카스퍼스키 “직장인 대상 피싱 메일, 클릭률 최대 92%”

카스퍼스키(한국 대표 이효은)는 직장인을 대상으로 진행한 다양한 피싱 이메일 분석 중에서 위생 점검 보고서를 가장한 특정 이메일의 클릭률이 92%를 기록했다고 29일 밝혔다.

이번 결과는 카스퍼스키의 자동 보안 인식 교육 플랫폼 ‘카스퍼스키 자동 보안 인식 플랫폼(KASAP)’의 피싱 시뮬레이터 데이터를 분석한 것이다. 카스퍼스키는 올해 1월부터 9월까지 120개국 직원에게 발송한 모의 피싱 이메일 15만건 이상의 결과를 분석했다. 100명 이상의 사용자에게 발송한 이메일 유형만 통계에 포함했다.

분석 결과 기술과 AI를 주제로 삼은 모의 피싱 이메일의 클릭률은 45%를 기록했다. ‘차세대 인공지능 소개’처럼 최근 관심이 높은 기술을 소재로 사용한 이메일이 여기에 포함됐다.

의료·보험 관련 이메일의 평균 클릭률은 28%였다. 이 가운데 위생 점검 보고서를 가장한 특정 이메일은 수신자의 92%가 클릭해 조사 사례 중 높은 수치를 기록했다.

IT 정책과 규정 준수를 소재로 한 이메일은 26%의 클릭률을 보였다. 특정 승인 요청 이메일은 48%가 클릭했다. 실제 업무에서 사용하는 승인 절차를 모방한 문구가 직원의 행동을 유도한 것으로 카스퍼스키는 분석했다.

선물과 프로모션, 티켓을 소재로 한 이메일의 평균 클릭률은 24%였다. 국제축구연맹(FIFA) 관련 행사를 소재로 ‘국가대표팀 유니폼을 입고 경품을 받으세요’라는 내용을 담은 특정 이메일은 66%의 클릭률을 기록했다.

인사 업무나 사내 공지를 모방한 이메일은 22%가 클릭했다. 회사 운영에 관한 내부 설문조사나 의무 복장 규정 안내처럼 직원들이 실제 업무 공지로 받아들일 가능성이 있는 주제가 활용됐다.

스베틀라나 칼라시니코바 카스퍼스키 보안 인식 교육 전문가는 “사람들은 민감하거나 자신의 업무 맥락과 맞는 이메일에 자연스럽게 반응한다”며 “피싱 이메일이 실제 업무 절차나 지역별 특성을 정확하게 모방할수록 식별하기 어려워진다”고 말했다.

카스퍼스키는 생성형 AI가 피싱 이메일의 문구 작성과 개인화를 쉽게 만들면서 이런 공격 방식이 더 정교해질 수 있다고 봤다. 회사는 KASAP 내부 효과 분석 결과 정기적인 보안교육과 공격 시뮬레이션을 실시하면 피싱 취약 비율을 60%에서 5~7% 수준까지 낮출 수 있었다고 설명했다.

이효은 카스퍼스키 한국 대표는 “공격자들은 직원들에게 익숙한 내부 업무 절차와 업무 관행을 모방하고 있다”며 “일회성 주의 환기보다 지속적인 보안 인식 교육을 실시하고 직원들이 이메일 링크를 클릭하기 전에 확인하는 절차를 갖추는 것이 중요하다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network