기업들이 피싱(사기성 이메일) 모의훈련을 평가할 때 '직원이 링크를 클릭했느냐'만 보는 방식은 보안 수준을 잘못 파악하게 만들 수 있다는 연구 결과가 나왔습니다. 648개 기업, 12만 명 이상의 데이터를 분석한 결과, 클릭 여부보다 자격증명(아이디·비밀번호) 입력 여부와 의심 메일 신고율을 함께 봐야 실제 회복탄력성을 측정할 수 있습니다. 훈련 초반 6개월간 클릭률이 오히려 오를 수 있는데, 이는 직원이 나빠진 게 아니라 훈련 난이도가 높아졌기 때문일 수 있습니다. 직원이 의심 메일을 보안팀에 신고하면 비슷한 공격 메일을 조직 전체에서 제거할 수 있어, 신고율이 중요한 지표가 됩니다. 또한 부서별로 위험 프로필이 다르므로 조직 전체 평균만으로는 어느 팀에 추가 교육이 필요한지 알 수 없습니다.
Pistachio가 648개 기업·12만 3,692명을 대상으로 12개월간 피싱 시뮬레이션 데이터를 분석한 결과, 클릭률 단일 지표만으로 피싱 저항력을 측정하는 관행의 한계가 드러났다.
클릭률만 낮추는 데 집중하면 자격증명 탈취·신고율 저하 등 실질적 위험이 가려진다. 건설·물류 부서는 클릭률과 자격증명 제출률이 높고, IT 부서도 예외가 아닌 것으로 나타났다.
익숙한 템플릿을 반복 사용하면 직원이 패턴을 학습해 클릭률은 낮아지지만 실제 새로운 공격에 대한 대응력은 향상되지 않는다. 측정 지표가 클릭 여부만으로 단순화되어 있다.
클릭·자격증명 입력·신고 세 가지 지표를 함께 추적하고, 난이도 있는 시뮬레이션을 유지하며, 원클릭 신고 기능 등 신고 편의성을 높여야 한다. 부서별 위험 프로필에 맞춘 맞춤형 교육이 권고된다.
보안팀은 피싱 훈련 KPI를 재검토해 '신고-클릭 비율(report-to-click ratio)'을 핵심 지표로 추가하고, 훈련 중 클릭률이 일시 상승하더라도 난이도 상승에 의한 것인지 먼저 확인해야 한다.
본문
Pistachio의 『피싱 행동 보고서 2026(Phishing Behaviour Report 2026)』에 따르면, 피싱 시뮬레이션 프로그램을 직원이 모의 공격 이메일을 얼마나 자주 클릭하는지로만 평가하는 기업은 사이버 회복탄력성의 더 중요한 지표를 놓치고 있을 수 있다.
어려운 시뮬레이션 예시 (출처: Pistachio)
이번 분석은 2025년 6월 1일부터 2026년 5월 31일까지 12개월 완전한 기록을 보유한 648개 조직과 123,692명의 사용자를 대상으로 했다. 핵심 결론은 피싱 저항력은 클릭, 자격증명(아이디·비밀번호) 제출, 신고 행동을 복합적으로 살펴야 더 잘 파악할 수 있다는 것이다.
진전은 직선으로 나타나지 않는다
피싱 대응 성과는 훈련 프로그램 중에 오히려 나빠 보일 수 있다. 여정 분석에 포함된 354,962건의 시뮬레이션에 걸쳐, 클릭률과 자격증명 제출률은 처음 6개월 동안 증가한 뒤 이후 단계에서 감소했다. 신고율도 비슷한 패턴을 보였다.
이 단계들은 12개월에 걸쳐 동일한 직원들을 지속적으로 추적한 것이 아니다. 대신, 프로그램의 3개월·6개월·9개월·12개월 시점에 도달한 서로 겹치지만 동일하지 않은 조직 및 사용자 그룹을 비교한 것이다.
6개월 시점에서 사용자는 평균 1인당 3.5건의 시뮬레이션을 받았으며, 이는 3개월 시점의 2.6건, 12개월 시점의 2.8건과 비교된다. 동시에 전체 시뮬레이션의 50.4%가 '어려움(Hard)'으로 분류됐다. 6개월 시점 이후 난이도 구성은 약 50% Hard 수준을 유지하면서 클릭률과 자격증명 제출률이 감소했다.
클릭 횟수의 일시적 증가는 직원들이 덜 회복탄력적으로 변하고 있음을 나타내는 것이 아니라, 더 까다롭고 빈번한 테스트가 쉬운 훈련에서는 드러나지 않았던 취약점을 노출시키는 것을 반영할 수 있다.
"낮은 클릭률은 거짓된 안도감을 만들어낼 수 있습니다. 피싱 링크를 클릭하는 행위는 훨씬 긴 직원 행동 연쇄의 한 순간에 불과하며, 그것만으로는 개인이나 조직 전체가 실제로 더 회복탄력적으로 변하고 있는지에 대해 거의 말해주지 않습니다. 더 중요한 것은 그 다음에 일어나는 일입니다: 직원이 자격증명을 넘기는가, 공격을 알아차리고 멈추는가, 아니면 전체 비즈니스가 대응할 수 있도록 신고하는가?"라고 Pistachio의 CEO 조 존스(Joe Jones)는 말했다.
테스트 설계 방식도 결과 해석에 영향을 미친다. 익숙한 피싱 템플릿을 반복 사용하면 직원들이 훈련을 알아보는 법을 학습하기 때문에 클릭률이 떨어질 수 있지만, 이는 반드시 낯선 공격에 더 잘 대비하게 됐음을 의미하지 않는다. 따라서 낮은 클릭률은 여전히 도전적인 시뮬레이션에서 발생할 때 더 의미 있다.
신고는 직원을 탐지 채널로 만든다
피싱 링크를 피하는 것은 한 가지 위험 원천을 제한할 뿐이다. 의심스러운 메시지를 인식하고 보안팀에 알리는 것은 직원을 능동적인 탐지 채널로 만들어 또 다른 보호 층을 추가한다.
6개월 최고점에서 12개월 시점까지, 클릭은 27%, 자격증명 유출은 41% 감소한 반면 신고는 19% 감소했다. 신고-클릭 비율(report-to-click ratio)은 3개월 시점의 1.3에서 12개월 시점의 1.8로 증가했으며, 이는 최종 단계에서 의심 메시지가 클릭되는 것보다 거의 두 배 많이 신고됐음을 의미한다.
신고는 보안팀에게 잠재적 공격에 대한 더 이른 가시성을 제공하고, 다른 수신함에서 유사한 메시지를 조사·제거할 기회를 줌으로써, 경고를 올린 직원을 넘어 전체 조직에 이익을 확장한다.
프로세스를 쉽게 만들면 직원들의 행동을 장려할 수 있다. 원클릭 신고 기능과 적시 확인 메시지는 불필요한 마찰 없이 잠재적 위협을 신고하도록 도울 수 있다.
팀마다 다른 위험을 안고 있다
전사적 점수는 부서 간의 상당한 차이를 가릴 수 있다. '어려움' 시뮬레이션은 16개 명시된 부서 전반에 걸쳐 발송량의 44%~52%를 차지했으며, 이는 어떤 부서도 체계적으로 더 쉽거나 어려운 테스트 조합을 받지 않았음을 의미한다.
건설 및 시설 관리(Construction and Facility Management)는 클릭과 자격증명 제출에서 가장 높은 위험 노출을 보였다. 건설 부문은 누적 클릭률 41.31%, 유출률 16.47%를 기록해 데이터셋 전체에서 가장 높은 부서별 수치를 나타냈다. 이 연간 사용자 수준 지표는 개별 피싱 메시지가 해당 행동을 유발한 비율이 아닌, 분석 연도 동안 최소 한 번이라도 클릭하거나 자격증명을 제출한 사용자의 비율을 나타낸다.
헬스(Health) 부문은 다른 위험 프로필을 보였다. 클릭률은 비교적 낮았지만, 신고율이 13.17%로 명시된 부서 중 가장 낮았다. 물류(Logistics)는 평균 이상의 클릭률과 17.11%의 평균 이하 신고율을 결합해, 그 위험 노출이 신고를 통해 상쇄되지 않고 있음을 시사했다.
IT 및 기술 개발(IT and Tech Development) 직원들도 여전히 모의 피싱 시도에 반응했으며, 이는 인식이 항상 의심스러운 메시지가 도착했을 때 적절한 대응으로 이어지지는 않는다는 점을 보여준다.
부서별 차이는 또한 보다 표적화된 교육의 필요성을 뒷받침한다. 의심스러운 메시지를 알아보는 데 어려움을 겪는 팀은 피싱 시도를 식별하지만 여전히 자격증명을 입력하는 팀과는 다른 훈련이 필요할 수 있다. 조직 전체 클릭 점수만으로는 그러한 행동들을 구분하거나 추가 교육이 가장 필요한 곳을 파악할 수 없다.
