위생 점검 위장 모의 피싱 클릭률 92%…AI 기술 안내에도 취약

[산업일보]
직장 내 위생 점검 보고서로 위장한 모의 피싱 이메일에서 수신자의 92%가 링크를 클릭한 사례가 확인됐다. 인공지능(AI) 기술 소개와 IT 정책 승인 요청 등 업무와 연관된 내용을 활용한 이메일도 높은 클릭률을 기록했다.

사이버 보안기업 카스퍼스키는 29일 자동 보안 인식 교육 플랫폼 ‘KASAP(Kaspersky Automated Security Awareness Platform)’의 피싱 시뮬레이션 결과를 분석해 직원들이 실제 업무 이메일로 오인하기 쉬운 유형을 공개했다.

이번 분석은 지난 1월부터 9월까지 120개국에서 발송된 15만 건 이상의 모의 피싱 이메일을 대상으로 이뤄졌다. 자발적으로 참여한 조직의 익명화된 데이터를 활용했으며, 100명 이상에게 발송된 이메일 유형만 분석에 포함했다.

분석 결과, 직원들의 감정적 반응을 유도하거나 시의성 있는 주제를 활용한 이메일에서 높은 클릭률이 나타났다.

기술·AI 관련 이메일은 45%의 클릭률을 기록했다. ‘차세대 인공지능 소개’와 같이 새로운 기술에 대한 관심을 유도하는 문구가 직원들의 반응을 이끌어낸 것으로 분석됐다.


의료·보험 관련 이메일의 평균 클릭률은 28%였다. 직장 내 위생 점검 보고서로 위장한 특정 모의 피싱 이메일에서 해당 메일 수신자의 92%가 링크를 클릭한 것으로 나타났다.

IT 정책과 규정 준수를 안내하는 이메일의 클릭률은 26%로 집계됐다. 이 가운데 직원에게 승인을 요청하는 특정 이메일은 48%를 기록했다.


선물·프로모션·티켓 관련 이메일의 평균 클릭률은 24%였다. 국제축구연맹(FIFA) 관련 행사와 경품을 내세운 이메일은 66%에 달했다. 회사 내부 설문조사나 복장 규정 안내 등 인사·사내 커뮤니케이션을 모방한 이메일에서도 22%의 클릭률이 확인됐다.

카스퍼스키는 이 같은 결과가 업무 절차나 개인의 관심사와 밀접한 내용일수록 피싱 이메일을 정상적인 안내로 인식할 가능성이 있음을 보여준다고 설명했다.

스베틀라나 칼라시니코바 카스퍼스키 보안 인식 교육 전문가는 생성형 AI를 활용한 공격의 개인화 가능성을 언급하며, 정기적인 보안 인식 교육과 공격 시뮬레이션을 통해 직원들의 대응 역량을 점검해야 한다고 강조했다.

이효은 카스퍼스키 한국지사장은 ‘공격자들은 직원들에게 익숙한 내부 업무 절차와 국내 업무 관행을 모방해 피싱 이메일 식별이 점점 어려워지고 있다’며 일회성 주의 환기보다 지속적인 보안교육이 필요하다고 강조했다.