AI 기술이 대중화되면서 피싱(가짜로 속여 정보나 돈을 빼가는 사기) 범죄도 훨씬 정교해지고 있습니다. 예전에는 어색한 말투나 맞춤법 오류로 알아챌 수 있었지만, 요즘은 AI가 사람의 목소리를 몇 초 분량의 음성만으로 복제하는 '딥보이스'나 얼굴과 영상을 조작하는 '딥페이크'까지 동원해 가족이나 기관 직원을 완벽히 사칭합니다. 대표적으로 자녀의 목소리를 복제해 부모에게 "교통사고 합의금이 급하다"며 돈을 요구하는 사기, 명절 선물·지원금·부고장을 위장한 문자로 악성 앱을 설치시켜 스마트폰을 원격 조종하는 '큐싱' 수법이 늘고 있습니다. AI가 만든 피싱 메일은 사람이 쓴 것보다 성공률이 높고, 기존의 패턴 기반 방어 시스템으로는 막기 어렵다는 우려도 나옵니다.
AI 기술을 악용한 피싱 공격이 이메일, 음성(딥보이스), 영상(딥페이크), 문자(큐싱) 등 다양한 방식으로 고도화되고 있다.
가족의 목소리를 사칭한 긴급 송금 요구, 기관 직원을 사칭한 딥페이크 영상통화, 악성 앱을 통한 스마트폰 원격 조종 등으로 금전적·정신적 피해가 발생한다.
AI가 소량의 음성·영상 데이터로도 특정인을 정밀하게 흉내 낼 수 있게 되었고, 공격자가 명령어만으로 대량의 맞춤형 피싱 메시지를 생성할 수 있게 되었다.
단순 패턴 기반 방어 시스템만으로는 AI의 변칙적 공격을 막는 데 한계가 있어 새로운 대응 방식이 필요하다.
가족이나 지인의 목소리·영상이라도 급전 요구, 명절 관련 문자·QR코드 등은 의심하고 별도 경로로 확인하는 습관이 필요하다.
본문
인공지능(AI) 기술의 급격한 대중화와 함께 사이버 범죄 생태계에는 이른바 ‘새로운 패러다임’이 도래했다. 과거의 피싱 범죄가 어색한 말투나 맞춤법 오류 등으로 구성되어 다소 ‘단조롭다’는 느낌을 주었다면, 최근 등장하는 AI 피싱은 타깃의 직책, 문체, 인간관계까지 정밀 분석하여 침투할 정도로 극도로 ‘정교하다’.
공격자들은 AI를 적극 활용하여 피해자를 철저히 ‘속이다’에 집중하고 있으며, 통화나 이메일의 ‘신뢰도 높이다’ 전략에 사활을 걸고 있다. 빅데이터 감성 연관어 분석(썸트렌드 8월 21일~9월 20일)에 따르면 대중들 역시 AI 피싱에 대해 ‘의심하다’, ‘진화하다’, ‘위협하다’ 등의 키워드로 불안감을 표출하고 있다.
AI 기반 피싱은 메일, 음성, 영상, 모바일 메시지 등 다각적 매체를 통해 매우 고도화된 유형으로 등장하고 있다. 전 세계 피싱 메일의 상당수가 이미 AI에 의해 자동 생성되고 있으며 문법적 오류나 문맥의 어색함이 완전히 사라진 상태에서 특정 기업과 개인에 맞춘 지능형 공격이 이루어진다. 또한 SNS나 동영상 플랫폼에서 단 몇 초 분량의 음성 데이터만 수집하여 특정인의 목소리를 완벽히 복제하는 딥보이스 음성 합성 피싱이 기승을 부리고 있으며, 이를 통해 가족이나 지인의 목소리로 긴급 금전 송금을 요구한다.
더 나아가 목소리뿐만 아니라 실시간 영상통화 화면까지 AI로 조작하여 금융감독원이나 수사기관 직원의 얼굴, 제복, 로고를 가짜로 만들어 신뢰를 유도하는 딥페이크 영상 사기까지 발생하고 있다. 여기에 위조된 배송 안내문이나 공문서에 QR코드를 삽입하여 스캔을 유도하고, 휴대폰이 ‘해킹 당하다’ 상태가 되도록 악성 앱을 자동 설치해 스마트폰을 원격 제어하는 큐싱 수법까지 가세하고 있다.
▲‘AI 피싱’ 연관어 빅데이터 분석 [출처: 인사이트케이]
과거 해커가 개별 타깃을 직접 조사하고 공격 코드를 작성해야 했던 것과 달리, AI 해커는 단순 명령어 한마디로 24시간 내내 무차별적이면서도 정밀하게 개인화된 피싱 메시지를 양산한다. 실제로 AI가 작성한 피싱 메일은 인간이 작성한 기존 피싱 메일보다 공격 성공률이 월등히 높다는 분석이 나온다. 공격의 확산 속도가 너무나 ‘빠르다’ 보니, 단시간에 수많은 사용자가 유출된 개인정보로 인해 피해 입는 비극이 속출하고 있다.
정교하게 설계된 덫에 걸려 전 재산이나 주요 계좌 정보가 침해당한 피해자들은 극심한 금융적·정신적 어려움을 겪는 상황에 직면한다. 또한 단순 패턴 기반 방어 시스템만으로는 AI의 변칙적 공격을 차단하는 데 명확히 ‘한계 있다’는 현실도 피해 규모를 더욱 키우고 있다.
▲배종찬 연구소장 [출처: 인사이트케이]
가족에 대한 사랑을 잔인하게 악용한 신종 AI 피싱 우려도 극에 달하고 있다. 대표적 사례로, 자녀의 SNS 영상 등에서 음성을 추출한 뒤 딥보이스로 “교통사고가 났는데 상대방 합의금이 급하다”고 부모에게 전화를 거는 수법이 있다. 자녀와 똑같은 목소리에 당황한 부모는 평소처럼 ‘의심하다’ 과정을 거치지 못한 채 선뜻 거액을 송금하여 피해를 입는다.
또한 명절 선물 배송 조회, 명절 지원금 신청, 모바일 부고장 등으로 위장한 큐싱 및 악성 링크 문자가 대량 유포되면서, 무심코 링크를 클릭했다가 스마트폰 전체가 원격 제어당해 금전적 위험에 처하는 개인들이 급증하고 있다.
정교하게 위장된 명절 인사에 조금의 ‘의심스럽다’는 정황조차 느끼지 못하고 순식간에 피해를 당하는 사연들은 실로 ‘안타깝다’고 할 수밖에 없다. AI 피싱이 단순히 기술적 허점을 노리는 것을 넘어 가족을 향한 사랑과 사회적 신뢰라는 인류 보편의 감정을 교묘히 악용한다는 점을 인식할 때 비로소 첨단 AI 피싱이라는 위협으로부터 안전한 사회를 만들어 갈 수 있을 것이다.
[글_ 배종찬 인사이트케이 연구소장]
연세대 정치외교학과를 졸업하고 서울대 국제대학원에서 석사 학위를 받았다. 고려대 행정학과 박사과정을 수료했다. 이 외에 미국, 일본, 홍콩 등에서 연구 경험을 가지고 있다. 주된 관심은 정치 시사와 경제정책인데 특히 대통령 지지율과 국정 리더십, 글로벌 경제 분석 그리고 AI 인공지능 및 블록체인 보안 이슈다. 한국교육개발원·국가경영전략연구원·한길리서치에서 근무하고 리서치앤리서치 본부장을 거친 데이터 분석 전문가다. 현재 인사이트케이 연구소장을 맡아 심층 리서치뿐 아니라 빅데이터·유튜브까지 업무영역을 확대하고 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
