피싱 모의 훈련

회사가 보안에 대해 할 수 있는 일은 오랫동안 두 가지였습니다. 규칙을 문서로 적어 두는 것과 그 문서를 사람들에게 읽히는 것입니다. 두 번째가 보안 교육인데, 여기서 확인되는 것은 교육을 들었다는 사실뿐이었습니다.

그래서 이런 장면이 반복됐습니다. 연말에 전원이 한 시간짜리 교육을 이수하고 담당자가 이수율 100퍼센트를 보고합니다. 두 달 뒤 세금계산서로 위장한 메일이 들어오고, 회계 담당자가 첨부 파일을 열고, 회사 공유 폴더가 전부 암호화됩니다. 교육 자료 세 번째 장에 첨부 파일을 아무 확인 없이 열지 말라고 적혀 있었습니다.

문제는 규칙을 몰랐다는 데 있지 않았습니다. 알고 있어도 마감에 쫓기며 메일함을 훑는 20초 동안에는 그 지식이 꺼내지지 않는 것입니다. 사람은 아는 대로 행동하지 않고 익숙한 대로 행동하고, 익숙해지는 길은 겪어 보는 것뿐입니다.

피싱 모의 훈련은 그 겪어 보는 일을 안전한 형태로 미리 만들어 주는 절차입니다. 교육이 지식을 확인한다면 훈련은 행동을 확인합니다.

시나리오를 만들고, 스팸 필터에 막히지 않게 발송 경로를 열어 두고, 정해진 날에 보내고, 반응을 네 단계로 집계하고, 즉시 안내를 돌리는 순서입니다.

1. 범위와 목표를 정합니다. 대상은 특별한 이유가 없으면 전원이고, 이번 회차로 무엇을 보려는지를 한 문장으로 적어 둡니다.
2. 시나리오를 만듭니다. 흔히 쓰는 소재는 사내 협업 도구의 문서 공유 알림, 인사팀 공지, 택배 배송 실패, 세금계산서입니다. 난이도도 함께 정합니다. 발신 주소 철자가 한 글자 다른 정도는 낮고, 사내 도구 로그인 화면을 그대로 복제한 쪽은 높습니다.
3. 발송 경로를 준비합니다. 훈련용 도메인을 하나 두고 메일 서버와 스팸 필터에 예외를 걸어 둡니다. 빼먹으면 메일이 전부 스팸함으로 들어가 아무 숫자도 나오지 않습니다.
4. 보냅니다. 같은 시각에 몰아 보내지 않고 몇 시간에 걸쳐 흩어 보냅니다. 한꺼번에 도착하면 옆자리에서 저 메일 뭐냐는 말이 돌아 반응이 섞입니다.
5. 집계합니다. 세는 값은 넷입니다. 메일을 열어 본 비율, 링크를 누른 비율, 가짜 로그인 화면에 아이디와 비밀번호를 넣은 비율, 신고한 비율입니다. 45명에게 보내 32명이 열고 8명이 누르고 2명이 정보를 넣고 11명이 신고했다면 클릭률 18퍼센트, 신고율 24퍼센트입니다.
6. 즉시 안내합니다. 링크를 누른 사람에게는 그 자리에서 훈련이었다는 안내 화면을 띄우고 무엇을 보고 알아챌 수 있었는지 짚어 줍니다.
7. 결과를 공유하고 다음 회차를 잡습니다. 회사 전체 비율과 부서 단위 비율까지만 공개합니다.

처음 돌리면 클릭률이 15~25퍼센트로 나오는 것이 보통입니다. 회차를 거듭하며 클릭률 5퍼센트 이하, 신고율 30퍼센트 이상을 목표로 잡습니다.

주관은 보안을 맡은 사람이고, 전원에게 가짜 메일을 보내는 일이라 경영진의 사전 승인을 받아 둡니다.

미리 아는 사람과 몰라야 하는 사람을 나눠 두는 일이 그다음입니다.

1. 문의를 받는 쪽은 미리 압니다. 창구를 맡은 사람이 모르면 문의가 수십 건 들어왔을 때 진짜 사고로 판단해 대응 절차를 켭니다.
2. 부서장은 대개 모르는 쪽에 둡니다. 알고 있으면 팀원에게 귀띔하게 되고 그 팀 숫자만 낮게 나옵니다.

시점은 분기마다 한 번이 흔하고, 인원이 적은 회사는 반기에 한 번으로도 돌아갑니다. 신규 입사자는 입사 한 달이 지난 회차부터 넣습니다. 첫 주에는 사내 알림 메일과 가짜 메일을 구분할 근거가 없습니다.

돌리지 않는 시점도 정해 둡니다. 분기 마감 주간, 서비스 장애 대응 중, 실제 침해 사고 직후는 피합니다. 사고 직후에는 전원이 예민해져 숫자가 평소를 대표하지 못합니다. 반대로 보안 인증 심사를 준비하는 시기에는 훈련 기록이 요구 항목이라 일정을 앞당기게 됩니다.

"이번 회차 클릭률 18퍼센트예요. 지난번보다 올랐는데 시나리오 난이도가 달라서 그대로 비교하긴 어렵습니다."

숫자가 나빠진 것처럼 보이지만 조건이 달랐다는 단서를 붙이는 말입니다.

"누가 눌렀는지는 공유하지 않습니다. 부서별 비율까지만 볼게요."

훈련 결과를 개인 평가로 쓰지 않겠다고 미리 선을 그어 두는 말입니다.

"신고율이 24퍼센트면 나머지 76퍼센트는 그냥 지웠다는 뜻이에요. 그게 더 문제입니다."

속지 않은 것과 알린 것이 다르다는 지적입니다.

페이지덱은 시리즈 A 이후 첫 훈련을 규원이 주관해 돌렸습니다. 사내 협업 도구의 문서 공유 알림처럼 꾸민 메일을 45명에게 보냈고, 발신 주소만 한 글자 달랐습니다. 수아가 고객에게 받은 계약서인 줄 알고 링크를 눌렀고, 태오는 3분 만에 신고 창구에 알렸습니다.

집계 회의에서 오래 이야기한 것은 클릭률이 아니라 신고까지 걸린 시간이었습니다. 신고한 열한 명 중 열 명이 10분 안에 알렸고, 그 속도면 진짜 메일이어도 나머지에게 경고가 닿습니다. 규원은 다음 회차 목표를 첫 신고까지의 시간으로 잡았습니다.

훈련을 누가 속는지 찾아내는 시험으로 읽는 경우가 가장 많습니다. 결과가 개인 단위로 기록되니 그렇게 보이기 쉽습니다. 하지만 이 훈련이 재는 것은 조직의 비율이고, 개인의 이름은 안내를 보내는 데만 쓰고 그 뒤에는 남기지 않습니다. 이름을 공개하거나 평가에 반영하면 사람들이 먼저 배우는 것은 조심하는 습관이 아니라 숨기는 습관입니다. 신고가 끊기면 진짜 메일이 들어온 날 회사는 아무 신호도 받지 못합니다.

클릭률 0퍼센트를 목표로 삼는 것도 자주 보는 오해입니다. 숫자가 낮을수록 안전해 보이니 자연스러운 방향입니다. 그런데 클릭률은 시나리오 난이도로 얼마든지 조절할 수 있어서, 발신 주소가 눈에 띄게 이상한 메일을 보내면 0에 가까운 값이 나옵니다. 그 숫자를 성과로 보고하기 시작하면 훈련은 점점 쉬워지고, 정교한 메일이 실제로 들어온 날에는 준비된 것이 없습니다. 그래서 회차를 거듭할 때는 난이도를 같이 올리고, 클릭률과 함께 신고율을 봅니다. 침해 사고 대응 계획이 작동하려면 누군가 처음 알려 주는 사람이 있어야 하고, 그 사람을 만드는 것은 클릭률이 아니라 신고율입니다.