경영진이 딥페이크에 속고 나서야 이사회 우선순위가 되는 딥페이크 위협

한 줄 요약

딥페이크(AI로 만든 가짜 영상·음성)를 이용한 사칭 공격이 크게 늘고 있지만, 이에 맞설 전용 방어 체계를 갖춘 기업은 10%에 불과하다는 조사 결과가 나왔습니다. IT 헬프데스크 전화, 원격 면접, 영상회의처럼 실시간으로 사람을 마주하는 상황이 공격자들의 새로운 표적이 되고 있는데, 기존 보안 체계는 "지금 통화하거나 화면에 보이는 사람이 진짜인지"를 확인하도록 설계되지 않았기 때문입니다. 실제로 딥페이크 공격을 겪은 기업의 절반가량은 피해 규모가 50만 달러 이상이었고, 4분의 1은 100만 달러 이상이었으며, 절반 가까이는 랜섬웨어 등 추가 공격으로까지 이어졌습니다. 응답자의 3분의 1 이상은 이런 공격 한 번으로 회사가 망할 수도 있다고 답했습니다. 하지만 경영진이 직접 속아본 뒤에야 딥페이크 대응을 경영진 우선순위로 삼는 경우가 많아, 대비가 늦어지고 있다는 지적입니다.

사건

보안 담당자의 약 74%가 최근 1년간 딥페이크 공격을 경험했거나 의심했지만, 전용 방어책을 갖춘 조직은 10%에 그쳤다.

영향

피해 기업의 절반은 손실 규모가 50만 달러 이상, 4분의 1은 100만 달러 이상이었고, 49%는 랜섬웨어 등 후속 공격으로 이어졌다. 37%는 단 한 번의 딥페이크 공격으로 회사가 문을 닫을 수 있다고 답했다.

원인

IT 헬프데스크 전화, 원격 면접, 영상회의 같은 실시간 대화 채널을 공격자가 신뢰받는 사람으로 사칭하는 데 악용하고 있으며, 기존 신원 확인 체계는 이런 위협을 상정하지 않고 설계됐다.

대응

응답자의 74%는 방어 기술이 공격 기술보다 더 빠르게 발전할 것으로 기대하지만, 대부분의 조직은 경영진이 직접 피해를 겪기 전까지 딥페이크 대응을 우선순위로 삼지 않고 있다.

실무 포인트

딥페이크를 유명인만의 명예 훼손 문제로 여기지 말고, 시스템·장비 보안에 준하는 수준으로 실시간 인간 상호작용에 대한 신원 확인 체계를 갖춰야 한다.

본문

Pindrop의 2026 딥페이크 대응 준비 지수(Deepfake Readiness Index)에 따르면, 보안 리더 중 거의 4분의 3이 지난 1년간 딥페이크 공격을 경험했거나 의심한 적이 있다고 답했지만, 조직이 이를 막기 위한 전용 방어책을 갖췄다고 답한 비율은 단 10%에 그쳤다.

실시간 커뮤니케이션이 딥페이크 및 AI 사칭 공격의 표적이 되고 있다. IT 헬프데스크로 걸려오는 전화, 원격 채용 면접, 영상회의는 공격자가 조직이 신뢰하는 인물을 사칭할 기회를 제공한다. 신원 확인 체계는 애초에 실시간 상호작용 속에서 말하거나 화면에 나타난 사람이 실제로 진짜인지를 판별하도록 설계되지 않았다.

Pindrop의 리서치 담당 SVP인 Elie Khoury는 "공격자들은 정교한 보안 통제를 우회하는 가장 쉬운 방법 중 하나가 바로 그 통제가 신뢰하도록 설계된 대상, 즉 사람을 사칭하는 것이라는 사실을 알아냈다. 딥페이크는 우리가 신원을 확인하는 가장 본능적인 신호인 익숙한 얼굴과 목소리를 공격 표면으로 바꿔놓는다. 기업은 시스템과 장비를 보호하는 데 쏟는 것과 같은 수준의 엄격함을, 중요한 결정이 이루어지는 실시간 인간 상호작용에도 적용해야 한다"고 말했다.

전용 방어책 도입률이 낮음에도, 보안 리더의 74%는 방어 기술이 공격 기술보다 더 빠르게 발전할 것이라고 믿고 있다.

3분의 1 이상이 "회사가 망할 수도 있는 공격"을 우려

딥페이크 공격을 경험했거나 의심했던 조직 중, 직접 손실과 대응 비용, 인력 투입 시간을 포함한 총비용이 50만 달러 이상이었다고 답한 곳이 거의 절반에 달했다. 약 4분의 1은 비용이 최소 100만 달러 이상이었다고 답했다. 49%는 랜섬웨어를 포함한 후속 사이버공격을 겪었다고 보고했다. 응답자들은 또한 데이터 유출, 매출 손실, 민감 정보 노출, 자금 도난 등도 함께 보고했다.