[논문 리뷰] Breaching the Human Firewall: Social engineering in Phishing and Spear-Phishing Emails

Marcus Butavicius, Kathryn Parsons외 2명|arXiv (Cornell University)|2016. 05. 28.

Spam and Phishing Detection참고 문헌 15인용 수 85

한 줄 요약

이 연구는 사회공학 기법—권위, 희소성, 사회적 증거—가 피싱 및 스피어 피싱 공격에서 사용자의 이메일 안전성 인식에 미치는 영향을 조사한다. 통제된 실험을 통해 권위 원칙이 사용자를 속이는 데 가장 효과적임을 발견하였으며, 특히 스피어 피싱 맥락에서 악성 링크를 안전하다고 판단할 가능성을 크게 높였다.

ABSTRACT

We examined the influence of three social engineering strategies on users' judgments of how safe it is to click on a link in an email. The three strategies examined were authority, scarcity and social proof, and the emails were either genuine, phishing or spear-phishing. Of the three strategies, the use of authority was the most effective strategy in convincing users that a link in an email was safe. When detecting phishing and spear-phishing emails, users performed the worst when the emails used the authority principle and performed best when social proof was present. Overall, users struggled to distinguish between genuine and spear-phishing emails. Finally, users who were less impulsive in making decisions generally were less likely to judge a link as safe in the fraudulent emails. Implications for education and training are discussed.

연구 동기 및 목표

• 사용자의 링크 클릭 안전성 판단에 영향을 미치는 사회공학 전략의 영향을 조사하기 위해.
• 피싱 및 스피어 피싱 이메일에서 권위, 희소성, 사회적 증거의 효과성을 비교하기 위해.
• 사용자가 진짜, 피싱, 스피어 피싱 이메일을 구분할 수 있는 능력을 평가하기 위해.
• 결정의 즉각성과 같은 개인적 특성들이 사회공학 공격에 대한 취약성에 미치는 영향을 탐구하기 위해.

제안 방법

• 참가자들이 진짜, 피싱, 스피어 피싱 이메일 세 종류에 노출된 통제된 실험을 실시하였다.
• 각 이메일은 권위, 희소성, 사회적 증거 중 하나의 사회공학 전략을 포함하였다.
• 표준화된 척도를 사용하여 참가자들이 각 이메일의 링크 안전성에 대해 내린 판단을 측정하였다.
• 검증된 심리 평가 도구를 사용하여 참가자의 결정 즉각성에 대한 데이터를 수집하였다.
• 사회공학 전략과 개인적 특성이 사용자의 위험 인식과 클릭 판단에 미치는 영향을 분석하였다.
• 통계 분석을 통해 이메일 유형과 사회공학 전략 간의 클릭 안전성 판단을 비교하였다.

실험 결과

연구 질문

• RQ1 권위, 희소성, 사회적 증거가 피싱 및 스피어 피싱 이메일에서 링크 안전성 인식에 어떻게 영향을 미치는가?
• RQ2 사용자를 악성 링크를 안전하다고 인식하게 만들기 위해 가장 효과적인 사회공학 전략은 무엇인가?
• RQ3 사용자는 진짜, 피싱, 스피어 피싱 이메일을 얼마나 잘 구분할 수 있는가?
• RQ4 결정의 즉각성이 이메일 공격에서의 사회공학 공격에 대한 취약성에 영향을 미치는가?
• RQ5 이 연구 결과가 사이버보안 교육 및 훈련 프로그램에 어떤 시사점을 제공하는가?

주요 결과

• 권위 원칙이 가장 효과적인 사회공학 전략이었으며, 사용자가 악성 링크를 안전하다고 보는 경향을 뚜렷이 높였다.
• 권위 전략이 사용되었을 때 사용자는 피싱 및 스피어 피싱 이메일을 가장 잘 식별하지 못했으며, 이는 높은 기만 효과를 의미한다.
• 사회적 증거가 존재했을 때 사용자는 위조 이메일를 가장 잘 식별했으며, 이는 공격자에게는 이 전략이 덜 효과적임을 시사한다.
• 전반적으로 사용자는 진짜 이메일과 스피어 피싱 이메일을 구분하는 데 어려움을 겪었으며, 이는 인간의 위협 탐지 능력에 심각한 취약성이 있음을 보여준다.
• 낮은 즉각성 특성을 가진 개인은 악성 링크를 안전하다고 판단할 가능성이 낮아, 신중한 의사결정이 보호 역할을 한다는 점을 시사한다.
• 이 연구는 사회공학이 특히 타겟 공격에서 기술적 방어보다 심리적 자극을 더 효과적으로 악용함을 확인한다.