[태그:] 트로이 목마

인지적 오류는 사이버 보안에서 가장 비싼 장비보다 자주 시스템을 무너뜨린다. 2024년 한 해 동안 전 세계 보안 침해 사고의 70% 이상은 사람의 실수나 사회공학에서 시작됐다. 보안뉴스에 연재된 ‘보안을 해킹하다’ 제2화는 이 지점을 정면으로 다룬다. 기술이 강해질수록 뚫리는 곳은 늘 사람이었다.

인지적 오류가 만든 트로이 목마의 교훈

트로이 목마는 10년 포위 끝에 그리스군이 거대한 나무 말을 성 밖에 두고 철수하면서 시작됐다. 트로이인들은 그 제물을 성 안으로 들였다. 전승은 여기까지를 강조하지만, 더 중요한 질문은 왜 의심 없이 들였는가다.

이 사건은 물리적 요새가 무너진 게 아니다. 무너진 것은 신의(신뢰와 의리), 곧 신과 경배 대상에 대한 존중이었다. 공격자는 성벽이 아니라 수신자의 신뢰 구조를 파고든 것이다. 3,000년이 지난 지금도 구조는 같다. 메일 첨부파일, 정상인으로 위장한 전화, 신뢰할 수 있는 도구로 둔갑한 랜섬웨어는 모두 ‘제물’로 둔갑한 트로이 목마다.

필자가 이 사례에서 주목하는 건 공격의 정밀함이 아니다. 수신자가 자기 신앙 체계 안에서 합리화한 결정이다. 의심을 멈추게 한 건 기술이 아니라 관점이었다.

소크라테스식 질문, 인지적 오류를 노리는 대화형 공격

소크라테스는 제자들에게 끊임없이 질문을 던졌다. 답을 주지 않고, 상대의 답변에서 논리적 허점을 스스로 자각하게 만들었다. 이 문답법은 고전 철학의 핵심 기법이다.

그런데 같은 구조는 사회공학의 원형이다. 공격자는 “혹시 이런 적 있으세요?” 같은 질문으로 상대의 인지적 오류를 자극한다. 사용자는 도움을 주려는 심리, 권위에 순응하는 심리에 눌려 정보를 스스로 넘긴다. 그 정보는 종종 계정, 카드번호, 사내 시스템 접근권한이다.

구체적 사례를 든다. 콜센터 직원을 상대한 공격에서 “고객님 명의 확인 차 몇 가지만 여쭤봐도 될까요?”라는 질문은 정상 업무와 구분되지 않는다. 그 질문의 끝에 비밀번호가 있다. 필자는 실무자 입장에서, 이 패턴이 시그니처 기반 탐지보다 더 정확하게 작동한다고 본다.

관점의 해킹 — 기술이 닿지 않는 층위

김정덕 교수의 ‘관점의 해킹’은 이 지점을 짚는다. 공격자는 코드를 깨는 게 아니라, 사람의 관점을 바꾼다. 이건 암호 알고리즘이나 방화벽 규칙의 문제가 아니다.

기업들이 사이버 영토 수호에 투입하는 비용은 매년 커지고 있다. 그럼에도 대형 침해 사고는 끊이지 않는다. 클로드 AI 계정도 인포스틸러로 탈취되는 시대에, 기술만으로 답을 낼 수 없다. 이 시대는 ‘역사상 가장 견고한 디지털 성벽의 시대’이면서 동시에 가장 많은 침해가 기록되는 시대이기도 하다. 그 안에 거주하는 사람의 인지적 오류가 가장 약한 고리로 남는다.

AI 시대, 인적 보안의 재설계가 필요한 이유

생성형 AI는 자연스러운 피싱 메일을 수초 만에 만들어낸다. 문법 오류는 없다. 상대의 직함, 부서, 최근 프로젝트까지 언급한다. 인지적 오류의 표적이 되는 속도는 과거와 차원이 다르다.

다만 AI는 해법이기도 하다. 행동 기반 이상 탐지, 사용자 행동 분석, 의사결정 시점의 짧은 교육이 사람의 인지를 보완한다. 하지만 기술은 인지적 오류를 대신할 수 없다. 보조 도구일 뿐이다.

결국 가장 견고한 방어선은 코드에 있지 않다. 사용자의 인식과 판단력에 있다. 트로이 목마가 증명한 것, 소크라테스 문답법이 2,400년 넘게 반복해 온 것, 그것은 사람의 마음이 가장 정교한 통로이자 가장 결정적인 취약점이라는 점이다. 첨단 보안 솔루션은 이 사실을 인정하는 데서부터 다시 설계되어야 한다. 인지적 오류는 약점이지만, 동시에 인식하면 가장 강력한 1차 방어선이 된다.