피싱 모의훈련에서 클릭률이 낮아졌다고 해서 조직의 보안 리스크가 실제로 줄었다고 단정할 수는 없습니다. 클릭률 하락은 사용자가 반복되는 훈련 템플릿에 익숙해진 결과일 수 있기 때문입니다. 진짜 리스크인 자격 증명 유출 여부와 보안 신고 증가, 이 두 가지 행동 변화가 함께 움직여야 비로소 회복탄력성이 확보됐다고 말할 수 있습니다.
피싱 모의훈련, 클릭률 하락의 실제 의미: 247만 건 시뮬레이션 데이터로 보는 한계
많은 기업 보안 담당자가 피싱 모의훈련 성과를 ‘클릭률’ 하나로 측정합니다. 그런데 이 수치만으로 조직의 실제 보안 저항력을 정확히 판단하기는 어렵습니다.
인적 리스크 관리 플랫폼 기업 Pistachio는 2025년 6월 1일부터 2026년 5월 31일까지 247만 건의 모의 피싱을 수행하는 대규모 리서치를 진행했습니다. 대상은 플랫폼 전체 1,288개 조직이며, 그중 12개월간 완전한 기록을 갖춘 648개 조직의 123,692명 사용자 코호트를 집중 분석해 데이터 신뢰도를 높였습니다.
분석 결과, 클릭률은 피싱 프로그램 평가에서 흔히 쓰는 지표지만 전체 그림의 일부에 불과했습니다. Pistachio의 CEO 조 존스(Joe Jones)는 낮은 클릭률이 ‘거짓 안도감’을 줄 수 있다고 경고했습니다. 클릭은 직원 행동의 긴 사슬 가운데 한 순간일 뿐이라는 지적입니다.
클릭은 시간 낭비, 유출이 진짜 리스크다: 클릭률 단일 지표가 주는 거짓 안도감
보안 관리자가 경계할 지점은 클릭 행위 자체보다 그 이후의 행동입니다. 링크를 클릭한 것만으로는 실질적인 피싱 리스크가 생기지는 않습니다. 직원의 시간을 낭비하는 수준에 그칠 수 있죠. 치명적인 리스크는 클릭 이후 ‘자격 증명(로그인 정보)을 제출’하는 단계에서 발생합니다.
실제로 훈련이 시작되기 전인 첫 번째 시뮬레이션 단계에서도 1.57%의 직원이 자격 증명을 유출했습니다. 500명 규모 기업으로 환산하면 단 한 통의 설득력 있는 이메일만으로 최대 8명의 로그인 정보가 노출될 수 있다는 계산이 나옵니다. 체계적인 훈련 프로그램이 도입되기 전부터 조직 안에는 상시적인 리스크가 있었다는 이야기입니다.
직군 및 부서별 피싱 취약성의 격차
피싱에 대한 반응은 조직 내 직군과 부서에 따라 뚜렷하게 갈립니다. 특히 보안 지식이 높다고 생각하는 테크 및 IT 직군에서도 클릭률이 상당히 높게 나왔습니다.
- IT 및 개발 직군: 테크 개발 직원의 30.27%, IT 직원의 28.53%가 연간 최소 1회 이상 시뮬레이션 링크를 클릭했습니다.
- 부서별 편차: 동일한 난이도의 테스트에서도 디자인 부서(26.35%)부터 건설 부서(41.31%)까지 누적 클릭률 격차가 컸습니다.
- 치명적 유출 비율: 건설 및 부동산 직군은 피싱 링크를 클릭한 후 실제 자격 증명을 유출하는 비율이 약 20%에 육박합니다. 매우 위험한 수준입니다.
반면 금융 서비스 섹터는 클릭, 유출, 신고 모든 지표에서 가장 높은 탄력성을 보였습니다. 대응 능력이 가장 우수한 셈입니다.
6개월간 성과가 나빠 보이는 이유: 행동 변화의 흐름
모의훈련을 도입한 초기에는 지표가 오히려 나빠 보일 수 있습니다. Pistachio의 리서치에서 클릭률과 유출률은 프로그램 시작 후 첫 6개월 동안 상승하는 경향을 보이다가 그 이후 하락으로 돌아섭니다.
핵심은 ‘신고’ 지표의 성장입니다. 12개월 프로그램이 종료되는 시점에는 사용자가 의심스러운 메일을 클릭하는 횟수보다 신고하는 횟수가 약 2배 가까이 많아지는 긍정적인 변화가 나타났습니다. 단순히 ‘클릭하지 않는 것’을 넘어 ‘위협을 인지하고 조직에 알리는’ 능동적인 보안 주체로 바뀌고 있다는 뜻입니다.
데이터 기반의 성과 측정 체계 전환
보안 담당자가 이제 봐야 하는 것은 클릭률이라는 단일 지표가 아니라 다음과 같은 통합적인 행동 분석 체계입니다.
| 측정 지표 | 의미 및 리스크 수준 | 평가 관점 |
|---|---|---|
| 클릭률 (Click Rate) | 단순 호기심 또는 부주의 | 단독 지표 사용 시 거짓 안도감 유발 위험 |
| 유출률 (Leak Rate) | 자격 증명 및 민감 정보 제출 | 실질적인 보안 사고로 이어지는 핵심 리스크 |
| 신고율 (Report Rate) | 위협 인지 및 적극적 보고 | 조직 전체의 탐지 및 대응 역량을 나타내는 지표 |
진정한 보안 회복탄력성은 다음 세 가지 행동이 동시에 움직일 때 완성됩니다.
- 클릭하는 인원의 감소
- 자격 증명을 유출하는 인원의 감소
- 의심 메일을 신고하는 인원의 증가
피싱 모의훈련의 목적은 클릭률 수치를 낮추는 것이 아닙니다. 유출 리스크를 최소화하고 신고 문화를 정착시켜 조직의 대응 체계 전체를 강화하는 것, 거기에 목적이 있습니다.