🏆 “피싱 방어를 위한 모바일 게임 설계: 집에서 배우는 사이버 보안”

📝 Abstract

This research aims to design an educational mobile game for home computer users to prevent from phishing attacks. Phishing is an online identity theft which aims to steal sensitive information such as username, password and online banking details from victims. To prevent this, phishing education needs to be considered. Mobile games could facilitate to embed learning in a natural environment. The paper introduces a mobile game design based on a story which is simplifying and exaggerating real life. We use a theoretical model derived from Technology Threat Avoidance Theory (TTAT) to address the game design issues and game design principles were used as a set of guidelines for structuring and presenting information. The overall mobile game design was aimed to enhance avoidance behaviour through motivation of home computer users to protect against phishing threats. The prototype game design is presented on Google App Inventor Emulator. We believe by training home computer users to protect against phishing attacks, would be an aid to enable the cyberspace as a secure environment.

💡 Analysis

**

1. 연구 배경 및 필요성

• 가정용 컴퓨터 사용자의 보안 취약성

  • 조직 내 IT 정책·보안 인프라가 부재한 가정 환경에서 사용자는 비전문가 비율이 높아 보안 인식·대응 능력이 낮다.
  • 소셜 미디어·클라우드 서비스 활용이 늘면서 피싱 공격 표적이 확대되고 있다.

• 기존 방어 수단의 한계

  • 안티‑피싱 툴(예: Toolbar, 브라우저 플러그인)은 높은 오탐률·낮은 탐지율을 보이며, 인간 사용자를 완전히 대체할 수 없다.
  • “사용자를 시스템에서 제거하면 보안이 된다”는 극단적 주장에 반해, 인간을 교육·보강하는 접근이 현실적이다.

2. 이론적 프레임워크 – TTAT

• TTAT(Technology Threat Avoidance Theory) 은 위협 인지, 위험 회피 동기, 방어 행동을 연결한다.
• 연구는 TTAT의 핵심 변수(위협 인식, 위험 감수성, 자기 효능감, 방어 동기)를 게임 설계 요소에 매핑하였다.
  • 예: 위협 인식 → 게임 내 피싱 시나리오와 위험 상황 제시
  • 자기 효능감 → 단계별 난이도 조절·피드백 제공

3. 게임 디자인 원칙 적용

4. 프로토타입 구현

• 플랫폼: Google App Inventor (시각적 블록 코딩) → 빠른 프로토타입 제작 가능하지만 성능·확장성에 제한.
• 핵심 기능:
  1. 가짜/진짜 웹 페이지 이미지 구분 퀴즈
  2. 피싱 이메일 텍스트 분석 미니 게임
  3. 점수와 레벨에 따른 ‘보안 배지’ 획득

5. 기대 효과 및 기여

1. 교육 효율성 – 게임 기반 학습이 전통적 텍스트 교육보다 기억 유지·동기 부여에 유리함을 선행 연구(Sheng et al., 2010)와 연계.
2. 가정용 보안 문화 확산 – ‘보안은 집에서 시작한다’는 메시지를 일상 속 모바일 사용에 자연스럽게 삽입.
3. TTAT 적용 사례 – 이론을 실제 인터랙티브 시스템에 구체화한 최초 사례 중 하나로, 보안 교육 설계에 이론적 근거 제공.

6. 한계점 및 향후 연구 방향

7. 종합 평가

• 혁신성: TTAT 기반 설계와 모바일 게임이라는 결합은 교육·보안 분야에서 새로운 시도이며, 가정용 사용자를 직접 겨냥한 점이 차별화 포인트다.
• 실용성: 현재 프로토타입은 개념 증명 수준이며, 실제 배포·운용을 위해서는 UI/UX 개선, 보안 콘텐츠 최신화, 사용자 효과 검증이 필수이다.
• 학술적 가치: 보안 교육 이론을 구체적인 인터랙션 디자인에 매핑한 사례로, 후속 연구(예: 효과 측정, 맞춤형 학습, 멀티플랫폼 확장)에게 좋은 토대를 제공한다.

결론
이 논문은 “피싱 방어를 위한 모바일 게임 설계”라는 실용적 목표와 TTAT라는 이론적 근거를 잘 결합했으며, 가정용 컴퓨터 사용자를 대상으로 한 보안 교육의 필요성을 설득력 있게 제시한다. 다만, 실제 교육 효과를 입증하기 위한 실험적 검증과 상용 수준의 게임 구현이 뒤따라야 한다. 향후 연구에서는 사용자 중심의 디자인 개선, 지속 가능한 콘텐츠 업데이트 메커니즘, 그리고 게임 기반 학습이 기존 보안 교육과 어떻게 시너지 효과를 낼 수 있는지를 탐구하는 것이 중요하다.

📄 Content

IJeLS, 제1권, 제1호, 2011

1

“피싱 공격”으로부터 보호하기 위한 가정용 컴퓨터 사용자를 위한 모바일 게임 설계

Nalin Asanka Gamagedara Arachchilage
정보시스템·컴퓨팅·수학 학부
브루넬 대학교
Uxbridge, Middlesex, 영국
Nalin.Asanka@brunel.ac.uk

Melissa Cole
정보시스템·컴퓨팅·수학 학부
브루넬 대학교
Uxbridge, Middlesex, 영국
Melissa.Cole@brunel.ac.uk

초록

본 연구는 가정용 컴퓨터 사용자를 대상으로 피싱 공격을 예방하기 위한 교육용 모바일 게임을 설계하는 것을 목표로 한다. 피싱은 사용자의 아이디·비밀번호·온라인 뱅킹 정보 등 민감한 정보를 탈취하려는 온라인 신원 도용 행위이다. 이를 방지하기 위해서는 피싱에 대한 교육이 필요하다. 모바일 게임은 학습을 자연스러운 환경에 녹여낼 수 있는 매개체가 될 수 있다. 본 논문에서는 실제 상황을 단순화·과장한 스토리를 기반으로 한 모바일 게임 설계 방안을 제시한다. 우리는 기술 위협 회피 이론(Technology Threat Avoidance Theory, TTAT)에서 도출한 이론적 모델을 활용해 게임 설계 문제를 다루고, 게임 설계 원칙을 정보 구조화 및 제시를 위한 가이드라인으로 적용하였다. 전체 모바일 게임 설계는 가정용 컴퓨터 사용자가 피싱 위협으로부터 스스로를 보호하도록 동기를 부여함으로써 회피 행동을 강화하는 데 초점을 맞추었다. 프로토타입 게임은 Google App Inventor 에뮬레이터 상에서 구현되었다. 가정용 컴퓨터 사용자를 피싱 공격으로부터 보호하도록 훈련시키는 것이 사이버 공간을 보다 안전한 환경으로 만드는 데 도움이 될 것이라 믿는다.

1. 서론

인터넷 기술의 급격한 성장으로 가정용 컴퓨터 사용자는 사이버 공간을 모두에게 더 안전하게 만드는 데 중요한 역할을 담당한다. 오늘날 인터넷 기술은 일상 생활의 기반이 되어 일반인들이 가정용 컴퓨터만으로 쇼핑·소셜 활동·엔터테인먼트를 할 수 있게 한다. 인터넷 의존도가 높아질수록 해킹·보안 침해 가능성도 커진다[10]. 따라서 “보안은 가정에서 시작된다”는 메시지를 모든 컴퓨터 사용자에게 전파해야 한다[3].

보안 인식·전문성·교육이 부족한 가정용 컴퓨터 사용자는 소셜 네트워킹 사이트(Facebook, Twitter, Hi5, Orkut, Skype 등)와 LinkedIn 같은 전문 네트워크를 이용하면서 해커에게 개방된 뒷문을 제공한다[37]. 이처럼 사회공학은 아직 초기 단계이며, 사용자가 사용자명·비밀번호·신용·직불카드 정보를 과다하게 제공함으로써 지속적인 위협이 된다.

또한 조직이 점점 ‘가상’화됨에 따라 업무가 가정 환경으로 이동하고 있다[14]. 인터넷 기술이 보편화되면서 직원들은 재택근무를 자유롭게 하거나 미완성 작업을 집으로 가져가게 된다. 이는 개인 사용자가 IT 위협에 노출될 기회를 늘린다. 조직 내 직원과 달리 가정용 컴퓨터 사용자는 악성 공격을 방어할 충분한 IT 인프라가 없거나, 엄격한 보안 정책이 부재한 경우가 많다. 대부분의 가정용 사용자는 IT 전문가가 아니며, 안전한 가정용 컴퓨팅 시스템을 구축할 정도의 컴퓨터 활용 능력이 부족하다.

게다가 가정용 사용자는 위험에 취약한 컴퓨터 행동을 보인다. 예를 들어, 위험한 웹사이트를 탐색하고, 의심스러운 소프트웨어를 다운로드하며, 가족·친구와 비밀번호를 공유하고, 보호되지 않은 무선 네트워크를 이용한다[10]. 보안 위협에는 바이러스·멀웨어·스팸·스파이웨어·사회공학·온라인 신원 도용(피싱) 등이 포함된다. 특히 피싱은 가정용 사용자를 위협하는 대표적인 IT 위협이다.

피싱은 사기성 스팸 메일을 통해 피해자를 가짜 웹사이트로 유인하고, 정식 사이트와 동일한 디자인·구성을 갖춘 가짜 사이트에서 사용자 정보를 탈취하는 의미론적 공격[2]이다. 공격자는 가짜 사이트를 구축하고, 이메일을 통해 접근을 유도한다. 가정 환경에서 민감한 정보를 가진 사용자를 조작하는 것이 시스템을 직접 침입하는 것보다 쉽고 위험이 적다[37]. 예를 들어, 특정 개인이나 조직을 목표로 하는 스피어 피싱은 이메일 위조 사기 시도이다.

피싱 공격은 공격자가 새로운 기법을 배우고 전략을 바꾸면서 날마다 정교해지고 있다[22]. 가장 흔한 매개체는 이메일이며[18,24], 피싱 메일은 사용자명·비밀번호·주민등록번호·신용·직불카드 번호 등을 탈취하기 위해 설문 조사 참여 요청·은행 정보 확인 요구 등 다양한 전술을 사용한다. 이러한 기법의 고도화는 개인 사용자가 피싱을 방어하기 어렵게 만든다[4]. 자동화된 시스템이 일부 사기 메일·사이트를 식별할 수 있지만, 피싱 탐지에 완전히 신뢰할 수는 없다[28]. 기존의 안티피싱 도구(CallingID Toolbar, Cloudmark Anti‑Fraud Toolbar, EarthLink Toolbar, Firefox 2, eBay Toolbar, Netcraft Anti‑Phishing Toolbar 등)는 피싱 방어에 충분하지 않다[25,28].

소프트웨어 설계자는 피싱·스팸 탐지를 지속적으로 개선하고 있지만, 인간은 정보 보안에서 가장 약한 고리이다[6]. 반면, 인간 요인 위험은 사용자를 피싱 위협에 대해 교육함으로써 완화될 수 있다[25]. 가정용 컴퓨터 사용자는 보안 인식 부족과 온라인 뱅킹·구매 등에서 민감한 신뢰 결정을 내리기 때문에 피싱에 취약하다[31]. 따라서 피싱 교육이 필수적이다. 기존 연구는 최종 사용자 교육을 피싱 공격에 대응하기 위한 가장 흔히 권장되는 접근법으로 제시한다[32‑35]. 본 연구는 가정용 컴퓨터 사용자가 피싱 공격을 방어하도록 동기를 부여하고 회피 행동을 강화하는 데 초점을 맞춘다.

이를 위해 모바일 게임을 교육 도구로 설계하고자 한다. 연구 질문은 다음과 같다.

1. 시스템 개발자는 게임이 다루어야 할 문제를 어떻게 식별할 것인가?
2. 식별된 문제를 구조화하기 위해 어떤 원칙을 적용해야 하는가?

TTAT에서 도출한 이론적 모델을 사용해 모바일 게임 설계 문제를 다루고, 게임 설계 원칙을 정보 구조화와 제시를 위한 가이드라인으로 활용한다.

2. 이론적 배경

“때때로 ‘친근한’ 이메일 메시지는 수신자를 평소보다 더 많은 정보를 온라인에 공개하도록 유도한다. 이는 발신자의 의도에 정확히 부합한다[29]”.

피싱은 신뢰할 수 있는 기관을 가장해 피해자로부터 민감한 정보를 탈취하려는 급증하는 온라인 범죄이다[45]. 피해자는 정식 사이트처럼 보이는 가짜 사이트에 로그인하도록 유도되는 이메일을 받는다. 온라인 범죄자는 사회·심리적 수단과 기술적 수단을 동시에 활용해 공격을 수행한다. 예를 들어, 은행 인증을 가장한 이메일을 보내고, 실제 은행 사이트와 동일한 디자인을 가진 가짜 사이트로 유도한다.

기술만으로는 중요한 IT 보안 문제를 해결하기에 부족하다는 연구 결과가 있다. 지금까지 최종 사용자의 보안 행동과 공격 방지에 관한 연구는 미미했다[3,5,9,11,12,16,20]. “사용자를 시스템에서 완전히 제거한다면 보안을 확보할 수 있다”는 결론에 이른 논의도 있다[27]. 그러나 가정용 환경처럼 사용자를 완전히 배제할 수 없는 경우, 가장 현실적인 보안 접근법은 사용자를 보안 예방 교육으로 강화하는 것이다[17,2].

하지만 대부분의 가정용 사용자는 교육·훈련·전문성 부족으로 보안 인식이 낮다[36]. 잘 설계된 사용자 보안 교육은 효과적일 수 있다[28,22]. 이는 웹 기반 교육 자료, 상황별 교육, 임베디드 교육 등을 포함한다. 본 연구의 목표 중 하나는 사람들에게 피싱 웹사이트를 식별하고 방지하는 효과적인 교육 방법을 찾는 것이다.

피싱 연구는 크게 세 가지 범주로 나뉜다. (1) 사람들이 왜 피싱에 속는가, (2) 피싱 방지를 위한 도구는 무엇인가, (3) 피싱에 속지 않도록 교육하는 방법은 무엇인가[28,31,35].

2.1 사람들이 피싱에 속는 이유

Dhamija 등은 22명의 참가자를 20개의 웹사이트에 노출시켜 어느 것이 사기인지 판단하게 하는 실험을 진행했다[39]. 참가자들은 40%의 비율로 오답을 냈으며, 23%는 주소 표시줄·상태 표시줄·보안 표시등 등 모든 단서를 무시했다.

Downs 등은 역할극 실험을 통해 사람들이 피싱 이메일을 어떻게 인식하고 회피하는지를 조사했다[38]. 주요 결과는 (1) 피싱 공격을 인식하더라도 자신의 취약성을 과소평가한다, (2) 알려진 위험에는 대비하지만 새로운 위험에는 일반화가 어렵다.

2.2 피싱 방지 도구

인터넷 서비스 제공업체는 메일 서버·클라이언트에 안티피싱 기능을 내장하거나 브라우저 툴바 형태로 제공한다[28]. 현재 무료로 다운로드 가능한 도구로는 CallingID Toolbar, Cloudmark Anti‑Fraud Toolbar, EarthLink Toolbar, Firefox 2, eBay Toolbar, Netcraft Anti‑Phishing 등이 있다[40]. 그러나 이들 도구는 모든 피싱 공격을 효과적으로 차단하지 못한다[25,28].

Zhang 등은 200개의 검증된 피싱 URL과 516개의 정상 URL을 이용해 10개의 안티피싱 도구를 평가했다[40]. 그 결과, 90% 이상의 피싱 URL을 정확히 식별한 도구는 하나뿐이며, 정상 URL의 42%를 오탐했다. 나머지 도구들은 피싱 URL 식별률이 60% 이하에 머물렀다.

2.3 교육·훈련의 효과

일부 사용성·보안 전문가들은 사용자 교육이 효과가 없다고 주장하지만[28,41], 여러 연구는 잘 설계된 최종 사용자 교육이 피싱 방어에 권장

이 글은 AI가 자동 번역 및 요약한 내용입니다.