어떻게 가장 약한 고리는 사람

가장 약한 고리

사슬은 가장 약한 고리에서 끊어져요. 굵은 고리가 아무리 많아도 약한 고리 하나가 버티지 못하면 사슬 전체가 무너져요. 보안도 마찬가지다. 암호가 강하고 잠금이 단단해도, 그것을 다루는 사람이 깜빡 문을 열어 주면 나머지가 모두 헛수고가 된다.
그래서 공격자는 가장 단단한 기술 대신 가장 약한 고리, 곧 사람을 노리기도 한다. 이것은 사람이 어리석다는 뜻이 아니다. 기술은 매번 같은 규칙대로 움직이지만 사람은 바쁘고 지치고 남을 믿기 때문이에요. 이 사실을 먼저 인정하는 데서 방어가 시작된다.

강한 자물쇠를 두드려 보고, 사람이 문을 여는 쪽도 눌러 보자. 기술은 끄떡없지만 문이 열리면 자물쇠는 아무 소용이 없어진다.

자물쇠 쪽은 아무리 두드려도 끄떡없었는데, 사람 쪽 문이 열리자 강한 자물쇠가 통째로 쓸모없어졌다. 공격자가 노리는 지점이 바로 여기예요. 어려운 기술을 깨려고 애쓰는 대신 그 옆의 더 쉬운 길을 찾는 것이다.
무섭게 들리지만 겁먹을 필요는 없다. 이런 공격이 실제로 많고, 메일이나 문자, 전화처럼 매일 쓰는 통로로 온다는 사실을 아는 것만으로 이미 절반은 대비한 셈이에요. 그렇다면 공격자는 사람의 무엇을 건드릴까?

사람의 무엇을 노리나

공격자는 사람의 좋은 마음을 거꾸로 이용한다. 구체적인 수법을 외울 필요는 없고, 어떤 감정이 노려지는지만 알아 두면 된다. 흔히 건드리는 마음은 세 가지예요.
첫째는 급함이다. 생각할 틈을 주지 않고 지금 당장 하라고 몰아붙인다. 둘째는 권위다. 윗사람이나 공공기관, 은행인 척하며 따르게 만든다. 셋째는 호의다. 곤란한 척 다가와 남을 돕고 싶은 마음을 쓴다. 두려움이나 호기심을 함께 건드리는 경우도 많아요. 이런 신호가 보이면 일단 멈추는 것이 좋아요.

세 가지 마음을 하나씩 눌러 살펴보자. 급함, 권위, 호의 같은 감정이 노려진다는 점만 알아 두면 된다.

셋 다 사실은 우리의 좋은 면이다. 일을 빨리 처리하고, 윗사람을 존중하고, 남을 챙기는 마음이에요. 공격자는 이 좋은 마음을 거꾸로 비튼다.
그렇다고 차갑고 의심 많은 사람이 되라는 말은 아니다. 좋은 마음은 그대로 두되, 급하게 몰릴 때 한 번 멈추는 습관만 더하면 된다. 멈춘 다음에 할 일은 하나다. 그 요청이 정말 진짜인지 확인하는 것이고, 그 방법이 다음에 나와요.

확인하는 습관

갑작스러운 요청이 들어왔다고 하자. 그 요청이 들어온 바로 그 통로로 곧장 답하면 위험할 수 있다. 통로 자체가 꾸며진 것일 수 있기 때문이에요. 보낸 사람 이름이나 번호, 화면 모양은 얼마든지 흉내 낼 수 있다.
그래서 방어의 비결은 통로를 바꾸는 것이다. 전화로 무언가를 요구받았다면 그 번호로 다시 묻지 말고, 내가 이미 알고 있는 공식 번호로 따로 걸어 확인한다. 메시지 속 링크를 바로 누르는 대신 평소 쓰던 앱이나 직접 입력한 주소로 들어가 확인해요. 같은 일을 다른 통로로 한 번 더 확인하는 것이다.

두 가지 대응을 눌러 견줘 보자. 들어온 통로로 바로 답하기보다 공식 통로로 따로 확인하는 쪽이 안전하다.

두 길을 나란히 두니 차이가 또렷했다. 들어온 통로로 바로 답하면 그 통로가 가짜일 때 막을 길이 없지만, 공식 통로로 따로 확인하면 가짜는 거기서 걸러져요. 확인에 몇 분이 더 걸릴 수는 있어도, 그 몇 분이 큰 사고를 막아 준다.
진짜 급한 일이라도 다시 확인한다고 문제가 되지는 않는다. 오히려 확인하지 못하게 막거나, 비밀로 하라고 하거나, 화를 내며 서두르게 한다면 그것이 더 의심스러운 신호예요. 이제 의심 자체가 왜 방어가 되는지 모아 보자.

의심이 곧 방어다

사회공학에 맞서는 무기는 거창하지 않다. 몸에 밴 작은 습관 몇 가지면 충분해요. 첫째, 천천히 한다. 급하게 몰릴수록 한 번 멈추고 숨을 고른다. 둘째, 다른 통로로 확인한다. 방금 본 것처럼 공식 통로로 따로 묻는다.
셋째, 비밀은 말하지 않는다. 비밀번호나 문자로 받은 인증번호는 누가 물어도 알려 주지 않는다. 진짜 기관은 그런 비밀을 통째로 묻지 않기 때문이에요. 인증 강에서 본 두 번째 단계도 그 번호를 남에게 넘기는 순간 의미가 없어져요.

세 가지 방어 수칙을 차례로 눌러 챙겨 보자. 천천히 하기, 다른 통로로 확인하기, 비밀은 말하지 않기다.

세 수칙을 다 챙기고 보니 어느 것도 어려운 기술이 아니다. 한 박자 늦추고, 한 번 더 확인하고, 비밀을 입에 담지 않는 태도일 뿐이에요. 그래서 사회공학 방어는 특별한 장비나 지식 없이 누구나 할 수 있다.
이미 속았다고 느낀다면 부끄러워하며 숨기지 않는 것이 중요하다. 비밀번호를 바로 바꾸고, 해당 기관에 공식 통로로 알리고, 회사라면 담당 부서에 신고한다. 빨리 알릴수록 피해가 작아져요. 의심은 무례가 아니라 나와 남을 지키는 예의다.

정리

한데 모으면 이렇다. 암호가 아무리 강해도 가장 약한 고리는 사람이다. 공격자는 기술 대신 사람의 마음을 노리기도 하고, 급함과 권위와 호의 같은 감정을 건드린다. 수법을 외울 필요는 없고, 이런 공격이 있다는 것을 아는 것으로 충분해요.
방어는 세 가지 습관이다. 천천히 하고, 다른 통로로 확인하고, 비밀은 말하지 않는다. 이미 속았다면 숨기지 말고 빨리 알린다. 차분히 의심하고 확인하는 습관이 가장 단단한 방패예요.

핵심 네 가지를 차례로 눌러 되짚는다. 가장 약한 고리는 사람, 노리는 것은 마음, 다른 통로로 확인, 의심이 곧 방어의 순서예요.

이제 보안의 사람 쪽 조각을 손에 쥐었다. 암호와 잠금이 아무리 단단해도 그것을 쓰는 사람이 깨어 있어야 비로소 완성된다. 낯설고 급한 요청 앞에서 한 번 멈추는 그 순간, 우리는 이미 가장 강한 보안을 쓰고 있는 거예요.
지금까지 배운 암호, 인증, 방화벽, 그리고 사람의 습관은 따로따로 쓰는 것이 아니다. 다음 강에서는 이 조각들을 어떻게 짜 맞춰야 안전한 구조가 되는지, 보안을 설계하는 원칙을 본다.