[논문 리뷰] Business Email Compromise (BEC) and Cyberpsychology

Alessandro Ecclesie Agazzi|arXiv (Cornell University)|2020. 07. 05.

Spam and Phishing Detection참고 문헌 3인용 수 4

한 줄 요약

이 논문은 사이버심리학의 시각에서 비즈니스 이메일 사기(BEC) 사기를 분석하며, 성격 특성(빅 파이브 프레임워크)과 Cialdini의 영향의 여섯 원칙이 사회공학 공격을 가능하게 하는 방식을 다룬다. 유비쿼티와 피블스 미디어 그룹의 실제 사례를 통해 BEC의 광범위한 위협성을 입증하고, 기관 대상 실행 가능한 완화 전략을 제안한다.

ABSTRACT

The paper gives a brief introduction about what BEC (Business Email Compromise) is and why we should be concerned about. In addition, it presents 2 examples, Ubiquity and Peebles Media Group, which have been chosen to analyse the phenomena of BEC and underpin how universal BEC threat is for all companies. The psychology behind this scam has been, then, studied. In particular, the Big Five Framework has been analysed to understand how personality traits play an important role in Social Engineering-based attacks. Furthermore, the 6 basic principles of influence, by Cialdini, have been presented to show which strategies are adopted in such scam. The paper follows with the analysis of the BEC impacts, the incidents evaluation and, finally, with the description of some precautions, that companies should undertake in order to mitigate the likelihood of a Business Email Compromise.

연구 동기 및 목표

• 비즈니스 이메일 사기(BEC) 사기의 심리적 메커니즘을 조사하여, 인간의 행동이 어떻게 사회공학 공격을 가능하게 하는지 밝히는 것.
• 유명한 실제 사례들인 유비쿼티와 피블스 미디어 그룹을 분석하여 BEC 위협의 보편성을 검토하는 것.
• 빅 파이브 프레임워크의 성격 특성이 BEC 공격에 대한 취약성에 어떻게 영향을 미치는지 탐구하는 것.
• Cialdini의 영향의 여섯 원칙이 BEC 사기의 효과성에 어떻게 기여하는지 평가하는 것.
• BEC 위험을 줄이기 위해 기관에서 실행 가능한 심리학 기반 완화 전략을 제안하는 것.

제안 방법

• 유비쿼티와 피블스 미디어 그룹의 두 주요 BEC 사고를 사례 연구 분석하여 BEC의 실제 영향과 보편성을 입증하는 것.
• 개방성, 성실성, 외향성, 협조성, 정서적 안정성으로 구성된 빅 파이브 성격 특성 프레임워크를 적용하여 개인의 사회공학 공격에 대한 취약성을 평가하는 것.
• 상호 보상, 약속/일관성, 사회적 증거, 권위, 친밀감, 희소성의 여섯 가지 영향 원칙을 통합하여 BEC 캠페인에서 사용된 심리적 전략을 해독하는 것.
• 재정적 손실, 조직적 혼란, 심리적 조작 기법을 기준으로 BEC 사고를 평가하는 것.
• 영향 원칙에 대한 교육과 성격 기반 위험 인식 프로그램을 포함한 심리학적 통찰에 기반한 조직적 예방 조치를 제안하는 것.

실험 결과

연구 질문

• RQ1 빅 파이브 성격 특성에서 정서적 안정성과 성실성이 낮은 개인은 BEC 공격에 얼마나 취약한가?
• RQ2 Cialdini의 영향의 여섯 원칙이 실제 BEC 사기 메일 통신에 얼마나 체계적으로 반영되어 있는가?
• RQ3 다양한 조직에서 BEC 공격이 성공하는 데 공통적으로 작용하는 심리적 패턴은 무엇인가?
• RQ4 사이버심리학의 통찰을 통합함으로써 조직의 사이버보안 전략을 어떻게 강화할 수 있는가?
• RQ5 BEC 사고가 기업에 미치는 측정 가능한 영향은 무엇이며, 이러한 영향은 심리적 인식으로 어떻게 완화될 수 있는가?

주요 결과

• 빅 파이브 성격 프레임워크에 따르면, 정서적 안정성이 높고 성실성이 낮은 개인은 불안 수준이 높고 세부 사항에 주의를 기울이지 않기 때문에 BEC 사기 공격에 더 취약하다.
• Cialdini의 영향 원칙 중 권위와 희소성 원칙이 BEC 이메일에서 체계적으로 악용되어 피해자가 빠르게 금전적 결정을 내리도록 압박한다.
• 유비쿼티와 피블스 미디어 그룹의 사례는 BEC가 소규모 기업에 국한되지 않고, 자원이 풍부한 대규모 기업에게도 심각한 위협이 될 수 있음을 보여준다.
• BEC에서의 심리적 조작은 기술적 취약성보다도 인지 편향과 정서적 자극을 노리기 때문에 매우 효과적이다.
• 영향 원칙과 성격 기반 위험에 초점을 맞춘 심리학 기반 교육을 시행하는 기관은 BEC 공격의 성공 가능성을 크게 줄일 수 있다.
• 본 연구는 BEC 사고가 상당한 재정적 손실과 운영적 손상을 초래하며, 고위험 사례에서는 한 건당 손실이 100만 달러를 초과할 수 있음을 확인했다.