓고 보면, 받는 사람의 특성은 대부분 뚜렷한 차이를 보이지 않았고 메일이 어떻게 꾸며졌는지는 속는 비율을 바꿨습니다. 다만 저자들은 많은 결과가 통제와 표본에 한계가 있었다고 적었습니다. 뚜렷한 차이가 안 보였다는 것이 차이가 없다는 뜻은 아니어서, 앞의 의료기관에서 자주 누른 직원들은 끝까지 더 잘 눌렀습니다 (PMID 30861069).

나이도 한 방향으로 가르지 않습니다. 21일 동안 가짜 메일을 날마다 받은 158명 가운데 43%가 속았고, 나이 든 여성이 가장 취약했습니다 (PMID 32508486). 515명이 참가한 다른 실험에서는 18~25세가 실험 내내 나이가 더 많은 참가자보다 취약했습니다 (DOI: 10.1145/1572532.1572536). 가짜 메일·사기 문자·가짜 뉴스 제목을 가려내게 한 연구에서는 나이가 판별 성적을 예측하지 못했습니다 (PMID 37127397).

알아채는 일 자체도 어렵습니다. 메일의 양과 피싱이 섞인 비율을 바꿔 가며 진짜와 가짜를 가려내게 한 세 실험에서, 피싱 판별은 모든 실험에서 찍는 수준에 가까웠습니다. 참가자들은 자기 판단을 지나치게 믿었고, 메일이 위험하다고 느끼지도 않았습니다 (PMID 33835881). 2006년, 가짜 웹사이트를 가려내게 한 22명의 실험에서는 23%가 주소창과 보안 표시를 아예 보지 않았고, 그 때문에 40%를 틀렸습니다. 어떤 시각적 속임수는 가장 노련한 사용자까지 속였습니다 (DOI: 10.1145/1124772.1124861). 주소창의 자물쇠 그림도 연결의 보안을 보증할 뿐, 그 사이트가 정직하다는 표시는 아닙니다(「열쇠와 자물쇠 — 공개키는 왜 공개해도 안전한가」).

개인의 차이도 있습니다. 디지털 기기를 다루는 능력이 낮고 한 번 더 생각해 보는 성향이 약할수록, 가짜 메일·사기 문자·가짜 뉴스를 모두 잘 가려내지 못했습니다. 한 가지 속임수에 약한 사람은 다른 속임수에도 약했습니다 (PMID 37127397). 메일 사기에 대해 알고 있는 사람은 사기 메일에 답할 가능성이 낮았습니다 (DOI: 10.1109/tpc.2012.2208392).

속는 것은 몇몇 부주의한 사람의 일로만 볼 수 없습니다. 많은 사람이 한 번은 누르고, 무엇이 언제 어떻게 오느냐가 그 확률을 크게 움직입니다.

거르는 기술, 가르치는 교육, 알리는 사람

피싱은 기술만으로 막기 어렵습니다. 기술을 쓰는 것이 결국 사람이기 때문입니다 (PMID 27562565). 피싱 메일은 양이 엄청나고 애초에 속이도록 만들어져서, 기술로 거르는 데는 한계가 있고 사람의 판단이 마지막 방어선으로 남습니다 (PMID 33078362). 기술에만 기대는 대책으로는 모자라고, 대책을 설계할 때 사람의 능력을 함께 고려해야 합니다 (DOI: 10.1016/j.cose.2023.103387).

그래도 거르는 장치와 경고는 효과를 냅니다. 메일에 붙는 경고는 효과가 좋았고 (DOI: 10.1109/sp46214.2022.9833766), 기술적인 경고 장치는 사람들이 속는 비율을 바꿨습니다 (DOI: 10.1109/ecrime47957.2019.9037502). 자동 탐지를 첫 방어선으로 두고 사용자 교육을 그 보완으로 쓰는 것이 교육 도구를 만든 연구진의 결론입니다 (DOI: 10.1145/1754393.1754396).

보안 인식 교육은 사람들이 속임수를 알아보고 대처하도록 가르치는 교육과 훈련입니다. 그 효과는 방식에 따라 크게 갈립니다. 실험 19편, 23,146명의 결과를 모은 메타분석에서 어떤 교육은 효과가 아주 컸고, 어떤 교육은 효과가 전혀 없었습니다. 강도가 높은 교육이 낮은 교육보다, 초점이 좁은 교육이 넓은 교육보다 효과적이었습니다 (DOI: 10.1108/ics-07-2019-0078).

가짜 피싱 메일의 링크를 누른 바로 그 순간에 가르치는 방식은 결과가 엇갈립니다. 515명이 참가한 실험에서는 이렇게 배운 내용이 28일 뒤에도 남아 있었고, 그렇다고 진짜 메일의 링크까지 피하게 되지는 않았습니다. 이 훈련 도구를 만든 연구진의 실험입니다 (DOI: 10.1145/1572532.1572536). 그러나 한 회사의 직원 14,000명 넘게 15개월 동안 참여한 실험에서는, 모의 피싱 훈련 중에 교육을 끼워 넣는 비슷한 방식이 직원들을 피싱에 더 강하게 만들지 못했고, 오히려 더 잘 속게 하는 뜻밖의 부작용이 나타날 수 있었습니다 (DOI: 10.1109/sp46214.2022.9833766). 앞에서 본 미국 의료기관에서는 모의 메일을 되풀이하는 동안 클릭률이 내려갔지만, 자주 누른 직원들에게 따로 시킨 의무 교육은 클릭률을 크게 바꾸지 못했습니다 (PMID 30861069).

교육의 효과는 오래가지 않을 수 있습니다. 교육은 짧은 기간의 탐지 능력을 높이지만, 행동이 오래 바뀐다는 근거는 아직 약합니다 (DOI: 10.47772/ijriss.2025.91100611; DOI: 10.1177/0093650215627483). 교육에는 맞바꿈도 있습니다. 위협을 가려내도록 가르치다 보면 위협이 아닌 메일까지 위협으로 잘못 보는 경향도 함께 커지기 쉽습니다 (DOI: 10.1145/1754393.1754396).

모의 피싱 훈련이 얼마나 도움이 되는지는 어떻게 가르치느냐에 따라 갈립니다. 훈련 연구를 비교한 한 문헌 고찰은 많은 물음에서 연구자들의 답이 모인다고 보면서도, 나이처럼 결과가 엇갈리는 요인이 남아 있다고 적었습니다 (DOI: 10.1186/s13673-020-00237-7). 링크를 누른 순간에 가르치는 방식과, 효과가 얼마나 오래가는지는 아직 답이 갈립니다.

사람은 막는 쪽에 설 수도 있습니다. 앞의 15개월 실험에서 회사는 메일 프로그램에 수상한 메일을 신고하는 버튼을 달았습니다. 여러 직원의 신고를 모으자 새로운 피싱 공격을 빨리 찾아낼 수 있었고, 조직이 감당할 일의 양도 받아들일 만했으며, 직원들은 오랫동안 꾸준히 신고했습니다 (DOI: 10.1109/sp46214.2022.9833766).

거르는 기술도 교육도 혼자서는 완전하지 않고, 둘은 서로의 빈자리를 메웁니다.

월말 오후, 메일 한 통

이제 한 사람의 오후를 따라가 보겠습니다. 월말 오후, 한 회사의 회계 담당자 받은편지함에 메일이 수십 통 쌓여 있습니다. 그중 하나가 대표의 이름으로 와서, 오늘 안에 거래처로 돈을 보내 달라고 합니다. 메일은 지금 진행 중인 거래의 이름을 정확히 알고 있습니다. 진짜 계정에서 왔을 수도 있습니다.

이 메일 한 통에는 앞에서 본 단서가 여럿 겹쳐 있습니다. 대표의 이름은 권위의 단서이고, 권위의 단서가 든 메일일수록 직원이 링크를 누를 가능성이 컸습니다 (DOI: 10.1016/j.ijhcs.2018.06.004). 이 결과는 링크를 누르는 일로 잰 것입니다. 거래 이름을 아는 것은 맞춤의 단서이고, 실험실에서 받는 사람의 정보를 많이 쥐고 꾸민 메일에 사람들은 2.97배 더 취약했습니다 (PMID 36403509). 돈길을 쥔 한 사람에게 온 이 메일은 기업 이메일 사칭의 모습입니다.

「오늘 안에」라는 재촉의 말은 오히려 의심을 부를 수도 있습니다. 재촉하고 겁주는 문장이 많을수록 사람들이 가짜를 더 잘 알아챈 실험이 있습니다 (PMID 32271628). 그러나 담당자가 월말 마감에 실제로 쫓기고 있다면 사정이 다를 수 있습니다. 한 실험에서 시간에 쫓긴 사람들은 사기 자료를 진짜로 더 잘 믿었고, 특히 「지금 하지 않으면 잃는다」 꼴의 사기에서 그랬습니다 (PMID 40330294). 수십 통 가운데 가짜가 한 통뿐이라는 것도 한몫합니다. 피싱이 드물게 섞인 조건에서 사람들은 피싱을 덜 알아챘습니다 (PMID 33835881).

거르는 장치가 이 메일을 놓칠 수 있습니다. 맞춤으로 꾸민 메일은 보안 기술이 나아진 뒤에도 계속 통했습니다 (PMID 36403509). 그래도 경고 문구가 붙는다면 그 경고는 효과가 좋았고, 담당자가 신고 버튼을 누른다면 여럿의 신고가 모여 새 공격을 빨리 찾아냈습니다 (DOI: 10.1109/sp46214.2022.9833766).

담당자가 결국 돈을 보냈다면, 그 순간에는 권위와 맞춤과 시간 압박과 메일 더미가 함께 있었습니다. 앞의 연구들에서 각각 속는 쪽으로 기울었던 조건들입니다. 다만 그 연구들이 잰 것은 링크를 누르는 일, 실험실에서 속는 일, 사기 자료를 믿는 일, 메일을 가려내는 일이었고, 돈을 보내는 일을 잰 근거는 없습니다. 이 조건들이 한꺼번에 겹치면 얼마나 더 위험한지도 이 글이 모은 연구는 재지 않았습니다. 초인종은 집 안 사람이 가장 바쁜 때, 가장 믿는 이름으로 울렸습니다.

어디를 더 볼까

이 글에서 악성코드는 정의만 상기하고 지나갔습니다. 보안이 지키려는 것이 무엇이고 여러 겹의 방어가 왜 필요한지는 이 시리즈의 다른 편 「보안」가 다룹니다.

피싱으로 빼앗긴 비밀번호가 무엇을 여는지, 비밀번호 하나에 기대지 않는 확인 방식은 무엇인지는 이 시리즈의 다른 편 「비밀번호와 패스키」에 있습니다.

스피어 피싱의 재료는 밖에 나와 있는 개인 정보입니다. 내 정보가 어떤 길로 새어 나가는지는 이 시리즈의 다른 편 「개인정보와 익명화」가 따라갑니다.

주소창의 자물쇠 그림이 무엇을 보증하고 무엇을 보증하지 않는지는 「열쇠와 자물쇠 — 공개키는 왜 공개해도 안전한가」가 다룹니다.

속이는 상대가 AI 모델일 때, 남이 써 둔 문장이 모델을 움직이는 일은 「남이 써 둔 문장이 내 지시가 될 때 — 프롬프트 인젝션」에서 볼 수 있습니다.

모의 피싱 훈련의 효과를 두고 엇갈리는 연구를 정면으로 다룬 글은 아직 없습니다.

근거 논문

• "A meta-analysis of field experiments on phishing susceptibility" (2019) — DOI: 10.1109/ecrime47957.2019.9037502 — 현장 실험 48편 메타분석. 평균 속음 비율 21%. 받는 사람 변수 검정 140개 중 116개, 대부분 무의미. 경고 장치·맞춤·훈련·알려진 수법이 비율을 바꾸고 사기 종류에 따라 자릿수 차이. 통제·표본 한계.
• "Got Phished? Internet Security and Human Vulnerability" (2017) — DOI: 10.17705/1jais.00447 — 보안 침해의 주된 원인은 속는다는 인간의 약점. 피싱은 악성코드를 내려받게 하거나 정보를 털어놓게 한다. 대학생 7,225명, 잃을 두려움·얻을 기대가 속음을 키움.
• "Personalized persuasion: Quantifying susceptibility to information exploitation in spear-phishing attacks." (2023) — PMID 36403509 — 많은 공격이 스피어 피싱 메일에서 시작. 제작에 표적 조사가 필요하고 맞춤성 때문에 계속 통함. 실험실에서 정보가 많은 조건이 2.97배 취약.
• "Human Cognition Through the Lens of Social Engineering Cyberattacks." (2020) — PMID 33101096 — 사회공학은 인지 기능의 약점을 노리는 심리적 공격이며 정교하고 파괴적인 공격의 전조가 되는 일이 많다.
• "Social Engineering Incidents and Preventions" (2023) — DOI: 10.1109/ccwc57344.2023.10099202 — 설득·위협·강요로 정보를 얻는 기법, 심리학에서 사이버 공격 기법으로. 원리: 권위·위협·재촉·희소성·익숙함.
• "Common Techniques, Success Attack Factors and Obstacles to Social Engineering: A Systematic Literature Review" (2024) — DOI: 10.28991/esj-2024-08-02-025 — 사회공학에서 가장 임박한 위협은 피싱.
• "Achieving a consensual definition of phishing based on a systematic review of the literature" (2014) — DOI: 10.1186/s40163-014-0009-y — 2013년 8월까지 문헌, 정의 113개 분석. 「사칭으로 표적에게서 정보를 얻는, 규모를 키울 수 있는 속임수」.
• "Teaching Johnny not to fall for phish" (2010) — DOI: 10.1145/1754393.1754396 — 진짜를 흉내 낸 웹사이트로 꾀어냄. 교육의 어려움(동기·부차 과제·비위협 오판). 자동 탐지가 첫 방어선, 교육은 보완.
• "Phishing Susceptibility through Theoretical Lenses: A Systematic Literature Review" (2025) — DOI: 10.47772/ijriss.2025.907000456 — 2010~2025년 실증 연구 49편. 이메일이 우세, 이어 소셜 미디어·스미싱·비싱. 재촉·공포·권위.
• "Susceptibility to phishing on social network sites: A personality information processing model." (2020) — PMID 32501314 — 소셜 미디어에서 가짜 뉴스·화제 영상 등으로 위장한 해로운 링크. 빠른(휴리스틱) 처리가 속음을 키움.
• "Exploring susceptibility to phishing in the workplace" (2018) — DOI: 10.1016/j.ijhcs.2018.06.004 — 피싱 메일은 해로운 링크·첨부로 조직 시스템에 침투. 직원 62,000명·6주·모의 메일 9종, 권위 단서가 클릭 가능성을 높임.
• "Mitigation strategies against the phishing attacks: A systematic literature review" (2023) — DOI: 10.1016/j.cose.2023.103387 — 피싱의 결과는 금전 손실·평판·신원 도용. 기술 중심 해법만으로는 부족, 사람의 능력을 설계에 고려.
• "Theoretical basis and occurrence of internet fraud victimisation: Based on two systems in decision-making and reasoning." (2023) — PMID 36814645 — 휴리스틱 처리는 사기 취약성과, 체계적 처리는 탐지와 연관된다는 데 대체로 일치. 검증·설명 더 필요, 모의 실험과 현실의 간극.
• "On the anatomy of social engineering attacks—A literature‐based dissection of successful attacks" (2017) — DOI: 10.1002/jip.1482 — 사회공학자 책 4권의 시나리오 74개. 설득 원리 중 권위가 훨씬 자주 쓰임. 기술뿐 아니라 사회적 대책 필요.
• "Persuasive Appeals Predict Credibility Judgments of Phishing Messages." (2020) — PMID 32271628 — 권위·호감 호소가 많을수록 속음 증가, 공포·재촉 호소가 많을수록 탐지가 쉬워져 속음 감소.
• "Understanding Phishing Email Processing and Perceived Trustworthiness Through Eye Tracking." (2020) — PMID 32849040 — 22명 탐색 연구. 위협·재촉 표지가 맞춤법 실수보다 먼저 보임. 맞춤법 실수·위협 문구 메일이 가장 낮은 신뢰.
• "The impact of time pressure and type of fraud on susceptibility to online fraud." (2025) — PMID 40330294 — 시간 압박이 속음을 키움. 손실회피형 사기에서만 효과, 이득형에선 유의하지 않음.
• "Emotional arousal may increase susceptibility to fraud in older and younger adults." (2018) — PMID 29658750 — 긍정·부정 고각성 모두 거짓 광고 구매 의도를 높임, 나이 차 없음. 차분해질 때까지 금전 결정을 미루도록 교육하는 것이 도움이 될 수 있다.
• "A Survey on the Principles of Persuasion as a Social Engineering Strategy in Phishing" (2023) — DOI: 10.1109/trustcom60117.2023.00222 — 표적에 맞출 수 있어 스피어 피싱이 특히 효과적.
• "Phishing simulation exercise in a large hospital: A case study." (2022) — PMID 35321019 — 직원 6,000명 이상 병원. 일반 메일 미개봉 64% vs 맞춤 메일 38%, 맞춤 쪽 클릭 더 많음. 계획대로 못 돌림. 효과는 지역 사건 맞춤에 달림.
• "An analysis of social engineering principles in effective phishing" (2015) — DOI: 10.1109/stast.2015.10 — 회사는 모든 메일을 걱정해야 하지만 공격자는 재무·인사 핵심 인물 한 명의 응답이면 충분.
• "Evaluation of a mandatory phishing training program for high-risk employees at a US healthcare system." (2019) — PMID 30861069 — 직원 5,416명·20회. 0회 클릭 975명(17.9%), 2회 이상 3,565명(65.3%). 반복으로 클릭률 감소, 고위험군 의무 교육은 큰 영향 없음.
• "Susceptibility to Spear-Phishing Emails: Effects of Internet User Demographics and Email Content." (2019) — PMID 32508486 — 158명·21일. 43%가 속음, 나이 든 여성이 가장 취약.
• "School of phish" (2009) — DOI: 10.1145/1572532.1572536 — 515명. 내장형 훈련 28일 뒤에도 유지, 진짜 링크 클릭은 줄지 않음. 18~25세가 더 취약.
• "Who Gets Caught in the Web of Lies?: Understanding Susceptibility to Phishing Emails, Fake News Headlines, and Scam Text Messages." (2024) — PMID 37127397 — 한 속임수에 약한 사람은 다른 것에도. 낮은 디지털 활용 능력·숙고 성향이 판별 저하를 예측, 나이는 예측 못 함.
• "So Many Phish, So Little Time: Exploring Email Task Factors and Phishing Susceptibility." (2022) — PMID 33835881 — 메일 양이 많으면 정확도 하락, 피싱이 드물면 민감도 하락. 판별은 찍는 수준, 과신.
• "Why phishing works" (2006) — DOI: 10.1145/1124772.1124861 — 22명·웹사이트 20개. 23%가 주소창·보안 표시를 안 봐 40% 오답. 노련한 사용자도 속는 시각 속임수.
• "Research Article Phishing Susceptibility: An Investigation Into the Processing of a Targeted Spear Phishing Email" (2012) — DOI: 10.1109/tpc.2012.2208392 — 실제 스피어 피싱 표적 321명 설문. 메일 사기 지식이 응답 가능성을 직접 낮춤.
• "Quantifying Phishing Susceptibility for Detection and Behavior Decisions." (2016) — PMID 27562565 — 기술이 사람에 의해 운용되는 한 기술만으로는 피싱을 막기 어렵다.
• "The Phishing Email Suspicion Test (PEST) a lab-based task for evaluating the cognitive mechanisms of phishing detection." (2021) — PMID 33078362 — 양이 많고 속이도록 설계돼 순수 기술적 해법은 한계, 사람의 판단이 마지막 방어선.
• "Phishing in Organizations: Findings from a Large-Scale and Long-Term Study" (2022) — DOI: 10.1109/sp46214.2022.9833766 — 14,000명 넘게·15개월. 메일 경고 효과 좋음. 내장형 훈련은 더 강하게 못 만들고 부작용. 신고 버튼 집단 탐지는 빠르고 부담 감당 가능, 직원 장기 참여.
• "How effective are social engineering interventions? A meta-analysis" (2020) — DOI: 10.1108/ics-07-2019-0078 — 19편·효과 37개·23,146명. 매우 효과적인 개입과 효과 없는 개입이 공존. 고강도·좁은 초점이 더 효과적.
• "Psychological Effects of Phishing Email Exposure: A Review" (2025) — DOI: 10.47772/ijriss.2025.91100611 — 공포·불안·스트레스와 휴리스틱 처리가 취약성을 키움. 훈련은 단기 탐지를 높이나 지속 행동 변화 근거는 약함.
• "CryptoLock (and Drop It): Stopping Ransomware Attacks on User Data" (2016) — DOI: 10.1109/icdcs.2016.46 — 랜섬웨어는 사용자 파일을 암호화하고 몸값이 지급될 때까지 복호화 키를 쥐고 있는 악성코드. 행동 지표 기반 조기 탐지 제안.
• "Ransomware attacks: detection, prevention and cure" (2016) — DOI: 10.1016/s1353-4858(1630086-1 — 랜섬웨어는 중요한 정보에 대한 접근을 제한하고 해제의 대가를 요구하는 악성 소프트웨어. 가장 흔한 제한 방식은 암호화.
• "Business email compromise: A systematic review of understanding, detection, and challenges" (2025) — DOI: 10.1016/j.cose.2025.104630 — BEC는 기업과 개인을 노려 금전 이득을 얻고 민감한 데이터에 접근하려는 광범위한 사기. 탐지·예방 기법 정리.
• "Suspicion, Cognition, and Automaticity Model of Phishing Susceptibility" (2016) — DOI: 10.1177/0093650215627483 — 메일 사용 습관에 빠지며 짧은 기간 안에 훈련 효과가 옅어진다는 근거. 인지·자동 처리 모형(SCAM).
• "Don’t click: towards an effective anti-phishing training. A comparative literature review" (2020) — DOI: 10.1186/s13673-020-00237-7 — 훈련의 유용성·효과에 관한 많은 물음에서 연구자들의 답이 모이나, 나이 등 일부 요인은 결과가 엇갈림.
• "Users Really Do Respond To Smishing" (2023) — DOI: 10.1145/3577923.3583640 — 스미싱은 가짜 문자로 응답을 꾀는 사회공학 공격(자격증명 탈취·악성코드 설치). 265명 실험.