피싱 모의훈련은 클릭률만으로는 부족하다: 클릭·유출·신고 병행 관찰의 필요성

개요

피싱 모의훈련 시뮬레이션의 성과 지표로 가장 널리 쓰이는 '클릭률(click rate)'에는 구조적 한계가 있다. Pistachio가 2025년 6월 1일부터 2026년 5월 31일까지 1,200개 이상 조직의 123,000명 이상 직원을 대상으로 247만 건의 모의 피싱을 수행한 리서치 결과, 첫 시뮬레이션 단계에서도 1.57%의 직원이 자격 증명을 유출하는 것으로 나타났다. 리포트는 훈련 개선을 보기 위해서는 클릭·유출·신고 행동이 시간과 함께 어떻게 함께 변화하는지를 봐야 한다고 설명하며, 이는 지표를 클릭률 단일값에서 확장해야 한다는 방향이다.

배경·현황

대부분의 피싱 모의훈련 프로그램은 클릭률을 핵심 성과 지표로 삼고 있다. 리포트는 "클릭률은 대부분의 피싱 프로그램이 평가받는 지표이지만, 전체 그림의 일부에 불과하다. 개선의 강력한 지표는 클릭률을 넘어 클릭·유출·신고 행위가 시간이 지나면서 어떻게 함께 변화하는지를 봐야 한다"고 설명한다.

연구를 수행한 Pistachio는 2019년 노르웨이 오슬로에 설립된 인적 리스크 관리 플랫폼 기업으로, 런던과 발렌시아에 지사를 두고 16개국 600개 이상 기업에 서비스를 제공하고 있다. 플랫폼은 이메일, Microsoft Teams, Slack을 통해 시뮬레이션을 배포하고, 백그라운드에서 사용자 행동과 학습 패턴을 관찰해 훈련을 적응시키는 구조다. 연간 200만 건 이상의 시뮬레이션을 처리하며, 본 연구가 커버하는 1년(2025.6~2026.5) 동안의 247만 건은 이 연간 규모를 반영한다.

주요 사례·변화

연구가 가장 명확히 보여주는 지점은 첫 시뮬레이션 단계의 유출이다. 첫 시뮬레이션에서는 사용자가 클릭보다 신고(report)를 더 많이 수행하지만, 여전히 1.57%가 자격 증명을 제출한다. 직원 500명 규모 기업이라면 로그인 정보를 넘길 사람이 약 8명이라는 뜻이다. 클릭률만 추적하는 프로그램은 이 유출이 실제로 일어나고 있는지 감지하지 못한다.

섹터 간 격차도 뚜렷하다.

• 테크 개발·IT 직원의 30%가 시뮬레이션에 한 번 이상 클릭
• 건설·부동산 직원은 피싱 성공 후 자격 증명 유출 비율이 20%에 육박
• 금융 서비스 섹터는 모든 섹터 대비 가장 탄력적(resilient)

이 섹터별 차이는 조직 평균 지표만으로는 위험이 상대적으로 큰 그룹이 가려질 수 있음을 시사한다. 다만 금융 서비스가 "가장 탄력적"이라는 서술은 제공된 증거에서 구체적 수치(유출률, 신고율 등)가 동반되지 않으므로, 그 정도를 정량적으로 단정하기는 어렵다.

산업·기술 영향

클릭률을 유일한 평가 기준으로 삼는 조직에서 이 연구가 가지는 실질적 의미는 세 가지로 정리할 수 있다.

• 훈련 효과 평가의 왜곡: 클릭률 하락은 훈련이 효과를 냈다고 읽히지만, 실제 자격 증명 유출 리스크가 감소했는지는 구분할 수 없다.
• 대응 우선순위의 비효율: 섹터별 지표 격차(테크/IT의 클릭률, 건설·부동산의 유출률)를 조직 평균으로만 보면, 위험이 큰 그룹을 파악하기 어렵다.
• 예산·KPI 설계의 편향: 단일 지표에 기반해 수립된 예산 배분과 목표치가 실제 위험 감소와 일치하지 않을 수 있다.

이러한 한계를 고려할 때, 클릭률에서 출발하되 유출(leak)와 신고(report) 행동을 함께 추적하고 시간 추이로 관리하는 지표 체계로 전환하는 것이 리포트가 제시하는 방향이다. 다만 이 전환이 실제로 자격 증명 유출을 감소시킨다는 인과관계나 전후 비교 데이터는 현재 제공된 증거에 포함되지 않으므로, 효과 검증은 향후 과제다.

전망·시사점

이 연구가 단일 벤더(Pistachio)의 리서치라는 점은 해석 시 유의해야 할 한계다. 섹터별 통계는 1,200개 이상 조직이라는 샘플 기반이며, 특정 산업 전체나 개별 조직으로 직접 외삽하는 것은 신중해야 한다. 또한 '유출'과 '신고'와 같은 지시의 정확한 정의와 샘플 구성(섹터, 국가, 산업별 비중)이 제공된 증거에 명시되어 있지 않다.

이러한 한계에도 불구하고, 현재 피싱 모의훈련을 운용하는 조직이 점검할 방향은 명확하다.

즉시 검토할 점검 항목

• 기존 클릭률 지표에 유출·신고 측정을 더해, 클릭률에 머무르지 않는 지표를 구성
• 클릭·유출·신고 행동을 시간 경과에 따라 함께 추적해 개선 여부를 판단

장기 검증 과제

이 방향이 실효성을 갖기 위해서는 독립적 연구나 다른 피싱 플랫폼의 벤치마크와 교차 검증이 필요하며, 이를 충족하기 전까지는 "통합 측정이 더 나은 지표"라는 주장을 조건부 권장사항으로 삼는 것이 적절하다.

참고자료

• Phishing Research Challenges Conventional Security Awareness Testing
• Pistachio Raises $7 Million for Cybersecurity Training Platform

함께 읽으면 좋은 글

• CVE-2026-60004: Gitea diffpatch API를 통한 Git Hook 설치형 RCE, 1.27.1에서 수정
• SonicWall SMA1000 SSRF·OS 명령 주입 KEV 등재: CVE-2026-83548·83549 대응 점검
• CVE-2026-42016·42018 대응: JFrog Artifactory 토큰 검증·익명 토큰 노출 취약점 점검

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.