사회공학

디지털 시대 당신을 속이는 기술

박규동 , 김근혜 지음

학송기획 2025년 04월 01일 출간

작품소개

책소개

디지털 시대, 보안의 가장 큰 위협은 '사람'
오늘날 우리는 디지털 혁명과 인공지능 기술이 급격히 발전하는 시대를 살아가고 있습니다. 정보화 사회는 편리함과 효율성을 제공하지만, 동시에 개인과 조직을 위협하는 새로운 유형의 범죄를 탄생시키고 있습니다. 사이버 보안의 최전선에
기술적 방어 시스템이 있지만, 그 모든 방어를 무력화하는 가장 취약한 요소는 여전히 '사람'입니다. 전 세계에서 발생하는 개인과 조직을 대상으로 하는 사이버공격의 90% 이상이 직간접적으로 사회공학적 기법을 기반으로 하고 있다. 사회공학(Social Engineering)은 컴퓨터 시스템을 제어하거나 개인 및 금융 정보를 훔치기 위해 피해자를 설득, 조종, 영향을 미치거나 속이는 심리적 전술입니다. 해커 등의 사회공학자들은 개인의 본성, 심리적 취약점을 이용하여 공격자가 조작하는 대로 행동하도록 하여 보안 실수를 하거나 민감한 정보를 제공하게 합니다. 이에는 피싱, 보이스피싱, 스미싱, 스피어피싱, BEC 등 다양한 기법들이 정보통신 기술과 함께 이용되고 있다.

생성형 AI의 등장은 사이버 보안의 게임체인저가 되고 있다.
사회공학에 의한 데이터 침해 기법은 기술의 발전과 함께 진화하고 있다. 특히 생성형 AI의 발전과 세계경제포럼은 가짜 뉴스 등의 허위 정보, 딥페이크 등의 AI 기술 등에 의한 위협을 향후 10년 이내의 글로벌 위기로 선정하고 있다. 이들 기술은 현실과 가상의 세계를 혼란스럽게 하고 있습니다. 이들 기술의 변화는 모든 사람을 사회공학 공격자가 될 수 있도록 할 뿐만 아니라 모든 사람과 조직을 피해자로 만들고 있습니다.
이 책에서는 사회공학을 이해하기 위해서 공격자(사회공학자), 피해자(조직, 개인), 공격, 환경(기술 및 사회변화)으로 구성된 기본 모형을 제시하였다. 제1장에서는 사회공학의 개념과 중요성을 다루고 있습니다. 사회공학의 주요 특징과 목적
을 살펴보고, 왜 사회공학이 우리의 삶에 밀접하게 존재하는 데 왜 종종 간과되는지를 논의합니다. 제2장은 환경으로 정보통신 기술과 사회변화에 따라서 사회공학이 어떻게 변화되고 있는지를 살펴보았다. 여기에서는 초기 단계의 사회공학에서 ICT 기술의 변화에 의한 사회공학 2.0으로의 변화와 사회공학에서 하나의 게인체인저가 된 생성형 AI가 사회공학에 미치고 있는 변화를 살펴보게 될 것입니다. 제3장에서는 사회공학 공격자의 유형과 동기를 살펴보고, 사회공학의 피해자가
되는 사람들의 유형과 그들이 공격에 노출되는 실태를 살펴보게 될 것입니다. 제4장에서는 다양한 사회공학 공격 기법을 다룹니다. 공격 벡터에 따라서 물리적 공격(테일게이팅, 숄더 서핑, 개인정보 불법 거래), 사회적 공격(설득 및 속임수, 신원 도용, 프리텍스팅), 기술적 공격(랜섬웨어, 멀웨어 공격 등), 사회기술적 공격(피싱, 이메일 피싱, BEC, 보이스피싱, 스미싱 등)으로 분류하여 살펴보고 있습니다. 그리고 기술의 변화로 새롭게 등장한 SNS, SMS 등의 공격 채널의 특성 등을 살펴보게 될 것입니다. 제5장은 사회공학의 기본 속성인 인간의 본성과 취약성을 사회공학자들이 어떻게 악용하는지를 조작, 속임수, 영향력과 설득 등의 사회심리학적 차원에서 설명하게 될 것입니다. 인간은 왜 사회공학 공격에 취약한지를 인간 본성, 인지적 편향, 감정적 반응, 행동 습관과 함께 사람을 조작, 영향력, 설득 등에 의하여 어떻게 착취하는지를 다루고 있습니다. 제6장은 사회공학에 의한 피해를 줄이기 위한 사회공학 방어 활동을 정보보안과 연계하여 정보보안 문화 형성, 보안 정책 및 절차, 보안 교육 훈련 등을 살펴보고, 조직 차원에서 이들 방어 활동에 효과성을 높이기 위한 리더십과 구성원의 인게이지먼트의 중요성을 다루었습니다.

우리의 경우 보이스피싱에 대한 인지도가 높고, 연구도 많이 되고 있지만, 사회공학에 대한 인지도와 연구는 상대적으로 적은 실정입니다. 이 책은 저자들이 이 분야를 연구한 결과라기보다는 향후 연구를 위해서 기본 지식을 정리한 것으로
이 분야를 연구하는 사람과 공유하기 위해서 출판하게 되었습니다. 이에 여러모로 부족한 부분은 독자 여러분과 함께 생각하고 연구해야 할 과제로 제시하고자 합니다.

목차

서론 3
제1장 사회공학이란 무엇인가? 11
제1절 사회공학의 의의 12
1. 사이버보안의 가장 큰 위협은 인간이다. 12
2. 사회공학이란 무엇인가? 14
3. 사회공학은 어떠한 특성을 가지는가? 19
4. 왜 사회공학인가? 22
5. 왜 사회공학을 등한시하는가? 24
제2절 사회공학 이해 방법 26
1. 사회공학을 이해하기 위한 모형 26
2. 사회공학을 이해하기 위한 다학문적 접근 34

제2장 기술 및 사회변화와 사회공학 37
제1절 사회공학 2.0 38
1. 초기의 사회공학 38
2. 사회공학 2.0 39
제2절 4차 산업혁명과 사회공학 43
1. 4차 산업혁명 43
2. 4차 산업혁명과 사회공학 44
제3절 모바일 및 소셜 네트워크와 사회공학 46
1. 모바일과 사회공학 46
2. 소셜미디어와 사회공학 50
제4절 AI와 사회공학 56
1. 사회공학의 게임체인저 AI 56
2. AI 위험에 대한 예측 56
3. 사회공학에서 AI 57

제3장 사회공학의 공격자와 피해자 61
제1절 사회공학의 공격자 62
1. 사회공학 공격자의 유형 62
2. 사회공학자의 공격 동기 71
3. 사회공학 공격자의 특성 73
제2절 사회공학의 피해자 75
1. 누가 사회공학 공격의 피해자인가? 75
2. 실태 76
3. 사회공학에 의한 피해 80

제4장 사회공학 공격 87
제1절 공격 목표 88
제2절 사회공학 공격과정 89
1. 사회공학 과정 모형 89
2. 주요 사회공학의 공격과정 100
제3절 공격 벡터 104
1. 공격 벡터의 유형 104
2. 공격 채널 109
제4절 물리적 공격 119
1. 테일게이팅 119
2. 피기백 119
3. 쓰레기통 뒤지기 120
4. 숄더 서핑 120
5. 베이팅 121
6. 개인정보의 불법 거래 121
제5절 사회적 공격 122
1. 설득 및 속임수 방법 122
2. 신원 도용 122
3. 프리텍스팅 125
4. 역 사회공학 공격 129
5. 대가 보상 130
제6절 기술적 공격 131
1. 랜섬웨어 공격 131
2. 멀웨어 공격 134
3. 리디렉션 기술 137
4. 기타 기술 기반 피싱 137
5. 기술적 공격을 위한 사회공학 툴킷 141
제7절 사회 기술적 공격 143
1. 피싱 143
2. 이메일 피싱 152
3. 스피어피싱 156
4. 비즈니스 이메일 침해 159
5. 웨일링 피싱 161
6. 스미싱 162
7. 보이스피싱 167
8. 소셜미디어 피싱 173

제5장 사회공학에서 조작, 속임수, 영향력과 설득 177
제1절 사이버보안 행태 178
1. 개관 178
2. 사이버 정보보호 행태 179
제2절 정보보안 관련 의사결정 행태 187
1. 사회공학 피해자의 의사결정 187
2. 정보보안 관련 주요 의사결정 이론 192
3. 성공적인 사회공학 공격의 특성들 207
제3절 사회공학에서 인간의 취약성 213
1. 사회공학에서 인간 본성 213
2. 사회공학에서 인지와 태도 219
3. 사회공학에서 행동과 습관 232
4. 사회공학에서 감정 240
5. 사회공학에서 인간의 성격 250
제4절 사회공학에서 조작, 영향력, 속임수 256
1. 사회공학에서 조작 256
2. 사회공학에서 사회적 영향 265
3. 사회공학에서 속임수와 사기 273
제5절 사회공학에서 설득 292
1. 설득 이론 292
2. 설득 원리 302
3. 사회공학에서 설득의 효과성 메커니즘 328
4. 피싱에 사용되는 설득 원리 336
제6절 인구학적 특성 345
1. 누가 사회공학 공격에 취약한가? 345
2. 조직에서 누가 취약한가? 354
제6장 사회공학 방어 활동 362
제1절 정보보안과 사회공학 363
1. 정보보안의 의의 363
2. 정보보안 예방 실태 365
3. 사회공학적 공격에 대한 방어 메커니즘 372
제2절 정보보안문화 378
1. 정보보안문화의 의의 378
2. 정보보안과 정보보안문화 381
3. 바람직한 정보보안문화 384
4. 바람직한 정보보안문화 형성 방안 390
제3절 사회공학 보안 정책, 절차, 지침 392
1. 사이버보안 정책 392
2. 사회공학 보안정책 398
3. 보안정책이 실패하는 이유 420
4. 사회공학 공격 벡터별 대응 방법 423
제4절 사회공학에 대한 인식과 교육 430
1. 보안 인식과 교육 훈련의 의의 430
2. 사회공학 차원에서 정보보안에 대한 바람직한 인식 433
2. 정보보안 인식 및 교육 훈련 과정 437
3. 교육 훈련 내용 438
4. 교육 훈련 방법 441
5. 일반인을 위한 교육 훈련 444
6. 지속적이고 반복적인 정보보안 교육훈련 445
제5절 정보보안 리더십 447
1. 리더십의 의의 447
2. 바람직한 정보보안 리더십 447
제6절 정보보안 인게지먼트 450
1. 조직에서의 인게이지먼트 450
2. 정보보안에서 인게이지먼트 455

참고문헌 457
찾아보기 484

책 속으로

사이버 위협의 70~98%는 인간의 부주의와 오류에서 비롯된다. 데이터 침해는 부주의한 사람의 문제다.
사회공학 2.0 시대는 모든 사람이 공격자가 되고 피해자가 되는 시대이다.
AI는 사회공학에 새로운 게임체인저가 되고 있다.
우리의 생존에 대한 주요 위협은 더 이상 외부의 자연에서 비롯되지 않고 우리 내부의 인간 본성에서 비롯됩니다. 세상을 위험에 빠뜨리는 것은 우리의 부주의, 적대감, 이기심, 오만함, 고의적인 무지입니다.
탐욕은 인간의 본성이고 사회공학자의 가장 좋은 먹잇감이다.
사회공학자들은 인간의 인지 과정의 오류를 조장하여 착취한다.
사회공학자는 피해자를 조작하여 로봇처럼 조정한다.

작가정보

저자(글) 박규동

- 서울대학교 행정대학원 (정책학 석사)
- University of Colorado (행정학 박사)
- 現 서울시립대학교 행정학과 조교수

공공관리, 정책평가, 행정데이터 분석, AI 정책 등에 관심을 가지고 연구활동을 하고 있다. 정보 영역의 연구로 자동안면인식(AFR)기술 규제방안 연구: 미국 사례를 중심으로, 코로나19 팬데믹 이후 미국 사이버보안 정책
의 변화와 연속성에 관한 연구 등이 있다.
저서로 정책평가론, 공공관리 기법, 전략적기획과 성과관리, 미래를 보는 시나리오 기획 등이 있다.

저자(글) 김근혜

- 이화여자대학교 정치외교학과 (정치학 석사)
- 고려대학교 정보보호대학원 (공학 박사)
- 現 고려대학교 정보보호대학원 연구교수

학위논문으로는 "A Study on the Diffusion of the Militarization of Cyberspace: Using a mixed methods analysis"가 있고, "CBMs for Cyberspace beyond the Traditional Security Environment"와 "System Security Management Education Framework", AI 영향평가에 관한 국외 연구 동향 분석와 같은 사이버안보 및 정보보호 관련 논문을 썼다. 저서로 정보보안문화(공저)가 있다.