보안공학연구실, CHI 2026 논문 2편 게재 승인

대규모 보안 사고 이후 사용자 인식과 대응 행동의 한계 실증 분석

성균관대학교 보안공학연구실(지도교수 김형식)의 연구 2편이 HCI 분야 최고 권위 국제학술대회인 CHI 2026에 게재 승인되었다. 이번 성과는 대규모 보안 사고 이후 사용자가 위험을 어떻게 이해하고, 실제로 어떤 대응 행동을 보이는지를 실증적으로 분석했다는 점에서 의미가 크다. 한 연구는 KAIST와의 공동연구로 국내 대규모 SIM 정보 유출 사고를 다루었고, 다른 연구는 조지아텍, Samsung Research와의 공동연구로 FTX 붕괴 이후 암호화폐 이용자의 보안 인식 변화와 대응 양상을 분석했다. 두 연구는 모두 보안 문제를 기술적 취약점 자체에만 한정하지 않고, 사용자의 인식, 신뢰, 행동까지 함께 살펴보며 사용자 중심 보안 설계의 중요성을 보여주었다.

첫 번째 논문인 "Mind the SIM: Awareness and Mental Models in a South Korean Case Study”는 2025년 국내 대규모 SIM 인증정보 유출 사고를 배경으로, 사용자가 SIM 기반 인증과 관련된 위험을 어떻게 이해하는지 분석한 연구이다. 연구팀은 국내 이용자 33명을 대상으로 인터뷰와 멘탈모델 분석을 수행한 결과, 많은 사용자가 사고 발생 사실은 인지하고 있었지만 무엇이 유출되었고 그것이 어떤 위험으로 이어질 수 있는지는 정확히 이해하지 못하고 있음을 확인했다. 특히 사고의 심각성을 막연히 느끼면서도 자신의 피해 가능성은 낮게 인식하거나, 통신사가 조치할 문제라고 생각해 적극적인 대응을 하지 않는 경향이 뚜렷하게 나타났다. 이는 보안 사고에서 자주 지적되는 ‘인지와 행동의 간극’이 통신 인증 인프라 영역에서도 분명하게 존재함을 보여준다. 연구팀은 이러한 결과를 바탕으로, 향후 통신 보안 서비스와 인증 체계는 기술적 안전성뿐 아니라 사용자가 위험을 올바르게 이해하고 실제 보호 행동으로 이어질 수 있도록 돕는 설명 방식과 안내 구조를 함께 설계해야 한다고 제안했다.

두 번째 논문인 “I just have faith in my wallet to not mismanage my crypto”: Investigating Changes in Users’ Security Perceptions Post-FTX Collapse”는 FTX 붕괴 이후 암호화폐 이용자들이 거래소 보관형 지갑과 개인 보관형 지갑의 보안을 어떻게 인식하게 되었는지, 그리고 그 인식 변화가 실제 대응 행동으로 이어졌는지를 분석한 연구이다. 연구팀은 심층 인터뷰 22건과 후속 설문 430명을 통해, 대형 사고 이후 중앙화 거래소에 대한 신뢰는 전반적으로 낮아지고 개인이 직접 관리하는 지갑의 보안성은 더 높게 평가되는 경향이 나타났음을 확인했다. 그러나 이러한 인식 변화가 실제 행동으로 이어지는 경우는 제한적이었다. 상당수 사용자는 여전히 기존 서비스에 자산을 그대로 두었고, 거래소가 자신의 개인키를 보관한다는 핵심 구조조차 정확히 이해하지 못하는 경우도 적지 않았다. 특히 위험을 인지하고도 별다른 조치를 취하지 않거나, 스스로 더 안전한 방식을 사용하고 있다고 믿지만 실제로는 여전히 위험한 구조에 머물러 있는 사용자 집단이 확인되었다. 연구팀은 이를 통해 암호화폐 서비스의 보안 안내가 단순한 정보 제공을 넘어, 사용자가 자신의 위험을 구체적으로 점검하고 즉시 행동할 수 있도록 돕는 방향으로 개선되어야 한다고 강조했다.

이번 CHI 2026 게재 승인은 보안공학연구실이 기술 중심 보안 연구를 넘어, 실제 사용자 경험과 행동을 정밀하게 분석하는 인간 중심 보안 연구에서도 국제적 경쟁력을 확보하고 있음을 보여준다. 두 연구는 서로 다른 도메인을 다루고 있지만, 공통적으로 대규모 사고 이후에도 사용자의 이해 부족, 불완전한 멘탈 모델, 행동 지연이 반복된다는 점을 실증적으로 확인했다. 이는 앞으로의 보안 기술이 단순히 더 안전한 시스템을 만드는 데 그쳐서는 안 되며, 사용자가 위험을 이해하고 적절히 대응할 수 있도록 지원하는 방향으로 함께 발전해야 함을 시사한다.

두 연구 결과는 ACM CHI 2026 (바르셀로나)에서 현지 시간 4월 14에 발표될 예정이다.