An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering

매일 사람들은 무엇을 클릭할지, 무엇을 열어볼지, 무엇을 신뢰할지에 대해 선택을 내립니다. 사이버 보안의 세계에서 이러한 선택은 방어의 최전선입니다. 공격자들은 항상 복잡한 컴퓨터 코드를 뚫을 필요는 없습니다. 종종 그들은 단순히 사람이 비밀번호를 넘겨주거나 바이러스를 다운로드하도록 속이기만 하면 됩니다. 이러한 조작 방식은 사회 공학(social engineering)이라고 불립니다. 이는 인간 정신이 작동하는 방식을 이용하며, 주의력을 우회하기 위해 특정한 심리적 트리거를 사용합니다. 이러한 트리거 중 일부는 두려움이나 보상의 약속과 같은 익숙한 감정이며, 다른 것들은 상사에게 복종하거나 잘 알려진 브랜드를 신뢰하는 것과 같은 사회적 습관입니다. 어떤 감정적 트리거가 어떤 유형의 메시지에 가장 잘 작동하는지 이해하는 것은 매우 중요한데, 이는 조직이 직원들에게 함정이 작동하기 전에 이를 식별하는 방법을 가르치는 데 도움이 되기 때문입니다.

독일의 한 연구팀은 이러한 함정들을 지도화하기 위해 나섰습니다. 그들은 특정 감정적 트리거가 특정 유형의 메시지와 더 잘 작동하는지 알고 싶었습니다. 예를 들어, 공짜 돈을 약속하는 것이 이메일에서 더 효과적일까요, 아니면 문자 메시지에서 더 효과적일까요? 은행 계좌가 동결되었다는 두려움은 전화로 전달될 때가 더 효과적일까요, 아니면 팝업 창을 통해 전달될 때가 더 효과적일까요? 답을 찾기 위해 연구원들은 통제된 실험을 수행했습니다. 그들은 12명의 자원봉사자를 모집하여 일련의 모의 공격을 보여주었습니다. 각 참가자는 25가지의 서로 다른 시나리오를 보았습니다. 이 시나리오들은 다섯 가지 유형의 메시지와 다섯 가지 심리적 트리거를 혼합하여 만들어졌습니다. 메시지 유형에는 표준 이메일, 특정 인물로부터 온 것처럼 보이는 타겟형 이메일, 문자 메시지, 음성 통화, 그리고 화면에 나타나는 팝업 창이 포함되었습니다. 심리적 트리거는 호기심, 탐욕, 신뢰, 두려움, 그리고 권위 있는 인물에게 복종하는 느낌이었습니다.

연구원들은 자원봉사자들에게 실제로 링크를 클릭하거나 실제 정보를 제공하라고 요청하지 않았습니다. 대신, 그들에게 메시지의 사진을 보여주거나 통화 녹음본을 들려준 뒤, "이것에 응답하시겠습니까?"라는 간단한 질문을 던졌습니다. 자원봉사자들은 시나리오를 살펴보는 동안 자신의 생각을 소리 내어 설명했습니다. 이를 통해 연구원들은 사람들이 무엇을 했는지뿐만 아니라, 왜 그런 선택을 했는지까지 볼 수 있었습니다. 이 연구는 규모가 작았고 조용한 방에서 진행되었으므로, 결과는 전 세계에 적용되는 최종적인 규칙이라기보다는 이러한 요소들이 어떻게 상호작용하는지에 대한 첫 번째 관찰입니다.

결과는 사람들이 반응하는 방식에 있어 명확한 패턴을 드러냈습니다. 참가자들을 속이는 데 가장 성공적인 조합은 금전적 보상을 약속하는 타겟형 이메일이었습니다. 이메일이 특정 인물로부터 온 것처럼 보이고 혜택을 제안했을 때, 참가자 4명 중 3명이 응답하겠다고 답했습니다. 이는 개인적인 관심과 돈에 대한 약속의 결합이 강력한 유혹임을 시사합니다. 두 번째로 효과적인 방법은 보상을 약속하거나, 스트리밍 서비스와 같이 발신자를 신뢰하도록 요청하는 표준 이메일이었습니다. 이 경우, 절반 이상의 자원봉사자가 메시지에 참여하겠다고 답했습니다.

하지만 모든 조합이 효과가 있었던 것은 아닙니다. 연구원들은 어떤 방법들은 거의 전혀 통하지 않는다는 것을 발견했습니다. 공격자들이 긴급한 행동을 요구하기 위해 상사의 권위를 이용하려 할 때, 특히 메시지가 전화, 문자, 또는 팝업 창을 통해 전달될 경우 효과가 거의 없었습니다. 실제로, 호기심을 이용해 이야기를 듣게 하려는 음성 통화의 경우 완전히 실패했습니다. 단 한 명의 자원봉사자도 해당 시나리오에 응답하겠다고 하지 않았습니다. 자원봉사자들은 이러한 채널이 해당 요청에 부적절하다고 느꼈다고 설명했습니다. 예를 들어, 상사가 파일을 다운로드하라고 전화를 하거나, 회사가 공유 폴더에 대해 문자 메시지를 보내지는 않을 것이라고 느꼈습니다.

연구는 또한 감정의 유형이 중요하다는 것을 보여주었습니다. 두려움은 강력한 동기 부여 요소였지만, 양날의 검이었습니다. 메시지가 은행 계좌가 동결되었다고 주장했을 때, 많은 사람이 이를 해결하고 싶은 충동을 느꼈지만, 보안을 걱정하여 클릭을 거부하는 더 큰 집단이 존재했습니다. 반면, 탐욕은 더 직접적인 동력이었습니다. 메시지가 할인이나 혜택을 제공할 때, 메시지가 합법적으로 보인다면 사람들은 행동할 가능성이 더 높았습니다. 신뢰 또한 큰 역할을 했습니다. 메시지가 스트리밍 서비스와 같은 친숙한 기업으로부터 온 것처럼 보일 때, 사람들은 메시지가 이메일과 같이 예상되는 형식으로 도착한다면 기꺼이 클릭할 용의가 있었습니다.

흥미롭게도, 연구원들은 개인의 디지털 안전에 대한 자신감이 항상 그들의 행동과 일치하지 않는다는 것을 발견했습니다. 디지털 위험을 다루는 데 매우 능숙하다고 말한 일부 자원봉사자들도 함정에 빠졌는 반면, 오히려 불안하다고 말한 이들이 더 신중했습니다. 이는 안전하다고 느끼는 것이 반드시 안전하다는 것을 의미하지는 않는다는 점을 시사합니다. 또한 이 연구는 음성 통화와 문자 메시지가 일반적으로 이메일보다 효과가 낮다는 점을 강조했습니다. 자원봉사자들은 전화와 문자 메시지에 대해 본능적으로 더 의심을 품었으며, 종종 이러한 채널이 요청 유형에 맞지 않는다고 언급했습니다.

결국, 이 연구는 구체적이고 상황적인 인간의 취약성을 그려냅니다. 그것은 단순히 잘 속는 성격의 문제가 아니라 맥락의 문제입니다. 한 형식에서 효과적인 메시지가 다른 형식에서는 실패할 수 있으며, 돈을 약속하는 것이 상사의 명령보다 더 효과적입니다. 가장 효과적인 공격은 익숙하고 신뢰할 수 있는 형식과 강력한 감정적 갈고리를 결합한 것이었습니다. 비록 연구 규모는 작았지만, 이는 어떤 심리적 트리거가 어떤 디지털 환경에서 가장 위험한지에 대한 명확한 지도를 제공하며, 향-후 더 나은 방어 체계와 인식 교육을 구축하기 위한 가이드를 제시합니다.