한 회사에 "IT 지원팀입니다. 시스템 점검 중인데 비밀번호를 확인해 주세요"라는 전화가 걸려 왔다. 급하고 정중한 목소리에 직원은 별생각 없이 비밀번호를 불러 줬다. 회사의 방화벽도 암호 체계도 완벽했지만, 그날 침입자는 단 한 줄의 코드도 쓰지 않고 안으로 들어왔다. 문을 연 것은 사람이었다.
이 글은 "해킹은 정말 어떻게 이뤄지나"가 궁금한 학생을 위한 것이다. 답의 뜻밖의 핵심은, 보안 사고의 가장 약한 고리가 시스템이 아니라 사람일 때가 많다는 데 있다.
가장 튼튼한 암호가 왜 소용없어질까?
암호는 그 자체로는 매우 강하다. 공개키 방식처럼 잘 설계된 암호는 정면으로 뚫기가 사실상 불가능에 가깝다. 그래서 공격자는 자물쇠를 부수는 대신, 열쇠를 가진 사람을 노린다. 급함·권위·호의·두려움 같은 심리를 건드려, 사람이 스스로 정보를 내주거나 위험한 링크를 누르게 만드는 것이다.
이런 방식을 사회공학(social engineering)이라 한다. '점검이니 확인해 달라'는 전화, '계정이 잠겼으니 로그인하라'는 가짜 메일, '대표님이 급히 요청한다'는 메시지가 모두 여기에 든다. 기술이 아니라 사람의 판단을 파고들기에, 기술만 강화해서는 막히지 않는다. 그래서 보안 담당자들은 "가장 약한 고리는 사람"이라는 말을 자주 쓴다.
침입자는 자물쇠를 부수기보다 열쇠를 가진 사람의 마음을 연다.
이 현상을 다루는 학문은 무엇인가?
정보를 안전하게 지키는 일을 다루는 분야가 정보보안(information security), 넓게는 보안공학이다. 흔히 컴퓨터공학의 한 갈래로 여겨지지만, 실제로는 기술·사람·제도의 세 층을 함께 다룬다. 시스템을 튼튼히 만드는 공학, 사람이 왜 속는지를 이해하는 심리·사회, 그리고 사고를 예방·대응하는 규칙과 조직이 모두 이 분야 안에 있다.
기술 층의 핵심에는 암호가 있다. 비밀을 미리 나누지 않고도 안전하게 주고받는 원리를 다룬 암호학 — 비밀을 미리 나누지 않고도 비밀을 지키는 법이 그 바탕이다. 반면 사람 층에서는 왜 급하면 판단이 흐려지고 손실 앞에서 서두르는지가 중요하다. 손해를 이익보다 크게 느낀다는 행동경제학 — 사람은 왜 손해를 두 배로 아파하나의 발견은, 사회공학이 어떤 심리를 겨냥하는지를 설명해 준다.
고등학교에서 배운 무엇과 이어지나?
가장 곧바로 이어지는 것은 정보 과목의 정보 보호와 보안 개념이다. 인증, 접근 권한, 안전한 통신 같은 교과의 기본 개념이 정보보안의 기술 층을 이룬다. 무엇이 정보를 안전하게 만들고 무엇이 취약점이 되는지를 아는 것이 출발점이다.
또 하나는 통합사회에서 다루는 정보사회의 명암이다. 개인정보 보호, 디지털 권리, 기술이 사회에 주는 위험 같은 주제는 보안을 기술 문제가 아니라 사회 문제로 넓혀 준다. 기술을 중립으로만 볼 수 없다는 과학기술학(STS) — 기술은 정말 중립인가와 함께 보면, 안전이 왜 코드만의 문제가 아닌지가 분명해진다.
대학에서는 이걸 어떻게 배우나?
대학에서는 컴퓨터공학·정보보호 관련 학과에서 암호, 시스템 보안, 네트워크 보안을 기술적으로 다루고, 최근에는 사람의 취약점을 겨냥한 공격과 방어, 보안 정책·법제까지 다루는 융합 트랙이 늘고 있다. 공격을 직접 재현해 약점을 찾는 실습, 사고 대응, 디지털 포렌식 등 갈래가 넓다. 어느 학과에서 무엇을 얼마나 다루는지는 대학마다 다르므로, 관심 전공의 실제 교육과정을 확인하는 편이 정확하다.
여기서 뻗어 나갈 탐구 질문 3가지
- 사회공학 공격은 대개 급함·권위·호의 같은 심리를 건드린다. 실제로 알려진 수법들을 모아, 각각이 어떤 심리적 약점을 노리는지 분류해 보자.
- 기술로 막을 수 없는 '사람의 실수'를 줄이려면 교육·습관·시스템 설계 중 무엇이 가장 효과적일까? 근거를 들어 비교해 볼 수 있다.
- 편리함과 안전함은 자주 부딪친다(복잡한 인증 vs 빠른 접속). 이 둘의 균형을 어디에 둘지, 사용자의 행동까지 고려한 설계를 탐구해 보자.
한 줄 요약
정보보안의 가장 약한 고리는 대개 시스템이 아니라 사람이며, 그래서 이 분야는 기술과 함께 사람의 심리와 제도까지 다루는 넓은 학문이다.
가장 강한 방어도 사람의 습관에서 무너진다는 사실은 공부에도 통한다. 좋은 계획도 결국 매일의 실행 습관에서 갈린다. TimeLevelUp은 계획과 실제 실행 사이의 틈을 기록으로 드러내, 무엇이 자신의 '약한 고리'인지를 학생 스스로 보게 돕는다.