Improving Security Awareness about Smishing through Experiment on the Optimistic Bias on Risk Perception

위험인식의 낙관적 편향 실험을 통한 스미싱 보안인식 개선

Abstract

Recently, various risks of smartphone hacking are emerging. Smishing crime techniques become more cunning and its damage has been increasing, thereby requiring effective ways of preventing and coping with smishing. Especially, it is emphasized the need for smartphone users' security awareness and training besides technological approach. This study investigates the effective method for providing news messages in order to improve the perception of risk from smishing. This research empirically examines that the degree of optimistic bias on risk perception can vary depending on news frame, topic type, and involvement regarding smishing. Based on the findings, it identifies the factors influencing risk perception and verifies effective ways of promoting individual security awareness on smishing. The results of this study provide implications that assist in educating, campaigning and promoting information security awareness for smart device users.

최근 스마트폰 해킹과 관련한 다양한 종류의 위험들이 등장하고 있다. 이중 스미싱은 그 범죄 수법이 교묘해지고 피해 사례가 증가하고 있어 효과적인 예방 및 대응방안이 요구되고 있다. 특히 스미싱 위험에 대한 기술적 접근 외에 스마트폰 이용자의 보안인식 개선 및 교육의 필요성이 강조되고 있다. 본 연구는 스미싱 위험인식 제고를 위한 효과적인 홍보 메시지 및 뉴스 제공 방안에 대해 고찰하고자 한다. 이를 위해 본 연구에서는 스미싱에 대한 뉴스 프레임과 주제 유형, 그리고 관여도에 따라 스미싱 위험에 대한 낙관적 편향(자신보다는 타인에게 위험 발생 가능성이 높다고 생각하는 경향) 정도가 어떻게 달라지는지 실험을 통해 실증적으로 분석하도록 한다. 본 연구를 통해 스미싱 위험인식에 영향을 미치는 요인을 파악하고 어떠한 방식이 개인의 보안 인식 개선에 효과적인지 검증함으로써 스마트 기기 관련 정보보호 인식 제고를 위한 사용자 교육 및 홍보 방안에 대한 시사점을 제공하고자 한다.

I. 서론

스마트폰 사용이 보편화되면서 스마트폰 사용자를 대상으로 사회공학적(social engineering) 기법을 이용한 범죄가 증가하고 있다. 대표적인 사회공학적 해킹 범죄인 스미싱(smishing)은 문자메시지 (SMS)와 피싱(phishing)의 합성어로서[1] 인터넷 접속이 가능한 모바일폰의 문자메시지를 이용한 휴대폰 해킹을 뜻한다. 즉, 스미싱은 휴대폰(스마트폰)에서 SMS/MMS 메시지 서비스가 URL을 포함하여 전송되고 이를 클릭 시 바이러스 등이 포함된 악성 애플리케이션이 다운로드 되어 스마트폰에서 개인정보가 유출되는 형태의 범죄이다[2]. 최근 조사자료에 따르면, 스미싱 악성앱 건수는 2014년 약 404.3만건, 2015년 8월 기준 131.9만건이 발생하였고, 악성코드 탐지건수는 2011년 약 1.2만건에서 2014년 4.8만건으로 4배 이상 증가하였다[3].

이와 같은 스미싱 침해사고의 심각성으로 인해 정부 및 공공기관에서는 스미싱 방지를 위한 주요 권고 사항 및 대책으로 스미싱/스팸 차단 앱과 휴대폰용 백신 앱 설치 및 업데이트 등 스미싱 방지 행동 방안을 권고하고 있다[4]. 하지만 일부 사용자들은 이러한 보안 권고사항을 제대로 실천하지 않고 있으며 이로 인해 스미싱 사고는 계속해서 발생하고 있다[5]. 따라서 차단 앱 설치 권고 이외에 스미싱에 대한 사용자의 인식과 경각심을 제고할 수 있는 보안 인식 교육의 필요성이 더욱 강조되고 있다[6]. 특히 일반 사용자들의 보안 인식 개선에 있어 뉴스 등 미디어의 역할이 중요할 수 있다. 즉, 뉴스를 통해 사용자들에게 지속적으로 해당 위험을 알리고 관련 정보를 제공함으로써 스미싱에 대한 위험 인식과 보안 강화의 필요성을 고취시킬 수 있다.

본 연구에서는 사용자의 정보보호 인식 제고를 위한 교육의 일환으로써 스미싱 위험에 대한 경각심을 높일 수 있는 효과적인 뉴스 메시지 제공 방안에 대해 고찰하고자 한다. 이를 위해 본 연구에서는 제공되는 뉴스의 프레임과 주제 유형이 사용자의 스미싱 위험인식에 미치는 영향을 분석하고, 더불어 스미싱에 대한 사용자 관여도에 따른 위험인식 차이를 검증하고자 한다. 특히 본 연구에서는 낙관적 편향 및 해석수준 이론에 근거하여, 스미싱 뉴스 프레임, 주제 유형, 관여도에 따라 스미싱 위험에 대한 낙관적 편향(자신보다는 타인에게 위험 발생 가능성이 높다고 생각하는 경향)의 발생 정도가 어떻게 달라지는지 살펴보도록 한다. 이를 통해, 스미싱에 대한 위험인식에 영향을 미치는 요인을 파악하고 어떠한 방식이 개인의 보안 인식 향상에 효과적인지 검증함으로써 스미싱 관련 정보보호 인식 제고를 위한 사용자 교육방안의 시사점을 제공하고자 한다.

II. 이론적 배경

2.1 위험인식에 대한 두가지 관점: 사회수준과 개인 수준

위험에 대한 예방과 대응은 위험을 올바르게 인식하는 데에서 출발하며, 위험의 크기를 어떻게 보느냐에 따라 예방과 대응 정도가 달라질 수 있다.

위험인식 관련 기존 연구에서는 위험을 사회·문화적 측면과 기술·경제적 측면으로 구분하였다[7]. 사회·문화적 측면에서 위험의 크기는 위험에 반영된 사회적 가치 및 상징, 역사, 사상 등에 의해 결정되는 반면[8][9], 기술·경제적 측면에서는 발생 가능성과 피해 규모를 통해 알 수 있다[10]. 이러한 의미에서 위험은 부정적인 가치가 크거나 그 발생확률이 높을 때 개인에게 심각한 것으로 인지될 수 있다.

Tyler and Cook[11]은 위험을 사회수준 (societal level)의 위험과 개인수준(personal level)의 위험으로 구분하였다. 사회수준의 위험은 내가 아닌 타인에 대한 관점으로, 타인에게 일어날 수 있는 위험의 개념이다. 개인수준의 위험은 본인 자신에게 일어날 수 있는 위험에 대한 개념이다. Tyler and Cook[11]은 일반적으로 개인들은 사회 수준의 위험보다 개인수준의 위험에 대해 보다 낙관적으로 판단하는 현상이 나타난다고 주장하였다. 즉, 사회적으로 어떠한 위험이 있다고 하더라도, 나에게는 그 일이 발생할 확률이 적다고 생각하는 것이다. 이러한 현상을 ‘비개인적 효과(impersonal impact)’라고 하며[11], 이를 설명할 수 있는 보다 직관적인 개념으로 ‘낙관적 편향(optimistic bias)’을 논할 수 있다.

2.2 낙관적 편향 이론(optimistic bias theory)

낙관적 편향(또는 편견)이란 개인에 대한 위험 판단에 있어 위험인식이 개인 본인에게 유리하게 이루어지는 경향을 의미한다. 즉, 자신보다 타인에게 위험이 발생할 가능성이 높다고 생각하는 경향을 말한다[9][12]. 낙관적 편향은 사회수준의 위험인식과 개인수준의 위험인식의 차이로 정의될 수 있다[13]. Weinstein[12]에 의하면 이들 차이 값은 보통 양의 경우가 많으며, 양수인 경우 사회수준의 위험(즉, 타인에게 발생할 위험)을 보다 크게 인식한 것으로 낙관적 편향에 해당된다. 만약 차이 값이 음수인 경우는 개인수준의 위험을 보다 크게 인식한 경우로 비관적 편향을 나타낸다.

낙관적 편향은 다양한 종류의 위험 상황에서 발생할 수 있으며[14], 개인과 타인에 대한 위험의 심각성을 다르게 판단하는 인식 차이를 설명하는데 있어 이론적 배경으로 활용되어 왔다. 심리적 관점에서 낙관적 편향은 자기중심적 사고(egocentrism), 개인의 일반적인 긍정적 편향(general positivity bias), 자기 높임을 통한 자존감(self-esteem) 고취, 통제에 대한 환상(illusion of control), 사회적 거리(social distance) 등에 기인한다[15]. 한편, 미디어 관점의 연구에 의하면 낙관적 편향은 미디어 이용에 따른 결과로 해석될 수 있으며, 이는 미디어(특히 대중 미디어) 자체가 추상적이고 비개인적인 정보를 전달하기 때문에 사회적 위험인식 대비 개인에 대한 위험인식이 상대적으로 저평가된다고 보았다[11][16][17]. 이들 기존 연구에서는 대중 미디어를 통한 위험 메시지 전달은 개인에게 간접적이고 객관적인 위험으로 느껴져 개인수준 보다는 사회수준의 위험인식이 높아질 수 있으며, 대중 미디어가 아닌 대인 간 커뮤니케이션에 의한 위험 정보 전달을 통해서 개인수준의 위험인식이 높아질 수 있다고 설명하였다. 단, 최근 연구에서는 미디어의 종류에 따라 낙관적 편향 발생을 설명하기 보다는, 동일 미디어라도 그 미디어를 통해 전달되는 위험 정보가 어떻게 서술되어 있는지와 그 위험의 내용 및 특성에 따라 낙관적 편향의 발생 정도가 달라질 수 있다고 주장하였다[18][19]. 즉, 미디어(예: 뉴스)를 통해 제공되는 위험 정보가 어떻게 구성되어 있는지와 사용자가 이를 어떻게 해석하는가에 따라 사회수준 위험 인식과 개인수준 위험인식의 차이가 달라질 수 있다.

2.3 뉴스 프레임 및 주제 유형과 위험인식: 해석수준이론

위에서도 언급했듯이 위험 메시지의 구성과 내용이 사용자의 위험인식에 영향을 줄 수 있다.

뉴스 메시지 프레임(frame)에 대한 선행 연구에 의하면, 뉴스 메시지 구성 방식, 즉, 뉴스 프레임에 따라 개인의 메시지에 대한 이해도와 해석이 달라질 수 있다[20][21][22]. 가령, 뉴스에서 위험 메시지가 구체적이지 않고 추상적으로 서술될 경우, 개인들은 해당 위험을 자신과 직접적인 연관이 없는 것으로 판단하게 되어 개인수준의 위험인식이 낮아질 수 있다[11]. 뉴스 메시지 프레임의 효과와 그 원인에 대해 보다 구체적으로 설명하는 이론으로 해석수준 이론(construal level theory)이 있다. 해석수준 이론은 위험 메시지가 설명하는 위험 대상(사건, 사물, 정보 등)에 대한 심리적 거리감(psychological distance)으로 인해 개인이 위험 대상에 대해 다른 수준의 해석을 내린다고 본다[23]. 심리적 거리감은 시간적, 공간적, 사회적, 가상적(실제적) 측면의 거리감에 의해 발생한다[23]. 해석수준은 고수준과 저수준의 해석으로 구분할 수 있는데, 고수준 해석은 위험 대상을 보다 추상적이고 탈상황적으로 일반화되게 범주화하여 이해하는 것을 말한다[18][24]. 반면 저수준의 해석은 위험 대상을 보다 구체적이고 생생하게 이해하고 대상 고유의 특징을 중심으로 해석하는 방식을 말한다[18].

해석수준 이론에 의하면, 개인이 위험 메시지에서 위험 대상에 대한 심리적 거리감을 멀게 느낄 경우 개인은 메시지를 고수준으로 해석하여 자신에게 위험이 덜 발생할 것이라고 생각하게 되고, 심리적 거리감이 가까울 경우 개인은 메시지를 저수준으로 해석하여 자신에게 해당 위험이 발생할 가능성이 크다고 인지할 수 있다[18][19][23][24].

가령, 뉴스 메시지를 구성할 때 위험에 대한 수치적 크기와 피해 규모 등이 어떻게 제시되는가에 따라 개인의 심리적 거리감은 달라질 수 있다. 또한 뉴스 메시지의 주제가 무엇인가에 따라 개인의 심리적 거리감이 달라질 수 있다. 즉, 뉴스 메시지의 주제가 본인과 거리가 먼 것으로 생각되면, 메시지 주제에 대한 심리적 거리감이 증가하여 이를 고수준으로 해석하게 된다[19]. 반대로 메시지 주제에 대해 본인과 가깝고 연관된 것으로 생각되면 심리적 거리감이 좁혀지고 저수준으로 해석될 수 있다.

이와 같이 뉴스 메시지 프레임과 메시지의 주제 등에 의해 개인의 심리적 거리감 및 해석수준이 달라질 수 있고, 개인수준의 위험인식 정도에 영향을 줄 수 있다. 이에 따라 결과적으로 낙관적 편향의 발생 정도가 달라질 수 있다.

2.4 관여도와 위험인식

기존 문헌에 의하면 뉴스 메시지의 프레임과 주제 유형에 따라 개인수준 및 사회수준의 위험인식 정도에 차이가 나타날 수 있다고 하였다[19-22]. 단, 이러한 위험인식 정도는 근본적으로 위험 대상에 대한 개인의 관여도(involvement)에 따라 달라질 수 있다. 관여도란 특정 대상에 대한 중요도와 관심정도를 말한다[25]. 관여도에 대한 선행연구에서는 대상에 대한 관여도 수준에 따라 고관여와 저관여 그룹으로 구분하고, 이들 간의 인식과 태도, 행동의 차이 등을 분석하였다[13][26]. 보통 고관여자의 경우에는 위험 대상에 대한 관심 정도와 중요도가 높기 때문에, 위험 대상과 관련된 것을 더 많이 알고 이해하고자 보다 많은 인지 노력을 쏟는 경향이 있다[13][26][27].

이를 스미싱 연구에 적용해보면, 위험 대상인 스미싱 자체에 대한 사용자의 관여도에 따라 스미싱 관련 뉴스 메시지에 대한 위험인식 정도가 달라질 수 있을 것이다. 이것은 결과적으로 Tyler and Cook[11]가 주장한 비개인적 효과, 즉, 낙관적 편향의 발생 정도에도 영향을 미칠 수 있다.

III. 연구가설

본 연구에서는 2장에서 분석한 기준문헌과 이론을 기반으로, 스미싱 관련 뉴스의 프레임, 주제 유형, 관여도가 스미싱 위험인식에 대한 낙관적 편향 발생 정도에 영향을 주는지 고찰하고자 한다. 특히 본 연구에서는 사람들의 위험인식이 사회적 수준과 개인적 수준으로 달라질 수 있음에 주목하고, 이러한 차이를 나타내는 낙관적 편향을 연구의 종속변인으로 설정하였다. 이를 통해 사용자들이 인지하고 있는 개인수준의 위험과 사회수준의 위험을 모두 파악한 후 이들의 차이를 고찰함으로써, 위험인식 편향 발생에 영향을 주는 요인 분석과 편향을 줄일 수 있는 방안에 대해 검토할 수 있도록 하였다.

우선, 스미싱 관련 뉴스 프레임에 대해서는 피해 규모 제시 방식(프레임)에 따라 낙관적 편향에 영향을 미치는 지 살펴보고자 한다. 본 연구에서는 스미싱 관련 뉴스에서 피해 규모 제시 방식을 하루 기준의 작은 수치와 연간 단위의 큰 수치로 달리 제시하여 이들의 효과를 검증하고자 한다.

피해 규모 제시 프레임은 동일 위험에 대해 인지하는 심각성 정도에 영향을 줄 수 있다[28]. 기존 연구에 의하면 같은 비율의 피해 규모(예: 사망률 30%)를 큰 수치의 비율로 제시하는 경우(예:1,000명 중 300명 사망 vs. 100명 중 30명 사망) 사람들의 위험인식 정도가 더 커진다고 하였다[29][30]. 또한 위험에 대해 일간 수치로 제시하는 경우와 연간 수치로 제시하는 경우에 따라 위험의 인식에 대한 차이가 나타날 수 있다[28][31].

이와 같이 위험에 대한 피해 규모 제시 방식에 따라 수치적인 효과와 시간적 효과에 의한 개인의 심리적 거리감에 차이가 나타날 수 있고, 이로 인하여 개인의 위험인식 정도가 달라져 낙관적 편향이 발생할 수 있다. 따라서 본 연구는 아래와 같은 가설을 제안한다.

연구가설 1: 스미싱 뉴스 프레임에 따라 스미싱 위험인식에 대한 낙관적 편향 정도가 달라질 것이다.

메시지 주제 유형에 따른 공익광고 효과 연구에 따르면, 개인과 사회와 관련된 주제 구분에 따라 공익광고에 대한 인지도가 다르게 나타날 수 있다고 하였다[32][33]. 즉, 메시지의 주제가 개인 일상사와 관련된 주제인지 사회적 이슈에 대한 주제인지에 따라서 사람들의 위험에 대한 경각심 정도가 달라질 수 있다. 한국인터넷진흥원[4]은 국내 스미싱 사칭 유형을 크게 개인생활과 관련된 생활밀착형과 사회적으로 발생하는 사건/사고와 관련된 사회이슈형으로 구분하고 있다.

본 연구는 이러한 개인형과 사회형 주제 구분을 스미싱 위험인식 연구에 적용하여, 스미싱 주제 유형을 생활밀착형(개인형) 주제와 사회이슈형(사회형) 주제로 구분하고 이들이 위험인식에 미치는 효과를 살펴보고자 한다. 스미싱 피해에 대한 최근 조사결과에 의하면, 생활밀착형 스미싱(예: 택배, 결혼식, 돌잔치 등에 대한 스미싱)에 대한 피해건수가 높게 나타났다[4]. 단, 사회이슈형 주제(예: 메르스 사태, 북한의 한반도 위협, 올림픽 화제 영상 등과 관련된 스미싱)에 대해서도 위험 인지 발생 정도가 높을 수 있다. 따라서 개인들이 어떤 주제 유형(개인 생활밀착형 vs. 사회이슈형)의 스미싱 뉴스 메시지를 접하느냐에 따라 개인이 위험을 낙관적으로 판단하는 경향이 달라질 수 있다. 그러므로 본 연구에서는 아래와 같은 가설을 제안한다.

연구가설 2: 스미싱 메시지 주제 유형에 따라 스미싱 위험인식에 대한 낙관적 편향 정도가 달라질 것이다.

관여도에 대한 기존 연구에서는 개인의 관여도가 높고 낮음에 따라 위험 메시지에 대한 설득력이 달라질 수 있고 위험인식이 다르게 나타난다고 하였다[13][27][34]. 또한 낙관적 편향이 발생하기 위해서는 미디어에서 전달하는 메시지가 개인에게 매우 바람직하게 인식되거나 바람직하지 않은 것으로 인식되어야 하는데, 이는 관여도라는 변인에 의해서 달라지는 현상으로 설명되고 있다[35]. 특정 대상에 대하여 관심이 많거나 전문적인 식견이 높은 경우는 위험에 대해서 체계적이고 이성적인 판단이 가능하여 비교적 낙관적 편향이 낮게 나타날 수 있고[36], 반대로 대상에 대한 관심이 적고 지식이 얕은 경우에는 낙관적 편향이 높게 나타날 수 있다[27]. 단, 이러한 결과는 연구의 상황(context)에 따라서 달라질 수 있다. 따라서 본 연구에서는 아래와 같이 가설을 제안하고 관여도에 따른 위험인식 차이를 살펴보고자 한다.

연구가설 3: 스미싱에 대한 관여도에 따라 스미싱 위험인식에 대한 낙관적 편향 정도가 달라질 것이다.

IV. 연구방법

본 연구에서는 3장에서 제시한 연구가설을 검증하고자 연구방법론으로 실험방법을 적용하였다. 실험방법은 결과변인(종속변인 또는 반응변인)에 영향을 줄 수 있는 잠재적 외생 변인들을 통제하고, 연구에서 중점으로 보고자하는 처치변인(독립변인 또는 자극변인)이 결과변인에 미치는 영향력을 검증하는 데 가장 적절한 방법 중 하나이다[37][38]. 본 연구에서는 실험방법을 통해 3개의 처치변인(뉴스 프레임, 주제 유형, 관여도)이 결과변인인 낙관적 편향에 미치는 영향을 분석하고자 한다.

4.1 실험 처치물 준비

실험을 위해 본 연구에서는 4가지 유형의 스미싱 관련 뉴스 기사를 제작하였다. 4가지 유형은 뉴스 메시지 프레임에 대한 2가지 처치물(피해 규모에 대해 일간 피해건수 vs. 연간 피해건수 제시)과 스미싱 주제 유형에 대한 2가지 처치물(생활밀착형 vs. 사회이슈형)에 대해 2X2로 구성하여 총 4개의 실험 뉴스 기사를 준비하였다. 실험용 뉴스 메시지는 실제 스미싱 예방 및 보안 인식 강화를 목적으로 홍보되고 전달되었던 뉴스를 참조하였고, 실험목적에 맞게 온라인 기사 형태로 제작되었다. 본 실험에 들어가기전, 석·박사생 40명을 대상으로 사전조사(pilot test)를 실시하여, 준비된 실험 기사가 연구 목적대로 제작되었는지 조작 점검(manipulation check) 을 하고 이를 보완하였다.

4가지 실험 처치물인 스미싱 뉴스 기사 내용은 다음과 같다.

1) 일간*생활밀착형

“택배왔어요” 클릭하는 순간 해킹

- ‘택배’ 스미싱 피해규모 하루 평균 5.5건 → 6.7건으로 늘어.

스마트폰 문자를 통한 금융사기수법인 ‘소액결제사기’ 이른바 ‘스미싱’ 범죄에 ‘택배회사’ 사칭수법 건수가 크게 늘었다. 8일 사이버경찰청에서 전달받은 자료에 따르면 지난해 하루 평균 5.5건이었던 택배회사 사칭 스미싱 피해 건수는 올해 하루 평균 6.7건으로 집계되었다. 범행수법은 ‘운송장번호 주소지 미확인’, ‘반송처리 주소확인’, ‘택배 지연 주소확인’ 등 호기심을 자극하는 문자를 보내 클릭을 유도한 후 악성 앱을 통해 건당 10만원 이하의 소액결제를 몰래 하는 방식이다. “사이버경찰청 등 유관기관은 최근 급증한 스미싱 피해를 줄이기 위해 예방 및 보안에 힘써야 할 것”이라고 당부했다.

2) 일간*사회이슈형

“메르스 문자 메시지” 클릭하는 순간 해킹

- ‘사회적 이슈’ 스미싱 피해규모 하루 평균 0.5건→ 1.2건으로 늘어.

스마트폰 문자를 통한 금융사기수법인 ‘소액결제사기’ 이른바 ‘스미싱’ 범죄에 메르스 등 ‘사회적 이슈’ 사칭수법 건수가 크게 늘었다. 8일 사이버경찰청에서 전달받은 자료에 따르면 지난해 하루 평균 0.5건이었던 사회적 이슈 사칭 스미싱 피해 건수는 올해 하루 평균 1.2건으로 집계되었다. 범행수법은 ‘메르스 발생 병원 확인’, ‘여객선(세월호) 침몰사고 구조 현황’, ‘소치동계 올림픽 스피드스케이팅 결승전 판정 실수영상’ 등 호기심을 자극하는 문자를 보내 클릭을 유도한 후 악성 앱을 통해 건당 10만원 이하의 소액결제를 몰래하는 방식이다. “사이버경찰청 등 유관기관은 최근 급증한 스미싱 피해를 줄이기 위해 예방및 보안에 힘써야 할 것”이라고 당부했다.

3) 연간*생활밀착형

“택배왔어요” 클릭하는 순간 해킹

- ‘택배’ 스미싱 피해규모 1년 평균 3,044건 →3,812건으로 늘어.

스마트폰 문자를 통한 금융사기수법인 ‘소액결제사기’ 이른바 ‘스미싱’ 범죄에 ‘택배회사’ 사칭수법 건수가 크게 늘었다. 8일 사이버경찰청에서 전달받은 자료에 따르면 지난해 연간 평균 3,044건이었던 택배 회사 사칭 스미싱 피해 건수는 올해 연간 평균 3,812건으로 집계되었다.

(이하는 일간*생활밀착형 기사와 동일)

4) 연간*사회이슈형

“메르스 문자 메시지” 클릭하는 순간 해킹

- ‘사회적 이슈’ 스미싱 피해규모 1년 평균 182.5건 → 438건으로 늘어.

스마트폰 문자를 통한 금융사기수법인 ‘소액결제사기’ 이른바 ‘스미싱’ 범죄에 메르스 등 ‘사회적 이슈’ 사칭수법 건수가 크게 늘었다. 8일 사이버경찰청에서 전달받은 자료에 따르면 지난해 연간 평균 182.5건이었던 사회적 이슈 사칭 스미싱 피해 건수는 올해 연간 평균 438건으로 집계되었다.

(이하는 일간*사회이슈형 기사와 동일)

4.2 실험 과정 및 데이터 수집

실험은 온라인 실험을 지원하는 전문 툴인 Qualtrics로 제작되었고, 실험 사이트는 2015년 11월 16일부터 실험 참여자들에게 오픈되었다. 피험자(subject)는 저자들이 접근 가능한 대학생, 대학원생, 직장인들을 대상으로 모집되었다. 피험자들은 유무선 인터넷을 통해 실험 사이트에 접속하여 실험에 참여하였다. 실험은 스마트폰 사용자를 대상으로 실시되었는데, 대부분의 스마트폰 사용자들은 스미싱 문자를 받아본 경험이 있고 스미싱에 대한 뉴스 기사를 접해 본 적이 있는 사용자들이다.

실험 시작 시 먼저 모든 실험 참여자들에게 스미싱이 무엇인지 상기하는 내용과 함께 스미싱 뉴스 메시지(스미싱 관련 정보, 피해사례, 예방 및 대응 방법 등 스미싱 위험인식 제고를 위한 뉴스 기사)가 무엇인지 소개되었다.

이후 설문 실험의 형태로 스미싱에 대한 관여도가 측정되었다. 본 연구에서 관여도는 피험자가 스미싱 및 스미싱 뉴스 메시지가 자신과 관련이 있다고 여기는 정도로 정의되었다. 관여도에 대한 측정은 기존 문헌[13][39]을 참조하여 아래 4개 문항으로 구성되었으며 각 문항은 7점척도(1=전혀아니다, 7=매우그렇다)로 측정되었다.

* 관여도 측정: 스미싱 뉴스 메시지는 1) 나에게 가치가 있을 것이다; 2) 나에게 필요할 것이다; 3) 나에게 유용할 것이다; 4) 나는 관심이 있다.

다음으로, 스미싱 뉴스 프레임과 주제 유형 변인의 조작조건이 2X2로 구성된 4가지 유형의 스미싱 뉴스 메시지 중 하나가 피험자에게 무작위로 (randomly) 배포되도록 하였다. 이는 Qualtrics 툴의 무작위 배치 기능에 의해서 수행되었다.

이러한 방식을 통해 4개의 유형 그룹별로 데이터가 수집되었으며, 최종 샘플은 실험의 전체 과정에 성실하게 참여한 200명이 선택되었다(각 실험그룹별 50명 선별).

4개의 뉴스 메시지 처치물은 1) 일간프레임*생활 밀착형; 2) 일간프레임*사회이슈형; 3) 연간프레임*생활밀착형; 4) 연간프레임*사회이슈형으로 구성되었으며, 상세 뉴스 내용은 4.1장에 제시되어 있다.

피험자는 본인에게 배정된 스미싱 뉴스 메시지를 읽은 후 해당 뉴스가 어떤 유형의 스미싱 정보를 전달하고 있는지 확인하는 문항에 답하도록 하였다. 이를 통해 실험 처치 목적에 맞게 피험자가 뉴스 기사를 지각하고 있는지 조작 점검을 시행하였다.

위와 같이 실험 처치물 노출 후 최종적으로 피험자의 스미싱에 대한 위험인식을 측정하였다. 본 연구에서는 낙관적 편향 발생 정도를 파악하기 위해, 개인수준 위험인식(자신의 스미싱 피해 가능성에 대한 위험인식)과 사회수준 위험인식(타인의 스미싱 피해 가능성에 대한 위험인식)을 구분하여 측정하였다. 이들의 측정항목은 위험인식에 대한 기존 연구[9][13]를 참고하되 본 연구 상황에 맞게 수정하여 아래와 같이 구성되었으며, 각 문항은 7점척도로 측정되었다.

* 개인수준의 스미싱 위험인식: 1)나는 실수로 스미싱 URL을 클릭할 수 있다; 2) 내 폰에 스미싱 악성코드가 설치될 수 있다; 3) 스미싱으로 내 개인정보가 유출될 수 있다; 4) 스미싱으로 나는 금전적 피해를 입을 수 있다.

* 사회수준의 스미싱 위험인식: 위 4개 문항과 내용은 동일하되, ‘나는’, ‘내’에 해당되는 단어를 ‘다른 사람들은’, ‘다른사람들의’로 변경하여 측정되었다.

본 연구의 최종 결과변인인 낙관적 편향은 사회수준 위험인식에서 개인수준 위험인식을 뺀 값으로 측정되었다.

V. 분석 결과

피험자는 총 200명으로, 성별 비중은 남성 109명 (54.5%), 여성 91명(45.5%)이며, 연령대별 비중은 10대 11명(5.5%), 20대 87명(43.5%), 30대 73명(36.5%), 40대 16명(8%), 50대이상 13명 (6.5%)이다.

스미싱에 대한 관여도의 고/저 집단 구분을 위하여 피험자 전체의 관여도 평균과 중간값을 분석한 결과, 평균은 4.30였고, 중간값은 4.75였다. 본 연구에서는 고/저 집단 구분의 기준으로 중간값을 활용한 기존 연구방법을 참조하여[13], 측정된 관여도의 중간값을 기준으로 피험자를 고관여 집단과 저관여 집단으로 구분하였다. 구분결과, 관여도가 4.75 이하인 저관여 집단에는 103명(51.5%)이, 4.75 보다 큰 관여도를 가진 고관여 집단에는 97명(48.5%)이 구분되었다.

본 연구의 처치변인별 피험자 샘플 분포를 정리하면 Table.1과 같다.

Table 1. Subject Frequency per Treatment

연구가설 검증을 위해 본 연구에서는 먼저 삼원분산분석(three-way ANOVA)을 수행하였다. 삼원 분산분석은 처치변인이 3개이고 결과변인이 1개인 경우, 3개 처치변인의 처치효과(treatment effect)를 분석하고 변인 간의 상호작용 여부를 확인하기 위한 방법이다. 본 연구에서는 스미싱 위험인식에 대한 낙관적 편향을 1개의 결과변인으로 설정하였고, 스미싱 뉴스 프레임과 주제 유형, 그리고 관여도를 3개의 처치변인으로 사용하였다. 따라서 삼원분산분석은 본 실험결과를 분석하기에 적절한 통계분석방법으로, 삼원분산분석 결과를 통해 각각의 처치변인이 결과변인에 미치는 주효과와 처치변인 간의 상호작용 효과를 검증할 수 있다. 본 연구의 삼원분산분석 결과는 Table. 2에 정리되어 있다.

Table 2. Results of Three-way ANOVA

먼저 삼원분산분석 모형에 대한 유의확률 확인 결과, 0.016으로 나타나 유의수준 5%(0.05) 기준에서 본 분석 모형은 타당한 것으로 판단할 수 있다.

처치변인의 영향력 분석 결과, 스미싱 메시지 주제 유형의 유의확률이 0.019로 나타나 유의수준 기준 5%(0.05) 보다 작으므로 낙관적 편향 차이가 유의한 것으로 분석되었다. 또한 관여도의 유의확률이 0.002로 낙관적 편향에의 유의한 차이가 나타났다. 따라서 스미싱 메시지 주제 유형과 관여도 정도에 따라 스미싱 위험인식에 대한 낙관적 편향이 달라질 수 있음이 검증되었다(연구가설 2,3 채택). 한편, 스미싱 뉴스 프레임에 의한 낙관적 편향 차이는 통계적으로 유의하지 않은 것으로 분석되었다(유의확률이 0.175로 0.05보다 큼; 연구가설1 기각). 또한 처치 변인 간의 상호작용 효과는 모두 유의하지 않은 것으로 분석되었다.

삼원분산분석에서 결과변인에 대한 주 효과가 유의하게 나타난 주제 유형과 관여도에 대해 어떠한 조건에서 그 영향력이 더 크게 나타났는지 확인하기 위해 추가적인 분석을 실시하였다. 본 연구에서는 처치 변인의 조건 및 수준별 차이를 분석하고자 독립 T검정을 실시하였다.

주제 유형 그룹 간 독립 T-검정 결과, 스미싱 메시지 주제 유형 그룹 간(생활밀착형 vs. 사회이슈형) 낙관적 편향의 차이가 통계적으로 유의함이 재검증되었으며(유의확률이 0.033으로 유의수준 5% 기준에서 유의함), 생활밀착형 주제 유형이 사회이슈형보다 스미싱 위험인식의 낙관적 편향이 더 크게 발생하는 것으로 분석되었다. 본 분석결과는 Table. 3에 제시되어 있다.

Table 3. Results of Independent T-test between Two Topic-Type Groups

상기와 같이 생활밀착형 주제에서 낙관적 편향이 더 크게 발생하는 것을 확인한 후, 이러한 편향 차의 원인을 조사하고자 2차 추가 분석을 실시하였다. 즉, 생활밀착형과 사회이슈형 주제 그룹별로 개인수준 및 사회수준의 위험인식 평균이 각각 어떠했는지와 어떤 수준의 위험인식의 차이가 특히 컸는지 검토하고자 다변량분산분석(MANOVA)을 추가 실시하였다. 다변량분산분석은 처치변인(주제 유형)에 따른 결과변인이 2개(개인수준과 사회수준 위험인식)일 경우 실시할 수 있는 분석방법으로써 분석결과는 Table. 4에 정리되어 있다. 분석 결과, 개인수준의 위험인식 평균에서는 주제 유형별 차이가 미비하고 통계적으로 유의한 차이가 나타나지 않았으나, 사회수준의 위험 인식에서는 생활밀착형 주제 그룹에서 평균(5.6075)이 특히 높게 나타났고 이 차이는 통계적으로도 유의했다(유의확률값이 0.017로 0.05보다 작음). 따라서 생활밀착형 스미싱 주제에 대해서 특히 사람들이 자신보다 타인에게 발생할 위험정도가 더 높다고 판단하는 낙관적 편향이 발생하는 것을 알 수 있다.

Table 4. Results of MANOVA of Topic Types

한편, 관여도 그룹 간 낙관적 편향의 차이를 분석하기 위해 독립 T-검정 실시 결과, 스미싱에 대한 고관여 그룹과 저관여 그룹 간 낙관적 편향에 차이가 통계적으로 유의한 것이 재검증되었으며(유의확률이 0.004로 유의수준 5% 기준에서 유의함), 저관여 그룹이 고관여 그룹 보다 스미싱 위험인식의 낙관적 편향이 더 크게 발생하는 것으로 나타났다(Table 5. 참조).

Table 5. Results of Independent T-test between High and Low Involvement Groups

추가적으로, 저관여 그룹과 고관여 그룹 간 낙관적 편향 차이가 어디에서 기인했는지 조사하기 위해 다변량분산분석을 실시하였다. 분석 결과(Table. 6참조), 개인수준 및 사회수준의 위험인식 평균 모두가 저관여 그룹보다 고관여 그룹에서 높게 나타났고 각 차이가 통계적으로도 유의했다. 하지만 고관여 집단에서는 사회수준 위험인식 정도와 개인수준 위험인식 정도의 차이가 적어 결과적으로 낙관적 편향이 작게 발생하였다. 이는 고관여 집단에서는 저관여 대비 특히 개인수준의 위험인식 평균이 4.4459로 매우 높게 인식되었기 때문이다. 즉, 높은 관여도를 가진 사람들은 스미싱에 대한 사회수준 위험인식과 더불어 개인에게 닥칠 스미싱에 대한 위험인식 또한 균형감 있게 높게 인지하고 있음을 알 수 있다.

Table 6. Results of MANOVA of Involvement Groups

끝으로, 통제요인인 인구통계학적 특성(성별, 연령대)별 낙관적 편향의 차이를 분석한 결과, 통계적으로 유의한 차이가 나타나지 않았다.

VI. 결론

6.1 연구 결과 토의

본 연구를 통해 검증된 주요 연구 결과는 다음과 같다.

첫째, 본 연구 결과를 통해 스미싱 메시지의 주제 유형에 따라 스미싱 위험인지에 대한 낙관적 편향이 달라질 수 있음이 증명되었다. 특히 사회이슈형 보다는 개인생활과 관련된 생활밀착형 주제에 대한 스미싱 위험 메시지에 대해 사람들이 낙관적 편향을 더 크게 갖는 것으로 나타났다. 이는 사람들이 생활밀착형으로 사칭한 스미싱에 대해서는 자신에게 닥칠 피해 가능성을 막연히 낮게 평가하고, 타인의 위험발생 정도를 높게 본다는 것을 의미한다. 이러한 낙관적 편향의 결과는 스미싱에 대한 보안 의식에 허점으로 작용될 수 있는데, 실제 최근 발생한 스미싱 피해 사건에서 가장 많은 부분이 생활밀착형 사칭 스미싱 피해임을 보면 그 폐해를 알 수 있다. 따라서 이러한 스미싱 피해를 줄이기 위해서는 생활밀착형 주제(택배, 경조사 초대 알림, 동창 모임 등)에 대한 다양한 스미싱 사례를 적극 홍보하고 이에 대해 특히 유의해야 함을 스미싱 예방 교육에 효과적으로 반영할 수 있도록 노력해야한다.

둘째, 본 연구 결과, 스미싱 위험인식에 대한 낙관적 편향이 관여도 수준에 따라 유의미한 영향을 받는 것으로 분석되었다. 특히 저관여 집단에서 사회적 위험인식과 개인적 위험인식의 차이가 크게 나타났는데, 이는 저관여자들이 고관여자들 대비 메시지의 위험 판단에 인지적 노력을 적게 들여 본인의 편의적 (heuristic) 판단에 의존하는 경향이 높기 때문일 수 있다[34]. 즉, 관여도가 낮을 경우는 스미싱에 대한 지식과 관심 정도가 낮기에 스미싱 위험 메시지 기사를 대충 읽으면서 개인수준의 위험을 보다 객관적으로 판단하지 못할 수 있다. 이로 인해 자신에게는 그런 위험이 발생하지 않겠지 라는 막연한 기대감으로 왜곡된 낙관적 판단을 할 수 있다. 반면, 관여도가 높을 경우는 스미싱 위험에 대해서 관심을 갖고 중요하게 생각하고 있기에 위험판단과정에서 보다 객관적인 판단하려고 노력할 수 있다. 이로 인해 고관 여자들은 개인적으로나 사회적으로나 스미싱에 의한 위험이 모두 클 수 있다는 것을 인식하여 낙관적 편향이 낮아지는 것으로 해석할 수 있다. 따라서 스미싱 보안 인식 제고를 위해서는 스미싱 자체에 대한 관여도를 전반적으로 높여야 하며, 이를 위해 스미싱에 대해 관심을 갖도록 유도하는 홍보 컨텐츠 제작과 중요성을 인지시키는 정보 제공이 꾸준히 이뤄져야 할 것이다. 특히 지속적인 관심 유도와 정보 제공을 통해 스미싱 보안 의식에 대한 학습 효과가 나타날 수 있도록 해야 할 것이다.

셋째, 본 연구 결과에서는 스미싱 뉴스 기사 프레임에 따른 위험인식 차이가 유의하지 않았다. 본 연구는 스미싱 피해 규모를 하루 기준 작은 수치로 제시하는 것과 연간 기준 큰 수치로 제시하는 것에 따라 사용자가 심리적으로 느끼는 수치적/시간적인 거리감이 달라져 낙관적 편향 정도가 다르게 나타날 것으로 가정하였다. 분석 결과, 연간 피해 규모 방식일 때 낙관적 편향의 평균이 일간 대비 조금 높긴 했으나, 이로 인한 유의한 효과 차이는 나타나지 않았다. 한편, 기존 연구에서도 프레임(피해 규모 제시 방식)에 따른 시간적 거리감 효과와 수치적 거리감 효과가 서로 상반되게 나타나는 경우가 있어 이에 대한 연구 결과가 늘 동일하진 않았다[28][31]. 비록 본 연구에서 피해 규모 제시 방식에 대한 프레임 효과가 유의하지 않았지만, 스미싱에 대한 위험 정보 전달 목적을 위해서 보다 효과적인 뉴스 프레임에 대한 연구는 앞으로도 지속되어야 할 것이다. 예를 들어, 스미싱 기사에서 접하는 위험이 사용자에게 가상이 아닌 보다 실제적으로 느껴질 수 있도록 하고 나와 먼 이야기가 아닌 가까운 위험일 수 있음을 피부에 와 닿게 하여 심리적인 공간 거리감을 좁힐 수 있도록 메시지 프레임을 할 수 있을 것이다. 또한 사용자가 스미싱 위험에 대한 해석수준을 저수준으로 구체화할 수 있도록, 스미싱 위험 홍보 기사 및 교육 메시지를 통해 위험 대상을 보다 생생하게 전달하고 스미싱 사칭 사건들의 특징을 구체적으로 파악할 수 있도록 도와야 할 것이다. 이를 위해 관련기관(예: 정부 및 공공기관, 통신사, 정보보호 관련 연구소 등)들의 협력과 SNS 등의 다양한 매체를 활용한 교육과 홍보가 고루 수행되어야 할 것이다.

6.2 연구의 시사점, 한계 및 향후 연구방향

본 연구에서는 정보보호 인식 제고를 위해 효과적인 위험 인지 커뮤니케이션 방안에 대해 고찰하였다. 특히 낙관적 편향 및 해석수준 이론을 바탕으로 매체에서의 보안 위험정보의 서술방식과 소제 내용이 타인과 나에 대한 위험인식의 차이를 유발하는 정도를 실험을 통해 실증적으로 분석하였다.

기존 정보보호분야의 위험인식 관련 연구는 주로 조직 중심의 정보보안교육 또는 정보보안훈련에 초점을 두고 검토되어 왔으나, 최근 개인 사용자 차원에서 스마트폰 및 PC 사용 시 보안 및 위험인식 개선에 대한 체계적인 연구의 필요성이 커지고 있다. 본 연구는 개인 사용자들의 위험인식 강화를 위한 커뮤니케이션 및 교육방안의 향후 연구에 하나의 지표가 될 수 있을 것이다.

본 연구 결과는 정보보호분야의 실무자들에게 시사점을 제공할 수 있다. 예를 들어, 사이버경찰청의 경우 신종금융범죄로 스미싱, 메모리해킹, 피싱, 파밍을 구분하여 피해 예방법 및 대처 요령에 대해 설명하고 홍보 영상을 통해서 예방법을 효과적으로 전달하기 위한 노력을 기울이고 있다[40]. 이러한 노력이 대중들에게 더욱 효과적으로 전달되기 위해서는, 매체를 통한 메시지 전달 시 어떤 주제 유형의 사례를 중심으로 제공할 지와 일반 사용자들의 심리적 거리감을 좁히고 관심을 유도할 수 있는 내용이 무엇인지 등이 고려되어야 할 것이다. 이는 스미싱은 물론 기타 신종사이버범죄 예방 홍보 및 교육 방안 모색 시에도 검토되어야 할 사항이다.

본 연구는 몇 가지 한계점이 있다. 첫째, 낙관적 편향에 영향을 줄 수 있는 변인으로 본 연구에서는 피해규모 제시방식 프레임과 주제 유형, 관여도를 중심으로 살펴보았다. 단, 낙관적 편향을 일으키는 변인에는 이외에도 다른 요인이 있을 수 있다. 예를 들어, 뉴스 프레임에서 위험 예방의 긍정적 효과를 강조하는 것과 부정적 피해를 강조하는 것의 차이를 분석해 볼 수 있을 것이다. 또한 관여도 외에 개인 특성으로 개방성 및 혁신성 등의 요인을 검토해 볼 수 있다. 둘째, 본 연구의 실험 참여자 중 20~30대의 대학(원)생 및 직장인의 비중이 높아, 다양한 연령대와 직업군을 아우르지 못한 한계가 있다. 향후 연구에서는 층화 샘플링 방식 등을 통해 다양한 대상의 피험자를 포함한 연구를 진행할 수 있을 것이다. 셋째, 본 연구는 위험 메시지 전달 매체로 (인터넷) 뉴스 매체를 통한 전달 방식에 대해 실험하였다. 향후 연구에서는 다양한 매체를 통한 위험 메시지 전달 효과를 비교해 봄으로써 위험인식의 차이를 살펴볼 수 있을 것이다.

정보 사회에서 개인의 위험인식에 대한 판단은 사전 지식이나 기존의 태도에 영향을 받기도 하지만 전달되는 메시지의 형태나 주제 유형에 따라 달라지기도 한다. 또한 타인 보다 자신의 위험 발생 가능성을 낮게 보는 편향적 위험인식이 나타날 수 있다. 따라서 개인의 위험인식에 대한 올바른 이해를 위해서 메시지 프레임과 전달 주제, 관여도 향상 등에 대한 지속적인 연구가 필요하며, 이를 통해 정보보호 인식 제고를 위한 효과적인 홍보 및 교육 방안을 마련할 수 있을 것이다.