핵심 요약
- 원글 작성자는 조직 내 일부 사용자가 피싱 모의훈련에서 50%에 가까운 실패율을 반복적으로 기록하고 있으며, 추가 교육만으로는 행동 변화가 일어나지 않는다고 판단하고 있음
- 무관심이 학습능력 부족보다 더 큰 원인으로 작용한다는 인식이 원글에서 드러남
- 커뮤니티 반응에서 가장 자주 제시되는 해법은 HR·경영진 등 상위 의사결정 라인으로의 에스컬레이션이며, 보안 담당자 단독으로는 처리가 어려운 영역으로 분석됨
분석
목차
피싱 모의훈련 결과를 보다가 분기마다 같은 이름이 빨갛게 뜨는 순간을 마주한 적 있을 것이다. 한 직원이 50%에 가까운 실패율을 반복하고, 같은 부서에서 다른 두세 명도 같은 패턴을 보인다. 추가 교육을 보내고 다시 훈련을 돌려도 다음 분기에 다시 그 이름이 올라온다. 보안팀이 혼자 해결할 수 없는 지점이 여기서부터다.
왜 같은 사람이 계속 클릭하는가
피싱 모의훈련 실패는 두 갈래로 나뉜다. 학습 능력이 부족한 경우와, 능력은 충분하지만 행동을 바꾸지 않는 경우다. 실무에서 반복적으로 만나는 케이스는 대부분 후자다. 사용자는 “피싱이 무엇인지” 알고 있지만, 업무 우선순위, 알림 피로, 습관적 클릭 때문에 행동이 바뀌지 않는다.
교육이 효과를 내지 못하는 구조적 이유도 분명하다. 분기 1회 15분 교육은 강도가 약하고, 실패 직후의 즉각적 피드백이 부족하며, 무엇보다 조직 전체의 책임이 아닌 개인의 인식 개선으로 끝나기 쉽다. 같은 고민을 가진 실무자들 사이에서 자주 언급되는 해법은 한 가지로 수렴한다. 교육만으로 해결하려 하지 말고, 정책·교육·기술 통제를 동시에 끌어올리라는 것이다.
피싱 모의훈련 실패 기준부터 다시 정해야 한다
가장 먼저 정해야 할 것은 “실패”의 정의다. “이메일을 열었다”와 “자격증명을 입력했다”는 위험도가 다르다. 전자는 단순 호기심이나 자동 미리보기에서 발생할 수 있고, 후자는 명백한 위험 행동이다. 이 두 가지를 같은 실패로 묶으면 부서별·직급별 실제 노출도가 왜곡된다.
다음으로, 실패 데이터를 부서·직급·시기별로 누적 기록해야 한다. 같은 사람이 분기마다 반복해서 실패하는지, 특정 부서에서 집중적으로 발생하는지, 연말·연초 같은 시기에 일시적으로 급증하는지를 구분해 보면 대응 우선순위가 자연스럽게 정해진다.
반복 실패자 대응 7단계 실무 절차
1단계. 실패 기준 4단계로 재정의
“이메일 열기 → 링크 클릭 → 자격증명 입력 → 첨부파일 실행”을 4단계로 구분하고, 각 단계의 위험도를 정책 문서에 명문화한다. 자격증명 입력과 첨부파일 실행은 고위험군으로 별도 추적한다.
2단계. 데이터 누적과 객관화
분기별 실패율, 반복 실패자 명단, 부서별 집중도, 고위험 행동 비율을 별도 대시보드로 분리한다. 50%에 가까운 실패율이 한 개인에게 반복되는지, 분산되어 있는지에 따라 다음 단계가 달라진다.
3단계. HR·경영진 라인에 에스컬레이션
개인 단위 제재는 보안팀이 단독으로 결정할 수 없다. 반복 실패가 실제 사고로 이어질 수 있다는 점을 정량 데이터로 제출하고, 정책 변경과 권한 이양의 합의를 끌어내야 한다. 필자가 실무에서 가장 오래 막히는 지점이기도 하다. 사용자 계정을 제한하는 행위 자체가 HR·법무 검토 영역에 닿기 때문이다.
4단계. 단계형 의무 교육
커뮤니티에서 자주 거론되는 패턴은 강도 상향식이다. 1회 실패 시 1시간 의무 교육, 2회 누적 시 1일 전일 교육, 3회 누적 시 1주 집중 과정이다. 핵심은 “추가 안내”가 아니라 “교육을 회피할 수 없는 강제 일정”이다. 수료 여부는 HR이 직접 확인하도록 권한을 넘긴다.
5단계. 자동 잠금과 상급자 승인 해제
3회 누적 실패 시 해당 계정의 외부 메일 접근을 자동 차단한다. 해제는 상급자 또는 보안팀장 승인을 받아야만 가능하도록 설계한다. 이 정책은 사용자에게 “클릭의 비용”을 체감시키는 가장 직접적인 수단이다. 동시에 보안팀이 임의로 잠금을 풀지 못하도록 승인 권한을 분리하면 정책 신뢰도도 올라간다.
6단계. 기술적 통제 보강
사용자 행동에만 기대는 통제는 결국 무너진다. 메일 보안 게이트웨이에서 신규 도메인 URL은 자동 격리 페이지를 거치게 하고, 매크로 첨부파일은 기본 차단, 외부 클라우드 공유 링크는 화이트리스트 등록 도메인만 즉시 열람 가능하게 둔다. 사용자 클릭 자체가 위험해지지 않도록 만드는 보조선이 반드시 필요하다.
7단계. 정책 문서화와 주기적 재평가
“누가 무엇을 할 것인가”를 한 장짜리 정책으로 남기지 않으면 6개월 뒤 담당자가 바뀌는 순간 모든 절차가 흐려진다. 책임자·승인 라인·해제 절차·재평가 주기(예: 분기 1회)를 명문화하고 경영진 승인을 받아 공표한다.
실무에서 자주 보이는 실수
피싱 모의훈련 운영에서 가장 자주 보이는 실수는 교육 횟수만 늘리는 것이다. 사용자 행동은 시스템 설계의 결과이지, 교육 시수의 결과가 아니다. 또 하나는 실패 기준을 너무 넓게 잡아 고위험 행동이 묻히는 경우다. “이메일 열기”까지 실패로 처리하면 데이터는 풍성해지지만 실제 사고 위험은 부각되지 않는다.
기술 통제를 빼고 정책만 강화하면, 사용자는 업무 마감을 위해 다른 경로를 찾는다. 정책·교육·기술 통제는 세 가지가 함께 가야 효과가 난다.
정책·교육·기술 통제를 한 장짜리로 묶는 법
피싱 모의훈련은 보안팀 단독 프로젝트가 아니다. 사용자, HR, 경영진, IT 인프라가 같은 방향을 봐야 반복 실패자가 줄고, 그것이 결국 조직 전체의 피싱 저항력을 끌어올린다. 오늘 점검할 수 있는 가장 작은 한 가지부터 시작하는 것이 현실적인 출발점이다. 이 주제에 대한 실무자들의 실제 논의는 피싱 모의훈련에서 반복 실패하는 사용자에 대한 현장 토론에서 확인할 수 있다.
지금 바로 해볼 것
- 이번 주 안에 피싱 모의훈련 실패 기준을 4단계(열기·클릭·자격증명 입력·첨부 실행)로 재정의한다
- 분기별 반복 실패자 명단을 HR 담당자에게 공유하고 1회 정량 데이터 회의를 요청한다
- 메일 게이트웨이에서 신규 도메인 URL 격리 정책을 우선순위 1순위로 점검한다
- 3회 누적 실패 시 자동 잠금, 상급자 승인 해제 정책 초안을 경영진 안건으로 올린다
- 정책 문서를 1장짜리 PDF로 만들어 사내 공지하고 분기 1회 재평가 일정을 캘린더에 등록한다
실무 적용 포인트
- 실패 기준을 4단계로 분리해 고위험 행동(자격증명 입력·첨부 실행)만 별도 추적한다
- 반복 실패자는 HR 라인에 정량 데이터로 에스컬레이션해 단독 결정 구조를 벗어나야 한다
- 3회 누적 시 자동 잠금, 해제는 상급자 승인 기반으로 설계해 임의성을 제거한다
- 메일 게이트웨이·링크 격리·첨부파일 차단으로 클릭 위험 자체를 낮추는 보조선을 함께 깔아야 한다
- 정책 문서는 1장으로 요약해 분기 1회 재평가 사이클을 운영한다
자주 묻는 질문
피싱 모의훈련 실패 기준은 어떻게 정해야 하나요?
피싱 모의훈련에서 사용자가 하는 행동을 이메일 열기, 링크 클릭, 자격증명 입력, 첨부파일 실행 4단계로 구분하고, 후자 두 단계만 고위험군으로 별도 집계해 추적하는 것이 실무적으로 효과적입니다. 같은 실패로 묶으면 부서별 실제 노출도가 왜곡되어 우선순위 판단이 흐려집니다.
자동 잠금 정책은 사용자 반발이 심하지 않나요?
3회 누적 실패에 한해 적용하고, 해제 권한을 상급자 또는 보안팀장에게 분리하면 사용자 입장에서도 “임의 차단”이 아닌 “승인 기반 절차”로 인식됩니다. 사전에 정책 문서로 공지하고 HR 승인을 받아두면 수용도가 크게 올라갑니다.
단계형 의무 교육은 정말 효과가 있나요?
교육 시수보다 일정 강제가 더 큰 변수입니다. 1회 1시간, 2회 1일, 3회 1주로 강도를 상향하고 HR이 수료를 직접 확인하는 구조가 효과적입니다. 교육 내용 자체보다 “회피 불가”라는 사실이 사용자 행동을 바꿉니다.
기술적 통제만 강화하면 교육이 필요 없나요?
그렇지 않습니다. 기술 통제로 클릭 위험 자체를 줄이더라도, 우회 경로(개인 메일, 외부 메신저, 모바일 메일 앱)가 생기면 다시 누수가 발생합니다. 정책·교육·기술 통제는 세 가지가 함께 가야 효과가 유지됩니다.
참고 원문
이 기사는 다음 원문을 확인해 작성했습니다: r/cybersecurity — Users repeatedly failing phishing campaigns
전문가 코멘트(AI)
정보보안전문가
교육에서 시스템으로의 전환은 검증된 방향이나, 징벌 중심 설계와 MFA 시대 미반영이 주요 약점
반복 실패자 문제를 개인 교육이 아닌 정책·교육·기술 통제의 결합으로 다루겠다는 접근은 성숙한 보안 프로그램의 표준 진화 경로와 일치하며, 실패를 열기·클릭·자격증명 입력·첨부 실행으로 계층화하는 발상은 실제 피싱 킬체인의 위험도 차이를 반영한 설계로 평가할 만하다. 다만 자동 잠금과 누적 제재를 축으로 한 징벌 구조는 의심 메일의 자발적 신고율을 떨어뜨린다는 업계 경험과 연구 결과와 정면으로 충돌하며, 핵심 지표를 클릭률보다 신고율과 신고 소요 시간으로 함께 추적하는 병행 설계가 없으면 방어력 계측이 역행할 수 있다. 4단계 분류가 MFA 승인 행동을 포함하지 않는 점도 구조적 공백이다. AiTM 중간자 피싱과 푸시 폭탄이 주류 위협이 된 현재, 자격증명 입력 다음의 마지막 방어선은 MFA 승인 여부이므로 이 분류 체계는 구형 위협 모델에 머물러 있다. 링크 격리, 매크로 차단, 화이트리스트 같은 기술 보조선을 반드시 병행하라는 방향은 정확하다. 장기적으로 passkey와 피싱 저항형 인증이 확산되면 자격증명 입력형 훈련의 측정 의미 자체가 재정의될 것이므로, 이 절차 체계도 연 단위 재설계 대상으로 봐야 한다.
산업심리·보안문화전문가
행동은 환경의 산물이라는 문제 정의는 타당하나, 징계 절차가 노무 리스크와 동기 균형을 얇게 다룬다
무관심과 알림 피로가 학습능력 부족보다 큰 실패 원인이라는 진단은 행동과학의 표준 통찰이며, 교육 시수가 아니라 환경 설계가 행동을 결정한다는 명제도 조직행동 연구에서 반복 확인된 사실이다. 누적 제재에 사전 고지, 승인 권한 분리, 상급자 승인 해제 절차를 붙인 설계는 절차적 공정성 요건을 갖춘 점에서 강점이다. 그러나 개인별 명단 공유와 계정 잠금은 사실상 인사 제재에 준하는 효력을 가지므로, 근로기준법상 절차와 취업규칙 명시, 개인정보 처리 근거 검토 없이 시행하면 분쟁 리스크가 크다. 또한 50% 실패율이 개인 무성의의 신호인지, 훈련 난도와 실제 업무 맥락의 불일치 신호인지 구분하는 진단 절차가 빠져 있으면 조직은 쉽게 직원 탓 프레임으로 수렴한다. 빠른 신고 포상 같은 긍정 강제 장치 없이 징벌 일변도로 돌아가면 보안 문화가 감시와 회피의 게임으로 변질될 위험이 있다.
비판적 분석가
‘무관심한 반복 실패자’라는 서사 뒤에는 난도 조정권을 쥔 보안 측의 예산·권한 확대 이해가 도사리고 있다
겉으로는 ‘교육이 아니라 시스템’이라는 건전한 실무 조언으로 읽히지만, 이면을 들여다보면 이 논의 전체가 모의훈련 난도를 설정하고 실패율을 집계하는 권한을 쥔 주체의 지표를 외부에서 검증할 통로 없이 전제한다. 훈련 캠페인을 설계·집계하는 보안팀이나 외부 벤더 입장에서 실패율이 높을수록 예산, 툴 도입, 계정 통제 권한 확대의 명분이 커지는 구조적 유인이 성립하므로, 50%라는 수치는 직원 무관심의 지표이기도 하지만 설계자의 이해가 묻은 지표일 가능성이 있다. 커뮤니티 스레드를 원료로 삼아 7단계 절차와 체크리스트로 재포장해 외부 링크를 달아 유통하는 흐름은 교육 콘텐츠라기보다 검색 유입과 컨설팅 리드를 겨냥한 파이프라인의 전형으로 읽힌다. 자동 잠금·상급자 승인 해제 정책은 보안팀의 임의성을 견제한다는 낯을 보이면서도, 실제로는 계정 사용 제한 재량을 관리자 라인에 상설화하는 제도적 통로가 될 수 있다. 우리가 진짜 주목해야 할 점은 7단계의 정교한 절차가 아니라, 실패의 정의와 난도를 누가 정하고 그 수치로 누구의 예산과 권한이 배분되는가라는 질문이 어디에도 검증 통로 없이 넘어간다는 사실이다. 직원이 실패자로 마킹되기 전에, 훈련 설계자의 이해충돌은 누가 먼저 검증하게 될까.
물밑 시나리오
- 모의훈련 난도를 내부적으로 상향 조정해 실패율을 부풀려 예산과 스폰서십을 확보하는 시나리오: 한 개인이 분기마다 50%에 육박하는 실패율을 반복 기록한다는 수치는 표준 난도로는 비정상적으로 높아, 스피어피싱급 어려운 캠페인의 반복 배포라는 설계 권한의 개입 정황으로 읽힐 여지가 있다.
- 잠금·승인 해제 정책이 보안 명분의 노무 통제 도구로 굳어지는 시나리오: HR 에스컬레이션과 자동 잠금이 표준화되면 계정 접근 제한 재량이 사실상 관리자 라인에 상설 권한으로 이전되어, 보안이 아닌 성과 압박이나 불량 직원 관리의 명분으로 재활용될 구조적 통로가 열린다.