LabHub

블로그

AI 피싱 시뮬레이션 & 보안 인식 훈련 2026 완벽 가이드 - KnowBe4 · Hoxhunt · Cofense · Proofpoint Security Awareness · Infosec IQ · Mimecast Awareness · Sophos Phish Threat · NINJIO · CybSafe · Living Security 심층 분석

2026-05-16 · 38 분 읽기 · #phishing-simulation#security-awareness#knowbe4#hoxhunt#cofense#proofpoint-awareness#infosec-iq#mimecast-awareness#sophos-phish-threat#ninjio#cybsafe

한국어English日本語

프롤로그 — 사람이 가장 약한 고리라는 30년 명제

1995년 Kevin Mitnick은 자서전에서 "기술적 침투보다 전화 한 통이 더 빨랐다"고 적었다. 30년이 지난 2026년에도 Verizon DBIR(Data Breach Investigations Report)은 사건의 약 68 %가 인간 요소(human element)를 포함한다고 보고한다. 사회공학(social engineering), 도난 자격 증명, 단순 실수의 합이다.

달라진 것은 공격의 진입 비용이다.

2024년 2월, 영국 엔지니어링 회사 Arup의 홍콩 지사 직원이 영상 통화로 본사 CFO와 동료들을 만났다. 모두 딥페이크였다. 2,500만 달러(약 340억 원)가 송금되었다. 보안 업계의 분기점이었다.

이 글은 그 변화를 직시한다. 22개 챕터로 나누어 — KnowBe4부터 GoPhish까지, NIST Phish Scale부터 한국·일본 모의훈련까지 — 실제 도구·실제 사건·실제 URL을 한 흐름으로 묶는다.

1장 · 왜 AI 피싱 시뮬레이션이 2026년의 화두인가

GenAI 등장 전 피싱은 패턴이 단순했다. "Dear customer, your account has been suspended"식 어색한 영어. 한글 메일은 더 노골적이었다 — "고객님 통장이 압류되었습니다" 같은 명백한 위조.

2024년부터 풍경이 바뀌었다. 보안 연구 단체(예: SoSafe, Egress, IRONSCALES)들이 2024-2025년 발표한 보고서는 일관되게 다음을 지적한다.

이게 핵심이다. "AI가 인간 못지않은 피싱을 만든다"가 아니라 "1인 공격자가 1만 명을 타겟팅할 수 있다"는 양의 변화. 그래서 2026년 보안 인식 훈련은 단순한 "이메일 조심" 캠페인을 넘어, 행동 변화(behavior change)와 인간 위험 관리(human risk management)라는 새 패러다임으로 이동했다.

[2026년 보안 인식 훈련의 4계층]
  1. 시뮬레이션          — 가짜 피싱 메일 발송, 클릭률 측정 (KnowBe4, Hoxhunt)
  2. 실시간 학습          — 클릭 즉시 마이크로 러닝 모듈 (Hoxhunt, CybSafe)
  3. 행동 분석            — 위험 사용자 점수화 (Living Security, Elevate)
  4. 위협 인텔리          — 실제 캠페인 데이터로 시뮬레이션 업데이트 (Cofense, Proofpoint)

각 계층은 다른 도구가 채운다. KnowBe4는 1-2계층, Hoxhunt는 2-3계층, Cofense·Proofpoint는 4계층 + 인시던트 대응.

2장 · KnowBe4 — Stu Sjouwerman과 4,000만 사용자

KnowBe4(knowbe4.com)는 2010년 Stu Sjouwerman이 미국 플로리다 클리어워터에서 설립했다. Stu는 Sunbelt Software를 매각한 후 보안 인식 훈련 전용 회사를 만들었다. Kevin Mitnick이 2011년 공동 창립자(Chief Hacking Officer)로 합류했다(2023년 7월 별세).

KnowBe4의 강점은 콘텐츠 라이브러리. "The Inside Man"이라는 자체 제작 드라마 시리즈를 비롯해 한 회사가 만들었다고 믿기 어려운 분량의 비디오·인터랙티브 모듈을 보유한다.

가격 모델(2026년 5월 기준).

가격은 직원 수·계약 기간(보통 1-3년)·지역에 따라 다르다. 미국 외 시장에서 Vista 인수 후 가격 인상 이슈가 일부 제기되었지만, 한국 기준 직원 1,000명 회사가 연 1,200-3,500만 원 수준이다.

3장 · Hoxhunt — 핀란드의 행동 과학 접근

Hoxhunt(hoxhunt.com)는 2016년 핀란드 헬싱키에서 Mika Aalto, Pyry Ahkavainen, Ari Kesäniemi가 창립. KnowBe4보다 6년 늦었지만 다른 철학을 들고 왔다.

Hoxhunt의 차별점.

Hoxhunt의 효과 데이터는 인상적이다. 자체 발표에 따르면 1년 사용 후 의심 메일 보고율이 50 %대까지 상승. KnowBe4가 "낮은 클릭률"을 자랑한다면 Hoxhunt는 "높은 보고율"을 자랑한다 — 둘은 다른 행동이다.

가격 — 공개되어 있지 않다. 직원당 연 15-30 USD 수준이 알려진 추정. 견적 기반.

4장 · Cofense — 인시던트 대응에 강한 회사

Cofense(cofense.com)는 2007년에 Aaron Higbee와 Rohyt Belani가 PhishMe라는 이름으로 창립. 2018년 회사 이름을 Cofense로 변경.

Cofense는 KnowBe4·Hoxhunt와 다른 자리에 있다. 시뮬레이션 + 실제 위협 인텔리 + SOC 통합이라는 구조다.

Cofense의 차별점은 SOC 워크플로우와의 통합. 사용자가 의심 메일을 신고하면 PhishER급 자동 분류 + 인간 SOC 분석가 검토 + 자동 격리가 한 흐름으로 이어진다. 그래서 직원 1만 이상 대기업에서 인기.

5장 · Proofpoint Security Awareness Training (구 Wombat)

Proofpoint(proofpoint.com)는 2002년에 Eric Hahn이 창립, 메일 보안 게이트웨이로 시작했다. 2014년 미국 카네기멜런 대학교 출신의 Wombat Security Technologies가 만든 "ThreatSim" 시뮬레이션을 2018년 Proofpoint가 인수했다.

Proofpoint Security Awareness Training의 강점은 메일 보안 본체와의 통합. TAP(Targeted Attack Protection)가 실제로 막은 위협 데이터를 시뮬레이션에 즉시 반영한다. "이번 주 우리 회사로 들어온 진짜 캠페인"을 그대로 훈련 시뮬레이션으로 만들 수 있다.

가격은 명시적이지 않지만 직원당 연 25-50 USD 수준의 견적이 시장에 알려져 있다. 메일 게이트웨이 + 인식 훈련을 묶어 살 때 더 매력적.

6장 · Infosec IQ — Cengage 산하

Infosec IQ(infosecinstitute.com)는 2004년 Jack Koziol이 Infosec Institute로 시작. 2022년 Cengage Group(교육 출판)이 약 2.4억 USD에 인수, 현재 Infosec Skills · Infosec IQ로 분리 운영.

특징.

Infosec IQ는 미국 연방·주 정부 계약에서 강점을 보여왔다. NIST 800-50("보안 인식 훈련 프로그램 구축") 매핑이 명시적이어서 FedRAMP·CMMC 환경에서 쉽게 채택된다.

7장 · Mimecast Awareness Training (구 Ataata)

Mimecast(mimecast.com)는 2003년 영국에서 Peter Bauer와 Neil Murray가 창립. 메일 보안 게이트웨이로 시작했다. 2019년 미국 보스턴 기반의 Ataata라는 보안 인식 훈련 스타트업을 인수해 Mimecast Awareness Training으로 통합.

특징.

작은 회사 시절 Ataata의 톤이 그대로 남아 있다. "Tom & Jerry"식 슬랩스틱 보안 비디오는 호불호가 갈리지만 직원 참여율이 높다는 데이터가 있다.

8장 · Sophos Phish Threat — EDR과 한 패키지

Sophos(sophos.com)는 1985년 영국 옥스포드에서 Jan Hruska와 Peter Lammer가 창립. 안티바이러스 → EDR → MDR(Managed Detection and Response)로 확장.

Sophos Phish Threat은 Sophos Central 콘솔에 통합된 시뮬레이션 모듈.

가격은 직원당 연 5-12 USD 수준으로 KnowBe4 대비 절반 이하. 단 콘텐츠 라이브러리·고급 분석은 약하다. "EDR을 이미 쓰는 중견기업"에 좋은 옵션.

9장 · NINJIO — 스토리텔링 기반 1인극

NINJIO(ninjio.com)는 2015년 Zack Schuler가 미국 캘리포니아에서 창립. 다른 회사들이 "교육적인 비디오"를 만들 때 NINJIO는 "Netflix급 미니 시리즈"를 만들었다.

NINJIO는 보안 훈련 시장의 "프리미엄 콘텐츠 브랜드". 가격이 다른 곳보다 비싸지만 콘텐츠 품질로 차별화. 2022년 ESPN, Pfizer, Dollar Tree 등 대형 고객 확보.

다만 인터랙티브 시뮬레이션은 약하다. 비디오 콘텐츠 중심이라 KnowBe4·Hoxhunt와 묶어 쓰는 사례가 많다.

10장 · CybSafe · Living Security · Elevate — 인간 위험 관리(HRM)

CybSafe(cybsafe.com)는 2015년 영국 런던에서 Oz Alashe(전 영국 군인)가 창립. "보안 인식"을 "보안 행동"으로 바꾼다는 명확한 입장.

Living Security(livingsecurity.com)는 2017년 미국 텍사스에서 창립. Unify라는 인간 위험 관리(HRM) 플랫폼.

Elevate Security(elevatesecurity.com)는 2017년 Robert Fly(전 Salesforce 보안 책임자)가 창립. 2024년 Mimecast가 인수.

HRM(Human Risk Management) 카테고리는 2023-2024년 시장이 형성된 신규 카테고리. Gartner가 2024 Magic Quadrant에서 처음 정식 인정.

11장 · AwareGO · MetaCompliance · Phriendly Phishing · Curricula

소규모지만 의미 있는 도구들.

이들은 각각 지역·산업·콘텐츠 톤에서 차별화한다. 대형 다국적 기업은 KnowBe4·Proofpoint를, 중견기업은 Sophos·Mimecast를, 특정 산업/지역은 NINJIO·MetaCompliance·Phriendly를 선택하는 패턴이 일반적.

12장 · GoPhish — 오픈 소스 피싱 시뮬레이션의 표준

GoPhish(getgophish.com)는 2015년 Jordan Wright가 만든 오픈 소스 피싱 시뮬레이션 프레임워크. Go 언어로 작성, MIT 라이선스.

GoPhish의 가치는 모의 침투 테스트(red team) 및 소규모 조직 자체 훈련에 있다. KnowBe4 라이선스 수억 원이 부담스러운 100명 미만 회사가 GoPhish + 자체 콘텐츠로 충분한 훈련을 만들 수 있다.

# GoPhish 설치 (단순화 버전)
wget https://github.com/gophish/gophish/releases/download/v0.12.1/gophish-v0.12.1-linux-64bit.zip
unzip gophish-v0.12.1-linux-64bit.zip
cd gophish
./gophish
# https://localhost:3333/ 접속

다른 오픈 소스 도구들.

Evilginx2·Modlishka는 합법적 침투 테스트 또는 보안 연구에만 사용해야 한다. 실제 사용자 자격 증명을 캡처할 수 있어 법적 책임이 따른다.

13장 · NIST Phish Scale — 객관적 난이도 측정

미국 NIST(국립표준기술연구소)가 2020년에 공개한 NIST Phish Scale(csrc.nist.gov/publications/detail/sp/800-53/rev-5/final 관련 후속)은 피싱 메일의 객관적 난이도를 측정하는 프레임워크다.

NIST Phish Scale은 클릭률 비교를 의미 있게 만든다. KnowBe4가 "우리 회사 클릭률 5 %"라고 보고할 때, 그 메일이 NIST 기준 Least Difficult였다면 5 %는 형편없는 결과다. 반대로 Most Difficult였다면 우수한 결과다.

2024-2025년 다수 기업이 자체 KPI에 NIST Phish Scale을 도입했다. 단순 클릭률을 넘어 "난이도 보정 클릭률"을 측정한다.

14장 · 실제 사건 — MGM · Caesars · Twilio · Lapsus$

이론보다 실제 사례가 훈련의 가치를 보여준다. 최근 5년 굵직한 인간 요소 사건들.

공통점: 사람이 첫 진입점, MFA 우회, 헬프 데스크·IT 직원이 표적이다. 2026년 보안 인식 훈련은 일반 직원뿐 아니라 IT/SOC 운영자·헬프 데스크 직원을 별도 트랙으로 훈련하는 추세.

15장 · 딥페이크 음성 · 영상 시뮬레이션

Arup 사건 이후 보이싱(vishing) + 딥페이크 영상 시뮬레이션이 빠르게 시장에 진입했다.

시뮬레이션 윤리 — 직원에게 가짜 CEO 영상 통화로 송금을 요구하는 시뮬레이션은 윤리적 회색지대다. 일부 회사는 그런 시뮬레이션 자체를 금지(직원 신뢰 훼손, 정신적 충격). 다른 회사는 사전 동의 + 명확한 디브리핑 조건으로 도입.

대부분 보안 컨설팅 회사는 고위험 임원·재무 부서에만 한정해 보이싱·딥페이크 시뮬레이션을 진행한다.

16장 · MFA 폭격 · 푸시 알림 피로 공격

MFA 폭격(MFA bombing / push notification fatigue attack)은 2022년부터 급증한 공격 패턴이다.

2024-2025년 NIST SP 800-63 4판 공식 권고: 푸시 알림 + 비밀번호 조합을 점진적으로 FIDO2 / Passkey로 대체. 한국 KISA도 동일 방향 권고.

보안 인식 훈련 측면에서 직원이 "이게 내가 시작한 로그인이 아니면 절대 승인하지 말 것"이라는 메시지를 반복적으로 받는 게 중요. KnowBe4·Hoxhunt 모두 2023-2024년 MFA 폭격 시뮬레이션 모듈을 추가했다.

17장 · 이메일 보안 보조 도구 — Abnormal · IRONSCALES · Material · Tessian

피싱 시뮬레이션과 한 패키지로 묶이는 이메일 보안 도구들.

이들은 기존 메일 게이트웨이(Microsoft Defender for Office 365, Proofpoint TAP)를 보완하는 API 기반 솔루션이다. 메일이 게이트웨이를 통과한 후에도 메일박스에서 다시 검사한다.

18장 · 피싱 내성 인증 — Passkey · FIDO2 · WebAuthn

훈련만으로는 한계가 있다. 기술적 통제가 결합되어야 한다.

2024-2025년 큰 채택 — Microsoft Authenticator Passkeys, Apple Passkeys, 1Password Passkeys, Bitwarden Passkeys. 한국은 카카오·네이버가 일부 Passkey 도입.

보안 인식 훈련의 새 메시지 — "비밀번호 강화"가 아니라 "비밀번호를 없애자". MFA도 SMS/푸시는 점진적으로 폐기, FIDO2/Passkey로 이행.

다만 도입 장벽이 있다. 디바이스 분실 복구, 게스트 계정, 레거시 시스템 대응이 어렵다. 그래서 한 번에 가는 게 아니라 점진적 마이그레이션.

19장 · 컴플라이언스 — NIS2 · PCI DSS 4.0 · ISO 27001:2022

규정 측면에서 2024-2026년 큰 변화.

이 규정들은 단순히 "훈련을 한다"가 아니라 "훈련을 측정하고 개선한다"를 요구한다. 그래서 시뮬레이션 + 리포트 + 개선 사이클이 컴플라이언스 친화.

20장 · 한국 보안 인식 훈련

한국 시장의 주요 도구·기관.

[한국 모의훈련 일정 — 대표 예시]
  KISA 사이버 위기대응 모의훈련   — 매년 7-8월, 일반 기업 자율 참여
  금융보안원 모의훈련              — 매년 2회, 금융사 필수
  국방부 사이버안전훈련            — 군·방산
  공공기관 자체 훈련               — 각 기관 연 1-2회

한국 시장 특성: 컴플라이언스 중심. ISMS-P 인증·금융감독원 검사·개인정보보호위원회 조사에 대응하기 위한 "증빙용 훈련"이 많다. KnowBe4·Proofpoint 등 외산 도구를 도입하는 대기업과, 국내 SI 회사가 만든 자체 훈련 시스템을 쓰는 중견기업으로 양분.

21장 · 일본 보안 인식 훈련

일본 시장은 한국과 비슷하면서도 다르다.

일본은 특히 표적형 공격 메일 훈련이라는 표현을 쓴다. APT(지능형 지속 위협) 그룹의 표적 공격에 대비. 일본 정부·방위성 관련 기업·기간 인프라가 중국·북한 APT의 표적이라는 인식이 깊다.

규정 측면에서 改正個人情報保護法(2022년 4월) + NISC(내각관방 사이버보안센터) 가이드라인이 인식 훈련을 명시.

22장 · 보안 인식 훈련의 다음 단계 — 행동 변화와 AI

2026년 보안 인식 훈련의 미래는 세 갈래다.

학술 연구도 활발하다.

근본 한계 — 사람을 100 % 훈련시킬 수 없다. 그래서 인식 훈련 + 기술적 통제(피싱 내성 MFA, 메일 격리, EDR)의 조합이 답이다. "사람이 약한 고리"를 "사람이 강한 고리"로 만드는 게 아니라, 사람이 실수해도 큰 사고로 번지지 않는 시스템을 만드는 것.

에필로그 — Mitnick에서 GenAI까지, 30년의 교훈

Kevin Mitnick은 2002년 책 "The Art of Deception"에서 이렇게 적었다.

"보안의 가장 약한 고리는 사람이다. 그리고 가장 강력한 방어선도 사람이다."

30년이 지난 2026년에도 이 명제는 변하지 않았다. 달라진 것은 공격자의 도구다. GPT-4가 영어 원어민 수준의 BEC 메일을 0.001 USD에 생성하고, ElevenLabs가 3분 음성으로 CEO 클론을 만든다. Arup의 2,500만 USD 사건이 그 분기점이었다.

방어 측 답은 명확하다.

그리고 가장 중요한 것 — 사람을 비난하지 않는 문화. 클릭한 직원에게 부끄러움을 주면 보고율이 떨어진다. Hoxhunt가 "No Gotcha" 철학을 강조하는 이유, NINJIO가 만화 캐릭터를 쓰는 이유다.

Mitnick의 다른 명언 한 줄.

"기술이 아무리 발전해도, 한 통의 전화·한 통의 메일이 가장 빠르다."

2026년에도 그 문장은 여전히 옳다. 다만 그 전화·메일이 이제 AI가 자동 생성된다는 점만 다르다.

참고 자료

댓글

아직 댓글이 없습니다.

로그인하면 댓글을 쓸 수 있습니다