[학원 정보 유출 타고 침투한 납치 사칭 피싱]
"○○ 엄마 핸드폰 맞죠?" 최근 학원 상담 예약을 해두었던 한 학부모는 모르는 번호로 걸려 온 전화를 무심코 받았다가 가슴이 철렁 내려앉았다. 수화기 너머로 아이가 서럽게 우는 소리가 들려왔기 때문이다. 놀라 당황한 부모가 아이의 이름을 부르자, 한 남성이 전화를 넘겨받아 협박을 시작했다. 그는 "아이가 내 발을 밟고 욕까지 해서 차에 감금했다. 차를 타다 놀라 실수를 했으니 세차비를 내놓으라"며 소리를 질렀다. 실제 자녀의 이름을 정확히 알고 있는 데다 아이의 울음 소리까지 들려오자 부모는 순간적으로 사고가 발생한 것으로 믿었다. 마침 집 안에 있던 아이가 방에서 나와 "엄마 왜 그래요?"라고 묻지 않았다면 속수무책으로 당할 뻔한 순간이었다.
최근 유명 학원 등에서 수십만 건의 개인정보가 유출된 뒤, 자녀의 이름·학교·학년 등 구체적인 인적 사항에 AI로 조작한 자녀의 울음소리까지 결합한 '맞춤형 납치 사칭 피싱'이 학부모들의 불안을 극대화하고 있다. 어설픈 한국어 문장이나 어색한 말투, 번호 가리기 수준에 머물렀던 과거 보이스피싱의 시대는 끝났다. 생성형 AI 기술과 정교한 개인정보 수집이 결합하면서, 일상 속 정황을 완벽히 모방하는 보이스피싱 범죄가 우리의 일상에 침투하고 있다.
[단 3초 만에 목소리 복제… 진화하는 AI 사이버 위협]
보안 전문가들은 생성형 AI 기술이 사이버 위협의 구조를 근본적으로 바꾸어 놓았다고 지적한다. 가장 대표적인 위협은 딥페이크와 딥보이스의 대중화다. 과거에는 고성능 서버와 다량의 고화질 데이터가 필요했던 기술이지만, 이제는 단 3초 분량의 짧은 음성 파일만으로도 특정인의 목소리와 호흡, 억양을 95% 이상의 유사도로 재현해낸다. 이에 더해 타깃의 SNS나 유출된 개인정보를 자동 수집·분석해 거부감을 느끼기 어려운 맞춤형 시나리오를 AI가 실시간으로 작성하는 '딥파싱(Deep Phishing)'까지 등장했다. 최근 해외에서는 해커가 생성형 AI로 기업 재무 담당자의 상사 얼굴과 목소리를 실시간 딥페이크로 합성해 비디오 커뮤니케이션을 진행한 뒤, 수백억 원의 거액을 송금받은 다국적 사기 사건까지 발생했다. 또한 전문적인 보안 지식이 없더라도 AI의 코딩 능력을 악용해 악성코드나 피싱 사이트를 제작할 수 있게 되면서 범죄의 진입장벽마저 급격히 낮아졌다.
[일상 속 무심코 올린 SNS… 보이스피싱의 무기가 되다]
문제는 이용자들이 일상적으로 남기는 '디지털 발자국'이 해커에게 치명적인 공격 무기를 제공한다는 점이다. 특히 인스타그램, 블로그, 유튜브 등 SNS에 무심코 올린 게시물들은 AI 딥파싱 범죄의 핵심 표적이 된다. 실시간 위치 공개, 자녀의 입학·졸업 사진, 가족 여행 일정, 직장 동료와의 일상 대화 등 전체 공개된 개인정보는 해커가 피해자의 신뢰를 얻기 위한 완벽한 밑거름이 된다. SNS에 올린 자녀의 동영상 속 목소리는 딥보이스 합성에 쓰이고, "지금 어디로 여행 간다"는 글은 가족의 부재를 노린 범죄 시나리오로 재구성되는 식이다. 내가 일상을 공유하기 위해 올린 사진과 정보들이 역설적으로 나 자신과 가족을 노리는 정밀 타겟팅 범죄의 무기로 돌아오는 셈이다.
[AI 공격에는 AI 방어로… 금융·수사·통신 ‘삼각 동맹’의 즉각 반격]
AI의 정교해진 공격에 맞서, 방어 체계 역시 AI 기반의 실시간 통합 연동 시스템으로 고도화되는 추세다. 금융위원회에 따르면, 금융·수사·통신 기관이 의심 정보를 실시간 공유하는 보이스피싱 정보 공유·분석 인공지능 플랫폼(ASAP)이 출범한 지 9개월 만에 약 46만 3,000건의 의심 정보가 공유되어 7,000건 이상의 계좌 지급정지와 663억 6,000만 원 규모의 피해 차단 성과를 거뒀다. 한 은행이 보이스피싱 의심 계좌를 ASAP에 등록하면, 다른 은행이 피해자의 이체 순간 즉시 이상을 감지해 차단하고, 경찰청과 통신사의 정보 연계를 통해 악성 앱 설치나 신규 개통 여부까지 확인해 범죄를 조기에 예방하는 식이다.
민간 기업들의 실시간 기술 대응도 신속하게 이뤄지고 있다. 우리은행은 이상금융거래탐지시스템(FDS)과 자금세탁방지(AML) 부서 간 협업으로 탐지 정확도를 대폭 끌어올렸고, LG유플러스는 경찰·은행과 손잡고 악성 앱 제어 서버 탐지시스템을 가동해 고객의 거액 송금을 방지하고 있다. 더불어 통신사기피해환급법 개정안 시행으로 통신사가 파악한 피싱 의심 번호가 즉시 FDS와 연동되는 등 범죄를 예방하는 사회적 방어망이 실시간으로 촘촘해지고 있다.
[편리함 넘어선 의심과 검증의 기술]
AI 기술이 가져다주는 편리함은 막대하지만, 보이스피싱 기술의 진화 속도는 상상을 초월한다. 보이스피싱 피해 방지 대책으로 전문가들은 제도적·기술적 방어망의 구축만큼이나 개인적 차원의 보안 리터러시를 강조한다. 금융감독원과 경찰청(통합 신고번호 1394) 역시 자녀 납치나 사고를 빙자한 금전 요구 전화를 받으면 '즉시 전화를 끊고 직접 확인하는 것'이 최선이라고 당부한다. 개인정보나 자녀의 목소리와 유사한 음성을 상대방이 제시하더라도 즉시 송금하지 말고, 자녀 본인이나 학교·학원에 직접 연락해 사실관계를 먼저 확인해야 한다.
화면 너머의 정보나 수화기 너머의 목소리를 무조건 신뢰하기보다 한 번 더 의심하고 검증하는 태도를 일상화하는 것이야말로 고도화된 AI 침입자로부터 스스로와 가족을 지키는 가장 확실한 방화벽이다.
[매경플러스 프렌즈 1기=연세대 전영은]
