많은 기업들이 직원들을 대상으로 가짜 피싱 공격을 실시한다. 미리 공격을 체험케 함으로써 실제 공격에 대한 면역력을 기르겠다는 것이다. 그러나 그 효과는 미비하다. 중요한 것이 빠져있기 때문이다.

[보안뉴스 문가용 기자] 

직원들 중 한 사람의 메일 함에 긴급함 가득 담은 이메일이 날아드는 건 ‘어쩌다 한 번 있을 수도 있고 없을 수도 있는 일’이 아니다. 항상 발생하는 일이다. 그것도 하루에 수없이 많이 말이다. 그러면 누군 가는 그날의 컨디션에 따라 이런 메일 중 하나를 열어보게 될 수도 있다. 그리고 그 가짜 메일의 지시에 따라 어디론 가 회사 돈을 송금할 수도 있다. ‘만약’의 일이 아니라, 

실제로 세계 곳곳에서 일어나고 있는 빈번한 사례들이다.
 

팬데믹으로 인한 재택 근무 체제가 아직 여러 지역에서 유지되고 있는 가운데, 기업들의 ‘보안’은 현재 상당 부분 임직원 개개인의 대응 능력에 좌지우지 되고 있는 것이 사실이다. 그리고 이 임직원들은 거의 대부분 ‘본능’에 입각한 방어력을 발휘하고 있는 게 현실이다. 어쩌면 보안 담당자들이 오랜 시간 두려워하고 있었던 악몽이 현실에 이미 도래한 듯도 하다. 그러면서 보안 기술도 기술이지만, 보안 교육의 중요성이 더 강조되고 있다.

필자가 속한 회사는 보안 전문 업체로서 이러한 상황에 대한 보다 분명하고 정확한 판단을 위해 한 유통 업체를 대상으로 모의 소셜엔지니어링 공격을 실시했다. 

코로나 바이러스를 테마로 삼아 임직원들을 속여 보았다. 사내 IT 부서에서 보낸 것과 같은 이메일 주소로 가짜 메일을 발송했다. 내용도 정교하게 다듬었다. 그 결과 무려 임직원 전체의 51%가 속았고, 크리덴셜을 순순히 내놓았다.  (이하생략)

자세한 내용은 원본내용 출처 클릭하시면 보실 수 있습니다.  

글 : 파벨 수푸루뉵(Pavel Supurunyuk)
[국제부 문가용 기자(globoan@boannews.com)] 

원본출처 :  보안 교육, 횟수와 시간만 늘린다고 되는 것이 아니다 (boannews.com)