[실무] KISA 사이버 위기대응 APT(해킹메일) 모의훈련 실무 A to Z

 

 

1. 훈련의 시작: 왜 KISA 훈련인가?

기업 자체 솔루션으로도 모의훈련을 할 수 있지만, KISA 보호나라에서 주관하는 모의훈련은 공신력이 있고, 최신 트렌드를 반영한 시나리오를 제공해주기 때문에 매우 유용합니다. 게다가 무료라는 점!

이번 훈련의 핵심 목표는 명확했습니다.

"기술적 보안 장비가 막지 못하는 '사람의 취약점'을 보완하자."

2. 훈련 준비 프로세스 (D-Day 전)

Step 1. 신청 및 대상자 선정

KISA 보호나라를 통해 '사이버 위기대응 APT 모의훈련'을 신청했습니다. 이번에는 단순 메일 훈련뿐만 아니라 취약점 진단도 병행 신청했어요.

• Target: 전사 임직원 (이메일 리스트화하여 KISA에 전달)
• Tip: 훈련 대상자 명단 엑셀 파일은 암호화해서 전달하는 센스, 기본이죠? 😉

Step 2. 사전 공지 (눈치 게임의 시작)

여기서 담당자의 고민이 시작됩니다.

• 너무 자세히 공지하면? 👉 임직원들이 다 알아채서 클릭률(감염률)이 0%가 나옴 (훈련 효과 없음)
• 아예 공지 안 하면? 👉 실제 해킹인 줄 알고 신고 전화 폭주 + 업무 마비

그래서 저는 **"대략적인 기간과 훈련이 진행된다"**는 사실만 공지했습니다. 디테일은 숨겨야 '리얼'하니까요.

---

3. 본 훈련 진행: 시나리오의 미학

이번 훈련은 총 2주에 걸쳐 두 번의 파도로 진행되었습니다.

🌊 1차 훈련: "결제 송장 확인 부탁드립니다"

• 주제: 마이크로소프트(Microsoft) 인보이스 사칭
• 발송 도메인: rnicrosoft-reply@admin-sw.co.kr
• 기법: Typosquatting (타이포스쿼팅)
  • 자세히 보세요. m이 아니라 rn입니다. (microsoft vs rnicrosoft)
  • 보안관제 시절, 이런 도메인을 눈에 불을 켜고 찾던 기억이 나네요. 주니어 분들도 로그 보실 때 이런 철자 낚시 조심하세요!

🌊 2차 훈련: "ESG 탄소중립 이행점검 요청"

• 주제: 환경부 사칭, 온실가스 배출량 보고 요청
• 발송 도메인: 기후환경변화정책관실 /carbon@korhacm.co.kr
• 배경: 최근 제조업계의 화두인 ESG 경영과 탄소중립 이슈를 파고든 사회공학적 기법입니다.

---

4. Lesson Learned 🚨

1차 훈련은 무난하게 지나갔습니다. 문제는 2차 훈련이었어요.

저희 회사가 제조업 기반이다 보니, 환경/안전팀이나 ESG 관련 부서에서는 이 메일을 **'진짜 정부 기관의 감사/점검 공문'**으로 오인한 것입니다.

 

[수신자 문의 사항]

• 현업 부서(ESG/환경팀)에서 문의 (ex. "이거 진짜인가요? 우리 배출량 보고 누락된 건가요?")
• 수신자 이름이 정부 정책관실로 일부 직원은 업무상 중요한 메일인 것으로 인지
•  

[회고] 사회공학적 해킹은 사람의 심리(공포, 업무적 의무감)를 이용하는 것이 맞지만, 훈련이 실제 업무 프로세스에 혼선을 주거나 특정 부서의 업무를 마비시키면 안 된다는 것을 깨달았습니다.

💡 Lesson Learned: 시나리오 선정의 딜레마

• 너무 뻔한 스팸형 메일 (광고, 경품) → 클릭 안 함 (훈련 효과 ▼)
• 너무 구체적인 직무 연관 메일 (인사, 감사, 인허가) → 업무 혼선 및 컴플레인 (부작용 ▲)

---

5. 결과 분석 및 후속 조치

📊 통계 확인 (성적표 받는 날)

KISA로부터 결과 리포트를 받았습니다.

• 열람률: 메일을 클릭해서 본 비율
• 감염률(링크 활성화): 본문 내 악성 링크(URL)를 클릭하거나 첨부파일을 실행한 비율

📢 사후 대응

1. 감염자 교육: 링크를 클릭하신 분들에게는 *"이것은 훈련이었습니다"*라는 안도감과 함께, 어떤 부분을 놓쳤는지(발신자 주소 확인 등) 추가 교육을 안내했습니다.
2. 전사 공지: 훈련 결과 배너를 띄워 현재 우리 회사의 보안 의식 수준을 공유하고, 경각심을 고취시켰습니다.

🚀 훈련 개선안 (Action Plan)

이번 사이버 위기대응 APT 모의훈련을 교훈 삼아 내년 훈련 계획을 수정했습니다. 

• 제1안: 관련 팀장님께 미리 귀띔한다? 👉 보안 유지 실패 가능성 높음. (X)
• 제2안: 훈련 직전에 "이런 주제로 갑니다"라고 공지한다? 👉 실전성 떨어짐. (X)
• 제3안 (채택): 공통 주제 선정. 특정 직무(인사, 재무, 환경 등)에 너무 치우쳐서 민감하게 반응할 수 있는 주제는 제외하고, 전사 공통 이슈(복리후생, 시스템 업그레이드 등) 위주로 시나리오를 구성한다. (실전성은 유지하되 업무 방해 최소화)

---

📝 요약 노트

1. APT 훈련은 '기술'이 아닌 '심리' 싸움: 임직원이 어떤 포인트에서 속는지 파악하는 것이 핵심입니다.
2. 사전 공지의 기술: 훈련 사실은 알리되, 내용은 철저히 숨겨야 정확한 통계가 나옵니다.
3. 적정 선 지키기: 너무 리얼한 직무 관련 사칭은 현업 부서의 업무 마비를 초래할 수 있으니 시나리오 검토(Review) 단계가 매우 중요합니다.
4. 후속 조치가 진짜: 감염된 직원을 비난하는 것이 아니라, '아차' 하는 순간 누구나 당할 수 있음을 인지시키고 프로세스를 개선하는 것이 목표여야 합니다.

---

💡 마지막으로 전하는 말

KISA에서 주관하는 **'사이버 위기대응 모의훈련'**은 매년 정기적으로 지원되는 아주 훌륭한 서비스입니다.

사실 중소기업이나 주니어 담당자 입장에서는 자체적으로 훈련 시나리오를 설계하고 발송 시스템을 구축하는 것이 큰 부담일 수밖에 없는데요. 만약 우리 회사의 현재 모의훈련 체계가 조금 부족하다고 느껴지거나, 최신 공격 트렌드를 반영한 실전 경험을 임직원들에게 제공하고 싶다면 주저하지 말고 KISA 지원 서비스를 신청해 보세요!