보안 최고책임자(CISO)의 41%가 지난 1년간 직원 음성 통화에서 딥페이크를 이용한 사기 공격을 경험했다는 조사 결과가 나왔습니다. 화상 통화를 통한 동일 유형의 공격도 36%가 겪었으며, 이메일 피싱 등 전통적인 사회공학 공격은 79%가 경험할 만큼 여전히 광범위하게 이루어지고 있습니다. AI 기술이 발전하면서 공격이 더 정교해지고 기존 탐지 방법으로는 가짜를 가려내기 어려워진 것이 핵심 문제입니다. 가트너는 이에 대응하기 위해 직원 보안 교육 방식 개선, 신원 확인 체계 강화, AI 위협 탐지·대응 절차 정비 등 세 가지 조치를 권고했습니다.
가트너가 CISO 297명을 대상으로 실시한 설문에서 41%가 딥페이크 음성 통화, 36%가 딥페이크 화상 통화를 이용한 사회공학 공격을 경험했다고 응답했다. 이메일 피싱·스피어 피싱·기업 이메일 침해(BEC)는 79%, 비싱·스미싱은 58%가 경험했다.
AI 기반 합성 미디어(딥페이크)가 공격의 빈도·개인화 수준·설득력을 높이는 반면, 기존의 탐지 징후(어색한 말투, 화질 등)에 대한 신뢰도를 크게 떨어뜨리고 있다. 계정 탈취, 금융 사기, 권한 남용 등으로 이어질 위험이 높아졌다.
공격자들이 피싱, 비즈니스 이메일 침해, 딥페이크 합성 미디어, 수집된 개인정보를 결합해 다중 채널 공격을 전개하고 있으며, AI 도구의 범용화로 정교한 사칭 공격의 진입 장벽이 낮아졌다.
가트너는 ①정형화된 보안 교육을 적응형 행동·문화 프로그램으로 전환, ②계정 복구·특권 접근·결제 승인 등 고위험 절차에 피싱 방지 인증 및 위험 기반 신원 통제 적용, ③의심 신고 정보를 계정 이력·권한 변경·금융 거래 데이터와 연계한 탐지 체계 구축을 권고했다.
직원에게 '가짜를 판별하는 법'을 가르치기보다, 채널에 관계없이 고위험 요청 시 반드시 별도의 신뢰 채널로 확인하는 절차를 기본 수칙으로 정착시키는 것이 핵심이다. 사고 대응 매뉴얼에 AI 에이전트 오용·침해 시나리오도 포함해야 한다.
본문
정보보호최고책임자(CISO) 가운데 41%가 지난 1년 동안 직원의 음성 통화 중 딥페이크를 악용한 사회공학 공격을 한 차례 이상 겪은 것으로 나타났다. 화상 통화에서 동일한 유형의 공격을 경험했다는 비율 역시 36%에 달했다.
28일 가트너는 올해 3월부터 5월까지 CISO 또는 이에 준하는 직책의 사이버보안 부문 고위 임원 297명을 대상으로 실시한 조사를 토대로 이 같이 밝혔다.
조사 결과, AI는 사회공학 공격의 빈도, 개인화 수준, 설득력을 높이는 반면, 기존 탐지 징후의 신뢰도는 떨어뜨리는 것으로 나타났다.
조사에 참여한 CISO의 79%는 지난 12개월간 이메일 피싱, 스피어 피싱, 기업 이메일 침해(BEC, Business Email Compromise) 사고를 최소 한 건 이상 겪었다고 답했다. 비싱(vishing, 음성 피싱), 스미싱(smishing, 문자 피싱) 사고가 발생했다는 응답도 58%를 차지했다.
가트너는 진화하는 AI 기반 사회공학 공격에 효과적으로 대응하기 위해 CISO가 중점적으로 추진해야 할 세 가지 핵심 조치를 제시했다.
첫째, 정형화된 교육을 적응형 보안 행동 및 문화 프로그램으로 전환해야 한다. 직원에게 '가짜를 가려내는 법'을 가르치기보다, 중요한 요청에 대해 안전한 확인 절차를 거치는 것을 기본 행동 수칙으로 정착시켜야 한다. 이메일, 음성, 영상, 협업 도구 또는 AI 애플리케이션 등 유입 경로와 무관하게 고위험 요청 시 잠시 멈추고 확인 후 보고하도록 직원과 승인자를 훈련해야 한다. 또 모의 훈련을 통해 AI 관련 의심 정황의 확인 및 보고 절차가 원활히 작동하는지 점검할 필요가 있다.
둘째, 사칭 공격에 대비한 직원 신원 및 복구 체계를 강화해야 한다. 계정 복구, 특권 접근, 결제 승인 등 중요도가 높은 업무 절차는 피싱 방지 인증, 위험 기반 신원 통제, 신뢰할 수 있는 채널을 통해 보호해야 한다. 정상 로그인이나 비밀번호 재설정 이후에도 신원 정보 악용을 탐지하는 제어 장치를 마련해야 한다.
셋째, AI 매개 위협에 대비한 탐지 및 대응 체계를 정비해야 한다. 의심스러운 연락과 사칭 신고 정보를 계정 복구 이력, 새 기기 접속, 권한 변경, 금융 거래 정보와 연계해 분석함으로써 위협 탐지 역량을 높여야 한다. 또 멀티모달 사칭, 조작된 AI 권고, 침해되거나 오용된 AI 에이전트는 물론 정해진 범위를 벗어나 작동하는 에이전트까지 대응할 수 있도록 사고 대응 매뉴얼을 업데이트해야 한다.
크레이그 포터(Craig Porter) 가트너 디렉터 애널리스트는 "공격자는 피싱, 비즈니스 이메일 침해, 합성 미디어, 수집 개인정보를 결합해 다중 채널 공격을 펼치고 있다"며 "앞으로도 대부분의 공격은 사용자, 탈취한 인증 정보, 취약한 복구 절차, 익숙한 기술 수법에 의존하는 방식으로 이뤄질 것이다. CISO는 신원 및 접근 위험을 평가할 때처럼 체계적으로 AI 기반 사회공학 위협에 대응해야 한다"고 강조했다.
