- AI·기술 45%·승인 요청 48%·FIFA 관련 66%…업무·시의성 활용한 이메일에 높은 반응

 

 

 

카스퍼스키가 자동 보안 인식 교육 플랫폼 ‘KASAP’의 피싱 시뮬레이션 데이터를 분석한 결과, 업무 맥락이나 시의성 있는 주제를 활용한 이메일에서 높은 클릭률이 나타났다. 위생 점검 보고서 이메일은 92%, FIFA 관련 이메일은 66%, 승인 요청 이메일은 48%, AI·기술 관련 이메일은 45%를 기록했다.

 

업무·시의성 활용한 피싱…위생 점검 92%

의료·보험 관련 이메일의 평균 클릭률은 28%였지만 위생 점검 보고서를 활용한 이메일에서는 92%까지 올라갔다. ‘차세대 인공지능 소개’와 같은 AI·기술 관련 이메일도 테스트 수신자의 45%가 클릭했다.

 

IT 정책과 규정 준수를 가장한 이메일은 직원의 26%가 클릭했고, 특정 승인 요청 이메일은 48%를 기록했다. 선물·프로모션·티켓 관련 이메일의 평균 클릭률은 24%였으며, FIFA 관련 ‘국가대표팀 유니폼을 입고 경품을 받으세요!’ 이메일에서는 66%로 높아졌다. 인사와 사내 커뮤니케이션을 모방한 이메일은 22%가 클릭했으며, 내부 설문조사나 의무 복장 규정처럼 직원의 관심이 높은 사내 주제도 피싱에 활용됐다.

 

카스퍼스키는 직원들이 어떤 피싱 이메일에 쉽게 속는지 확인하기 위해 피싱 시뮬레이터에서 수집한 익명화된 자발적 참여 데이터를 분석했다. KASAP 각 요금제에 포함되거나 관리형 서비스 제공업체(MSP)용 독립형 솔루션으로 제공하는 피싱 시뮬레이터는 관리자가 사전 예고 없이 실제와 유사한 이메일을 발송해 직원의 반응을 확인한다. 높은 클릭률을 보인 유형을 바탕으로 추가 보안 교육이 필요한 영역을 파악한다.

 

업무 절차·지역 특성 모방해 피싱 개인화

카스퍼스키 스베틀라나 칼라시니코바 보안 인식 교육 전문가는 “피싱 이메일이 실제 업무 절차나 지역별 특성을 정확하게 모방할수록 더욱 그렇다. 사이버 범죄자들은 이러한 특성을 활용해 공격을 더욱 개인화하고 있으며, 생성형 AI 확산으로 이러한 추세는 더욱 가속화될 것”이라고 밝혔다.

 

2026년에도 피싱은 모든 성장 단계의 기업에서 빈번하게 발생하는 사이버 보안 사고 유형으로 꼽혔다. 사람을 표적으로 삼는 공격은 정교해지고 빠르게 확산되는 가운데 인공지능 기반 기법까지 활용하면서 여러 단계를 거치는 공격 캠페인으로 발전하고 있다.

 

정기 교육 후 피싱 취약 비율 60%→5~7%

카스퍼스키의 KASAP 효과 분석에서는 정기적인 보안 인식 교육과 공격 시뮬레이션을 진행했을 때 ‘피싱 취약 비율’이 60%에서 5~7% 수준으로 낮아졌다. 카스퍼스키는 모든 직원을 대상으로 지속적인 사이버 보안 인식 교육 프로그램을 운영하고 실제와 유사한 공격 시뮬레이션을 병행할 것을 권고했다.

 

카스퍼스키는 기업 규모와 보안 교육 수준에 맞춰 KASAP Essential, Proactive, Advanced 등 신규 요금제 3종도 선보였다. Essential은 중소기업의 기본적인 사이버 보안 교육과 규정 준수를 지원하고, Proactive는 직원 1,000명 이상 기업을 대상으로 지속적인 교육과 성과 측정을 제공한다. Advanced는 보안 문화가 성숙한 대기업과 규제 산업 조직이 온프레미스 또는 클라우드 환경에서 기업별 요구에 맞춘 보안 인식 교육 프로그램을 운영하는 데 사용한다. 세 요금제 모두 피싱 시뮬레이션 기능을 포함한다.

 

카스퍼스키 이효은 한국지사장은 “실질적으로 효과적인 방어는 일회성 주의 환기에 그치지 않고 지속적인 보안 인식 교육을 실시하는 것이다. 모든 직원이 이메일 링크를 클릭하기 전에 한 번 더 주의를 기울이도록 하는 것이 중요하다”고 밝혔다.

 

#카스퍼스키 #KASAP #피싱 #피싱메일 #사이버보안 #생성형AI #보안인식교육 #피싱시뮬레이션 #이메일보안 #정보보안