AI로 만든 가짜 목소리나 영상을 이용해 직원을 속이는 딥페이크 피싱 공격이 늘고 있습니다. 가트너 조사에 따르면 보안 책임자 297명 중 41%가 최근 1년 동안 음성 통화로, 36%가 화상 통화로 이런 공격을 겪었다고 답했습니다. 공격자는 진짜 같은 목소리나 영상으로 송금이나 계정 변경을 요청해 직원을 속이려 합니다. 전문가들은 목소리만 믿고 요청을 승인하지 말고, 등록된 연락처로 다시 확인하는 절차와 모의 훈련이 필요하다고 조언합니다.
AI로 합성한 목소리·영상을 이용해 직원에게 송금이나 계정 변경을 요구하는 딥페이크 사회공학 공격이 기업 전화·화상 통화로 확산되고 있다.
가트너 조사에서 보안 책임자의 41%가 음성 딥페이크, 36%가 화상 딥페이크를 이용한 공격 시도를 경험했다고 답했다. 다만 이는 공격 시도 경험이며 실제 금전 피해 비율은 아니다.
공격자가 피싱 메시지, 탈취한 개인정보, AI로 합성한 음성·영상을 결합해 특정 직원을 겨냥한 정교한 요청을 대량으로 만들어 유포하기 때문이다.
가트너는 송금·계정 복구·권한 변경 요청을 받으면 원래 연락 경로와 별도로 등록된 연락처를 통해 요청자를 재확인하는 절차를 갖추고, 직원이 의심스러운 요청을 멈추고 보고하도록 모의 훈련을 실시할 것을 권고했다.
목소리나 영상이 익숙하다는 이유만으로 요청을 승인하지 말고, 딥페이크 사회공학 공격을 신원·접근 위험 관리 체계 안에 포함해 대응해야 한다.
본문
AI로 만든 목소리와 영상을 이용해 직원을 속이려는 공격이 기업의 전화·화상 통화로 확산하고 있다. 상대의 목소리가 익숙하다는 이유만으로 송금이나 계정 변경 요청을 승인해서는 안 된다는 지적이 나온다.
가트너가 올해 3월부터 5월까지 최고정보보안책임자(CISO) 또는 이에 준하는 보안 임원 297명을 조사한 결과, 응답자의 41%는 지난 12개월 동안 직원의 음성 통화에서 딥페이크를 악용한 사회공학 공격을 한 차례 이상 경험했다고 답했다. 화상 통화에서 같은 유형의 공격을 경험했다는 응답은 36%였다. 이는 공격 시도를 경험했다는 응답으로, 금전 피해나 정보 유출이 발생한 비율은 아니다.
기존 피싱도 여전히 주요 위협이었다. 이메일 피싱·표적 피싱·기업 이메일 침해를 최소 한 건 경험했다는 응답은 79%, 전화 피싱과 문자 피싱을 경험했다는 응답은 58%였다.
가트너는 공격자가 피싱 메시지, 탈취한 개인정보, 합성 음성·영상을 결합해 여러 경로로 접근한다고 분석했다. AI를 이용하면 특정 임직원의 업무와 관계에 맞춘 요청을 대량으로 만들 수 있고, 목소리나 영상도 조작할 수 있다. 직원에게 '어색한 문장'이나 '낯선 목소리'를 가려내도록 하는 교육만으로는 대응하기 어려운 이유다.
크레이그 포터 가트너 디렉터 애널리스트는 공격이 앞으로도 사용자 판단과 탈취한 인증 정보, 취약한 계정 복구 절차를 주로 노릴 것이라며, 기업이 AI 기반 사회공학 공격을 신원·접근 위험의 일부로 관리해야 한다고 강조했다.
가트너가 권고한 대응은 중요한 요청을 원래 연락이 온 경로와 별도로 확인하는 절차를 갖추는 것이다. 송금, 계정 복구, 권한 변경 요청을 전화나 화상회의로 받았다면 사전에 등록된 연락처와 승인 체계를 통해 요청자를 다시 확인해야 한다. 직원이 의심스러운 요청을 멈추고 보고할 수 있도록 모의 훈련도 필요하다.
