사회공학이란 무엇일까요

네 번째 항목은 이런 전화가 진짜처럼 느껴지는 이유를 설명해요. 이야기를 꾸미는 데 필요한 정보는 회사 웹사이트, 직원의 소셜 미디어, 채용 공고 같은 공개 자료에서 가져와요. 조직 하나의 정보를 하룻밤이면 모을 수도 있어요.

전형적인 시나리오는 접근 권한을 잃은 직원이라고 주장하며 기술 지원 부서에 전화하는 거예요. 끈질긴 태도와 내부 정보 몇 가지를 알고 있다는 사실이 어떤 확인 절차보다 설득력 있게 느껴질 때가 많아요.

모든 보안 조치는 정당한 사용자가 시스템에 들어올 수 있다고 전제해요. 사회공학은 바로 이 경로를 이용하죠. 자물쇠를 부수는 대신, 열쇠를 가진 사람에게서 열쇠를 받아내는 거예요.

여기서 문제가 생겨요. 기술적 조치를 강화해도 효과가 거의 없고, 때로는 상황을 더 나쁘게 만들기도 해요. 절차가 복잡할수록 직원들은 우회 방법을 더 자주 찾고, 바로 그 우회 방법이 침입 경로가 되거든요.

마지막 항목은 기술적 조치보다 중요해요. 직원이 실수로 처벌받을까 봐 두려워하면 침묵하게 되고, 조직은 몇 주가 지나서야 공격 사실을 알게 될 수 있어요. 사건을 신고하는 문화가 지침보다 더 효과적으로 보호해 줘요.

표적이 항상 비밀번호인 것은 아니라는 점도 기억하세요. 동료의 직책을 확인해 달라거나, 내부 내선번호를 알려 달라거나, 파일을 전달해 달라는 식으로 사소한 부탁을 하는 경우가 많아요. 그런 작은 정보들이 모여 다음번에는 이미 설득력 있는 이야기가 돼요.