Human Factors and Social Engineering in Cybersecurity: A Qualitative Case Study and ISO/Iec 27001-aligned Ethical Response Framework

당신의 뇌를 향한 보이지 않는 전쟁

인터넷을 거대하고 북적이는 도시라고 상상해 보세요. 수년 동안 도시 설계자들(사이버 보안 전문가들)은 나쁜 놈들을 막기 위해 더 높은 벽, 더 강력한 문, 더 똑똑한 자물쇠를 만들어 왔습니다. 그들은 방화벽을 해자처럼 설치하고, 암호화를 깨지지 않는 금고처럼 구축했습니다. 하지만 문제가 하나 있습니다. 그 도시에는 어떤 강철로도 잠글 수 없는 뒷문이 있다는 것입니다. 그 뒷문은 바로 '당신'입니다.

이것이 바로 **사회 공학(social engineering)**의 세계입니다. 공격자들은 컴퓨터의 코드를 해킹하는 대신 인간의 마음을 해킹합니다. 그들은 상사인 척하거나, 가짜 긴급 상황을 만들거나, 도움을 주려는 친구인 척 속임수를 써서 당신이 열쇠(비밀번호)를 건네주거나 허가되지 않은 문을 열도록 유도합니다. 이것이 통하는 이유는 우리 뇌가 작동하는 자연스러운 방식을 악용하기 때문입니다. 우리는 중요한 사람처럼 들리는 사람을 신뢰하고, "긴급"이라는 말을 들으면 당황하며, 할 일이 너무 많으면 지치게 됩니다.

오랫동안 보안 전문가들은 해결책이 그저 사람들에게 "이상한 링크를 클릭하지 마세요!"라고 말하는 것이라고 생각했습니다. 하지만 이 논문은 그것이 수영하는 법을 가르쳐주지 않고도 수영하는 사람에게 "그냥 물에 빠지지 마세요"라고 말하는 것과 같다고 제안합니다. 진짜 질문은 사람들이 부주의한가 하는 것이 아니라, 학교, 직장, 그리고 마감 기한의 압박이 어떻게 똑똑한 사람들조차 취약하게 만드는가 하는 것입니다. 이 연구는 우리가 어떻게 우리의 생각과 감정에 실제로 부합하는 더 나은 방어 체계를 구축할 수 있는지 알아보기 위해, 이 복잡하고 인간적인 보안의 이면을 파고듭니다.

---

대학교라는 이름의 도시 이야기

이 연구에서 라이베리아의 윌리엄 V. S. 텁먼 대학교(William V. S. Tubman University)의 연구진은 추측하는 것을 멈추고 귀를 기울이기로 했습니다. 그들은 대학 환경 내의 서로 다른 집단들—기술에 능숙한 IT 직원, 공학도, 그리고 기초 과정을 이수 중인 초보자들—이 온라인에서 누군가 자신을 속이려 할 때 어떻게 반응하는지 이해하고자 했습니다.

대학교를 거대한 배라고 생각해 봅시다. IT 지원팀은 엔진실의 엔지니어들입니다. 그들은 배가 어떻게 작동하는지 알고 있습니다. 공학도는 갑판원으로서 항해법을 배우고 있는 단계입니다. 그들은 도구들을 알고 있지만 여전히 자신의 과업으로 바쁩니다. 기초 학습자들은 이제 막 배에 올라탄 새로운 승객들입니다. 그들은 아직 배의 규칙을 모릅니다.

연구진은 이 세 그룹을 모아 일련의 "대화 서클"(포커스 그룹)을 진행했습니다. 그들은 단순히 "당신은 조심스러운가요?"라고 묻지 않았습니다. 대신 다음과 같은 시나리오를 제시했습니다. 만약 학장님이 당신의 계정이 5분 안에 삭제될 것이라는 긴급한 이메일을 보낸다면 어떻게 하겠습니까? 만약 "헬프 데스크"에서 전화해 비밀번호를 묻는다면요? 그들은 참가자들이 한 말, 느낀 점, 그리고 실제로 무엇을 할 것인지에 귀를 기울였습니다.

발견된 사실: 단 하나의 정답은 없다

중요한 발견은 단 하나의 "인간적 오류"란 존재하지 않는다는 것입니다. 서로 다른 집단은 서로 다른 방식으로 속임을 당하며, 기존의 "일률적인(one-size-fits-all)" 보안 교육은 모두에게 실패하고 있습니다.

1. 엔진실의 엔지니어들 (IT 직원)
IT 직원들은 보안에 대해 가장 많이 알고 있었습니다. 그들은 가짜 이메일을 아주 멀리서도 알아챌 수 있었습니다. 하지만 반전이 있었습니다. 그들은 보안 교육에 대해 가장 지쳐 있었다는 점입니다. 소방관이 매주 똑같은 안전 영상을 시청해야 한다고 상상해 보세요. 결국, 그들은 듣는 것을 멈추게 됩니다. 연구에 따르면, 이 직원들은 보안 메시지에 끊임없이 노출되기 때문에 "훈련 피로(training fatigue)"를 겪습니다. 그들은 규칙을 알고 있지만, 듣는 것에 지쳤고, 이는 그들을 덜 경계하게 만듭니다.

2. 바쁜 갑판원들 (공학도)
공학도들은 실제로 속임수를 포착하는 데 매우 뛰어났습니다. 그들은 발신자 주소를 확인하고 이상한 링크를 찾아내는 법을 알고 있었습니다. 하지만 그들은 스트레스를 받거나 과부하 상태일 때 실수할 가능성이 가장 높았습니다. 숙제, 마감 기한, 그리고 쏟아지는 이메일 사이에서 고군분투할 때, 그들의 뇌는 지쳤습니다. 이러한 "인지적 과부하(cognitive overload)"의 순간에는, 똑똑한 학생이라 할지라도 단지 일을 빨리 끝내기 위해 잘못된 버튼을 클릭할 수 있습니다. 그들은 부주의했던 것이 아니라, 단지 주의를 기울이기에는 너무 바빴던 것입니다.

3. 새로운 승객들 (기초 학습자)
초보자들은 기술적 지식 수준이 높지 않았습니다. 그들은 가짜 이한 이메일을 식별하는 화려한 기술을 알지 못했습니다. 하지만 그들은 아직 훈련을 받지 않았기에 "피로"를 느끼지도 않았습니다. 연구는 이들에게 다른 종류의 도움이 필요하다고 제안합니다. 즉, 단순하고 기본적인 기초 블록이 필요하다는 것입니다. 그들은 복잡한 교통 상황을 다루기 전에 도로의 아주 기본적인 규칙들을 먼저 배워야 합니다.

"인간적 약점"이라는 신화는 끝났다

이 논문은 인간이 단순히 사슬의 "가장 약한 고리"라는 생각에 강력히 반대합니다. 그것은 도로에 못이 가득한데 타이어가 펑크 났다고 자동차를 탓하는 것과 같습니다. 연구진은 사람들이 본래 부주의한 것이 아니라, **상황에 놓인 의사 결정자(situated decision-makers)**라는 것을 발견했습니다.

만약 당신이 피곤하거나, 스트레스를 받거나, 혹은 상사가 지켜보고 있다는 말을 듣는다면, 당신의 뇌는 지름길을 택합니다. 뇌는 권위 있는 인물처럼 들리는 사람을 신뢰합니다. "긴급한" 문제를 없애기 위해 버튼을 클릭합니다. 이 연구는 이러한 실수가 우리가 멍청해서가 아니라, 환경이 우리를 속이도록 설정되어 있기 때문에 발생한다는 것을 보여줍니다.

새로운 전략: 맞춤형 방패

그렇다면 해결책은 무엇일까요? 저자들은 국제 보안 표준(ISO/IEC 27001)과 부합하면서도 인간적인 마음을 담은 새로운 프레임워크를 제안합니다. 모든 사람에게 똑같은 지루한 이메일을 보내는 대신, 그들은 단계별 접근 방식을 제안합니다.

• 초보자를 위해: 간단하고 자신감을 키워줄 수 있는 레슨을 제공하십시오. "비밀번호를 공유하지 마라"와 "혼란스러울 때 누구에게 연락해야 하는가?"와 같은 기초를 가르치십시오.
• 바쁜 학생들을 위해: 단순히 강의만 하지 마십시오. 그들의 바쁜 삶에 녹아들 수 있는 빠르고 현실적인 연습을 제공하십시오. 스트레스를 받을 때 멈추고 확인하는 법을 가르치십시오.
• IT 전문가들을 위해: 반복적인 훈련을 멈추십시오. 그들에게 실제 직면한 문제들과 연결되는, 흥미롭고 고도화된 도전 과제를 제공하십시오. 그들이 집중력을 잃지 않도록 계속 참여를 유도하십시오.

또한 이 프레임워크는 윤리적 모니터링을 강조합니다. 이는 만약 대학교가 가짜 테스트 링크를 클릭한 사람을 추적한다 하더라도, 그 사람을 처벌해서는 안 된다는 것을 의미합니다. 대신, 그것을 학습의 기회로 삼아야 합니다. 그것은 마치 선수가 실력을 향상하도록 돕는 코치와 같아야 하며, 선수를 경기장에서 쫓아내는 심판이 되어서는 안 됩니다.

결 요약

이 연구는 해커들이 사람을 속이는 전쟁에서 승리하기 위해서, 우리는 인간을 고쳐야 할 고장 난 로봇처럼 취급하는 것을 멈춰야 한다고 시사합니다. 우리는 인간을 지치고, 스트레스를 받고, 바쁜 존재로 대우해야 합니다. 스트레스를 받는 학생, 지친 IT 종사자, 그리고 새로운 학습자가 모두 서로 다른 종류의 지원이 필요하다는 것을 이해함으로써, 대학교(그리고 기업들)는 실제로 작동하는 보안 시스템을 구축할 수 있습니다.

연구진은 이것이 시작일 뿐이라고 인정합니다. 그들은 소수의 인원을 대상으로 한 대학 한 곳을 연구했으므로, 그들의 결과는 확정적인 법칙이라기보다는 강력한 제안입니다. 하지만 메시지는 명확합니다. 만약 우리가 온라인에서 안전해지고 싶다면, 우리는 우리의 방어 체계를 인간이라는 존재의 복잡하고, 멋지고, 때로는 지친 현실에 맞게 설계해야 합니다.