"전무님이 300억 보내라고 하셨잖아요"…보고도 속는 딥페이크 범죄

올 상반기에 딥페이크 공격 성행…"보안 대책 필요한 시점"

실제 지난 2월 홍콩서 딥페이크 CFO 범죄 발생…340억원 송금

경각심 가지는 것이 첫 걸음…AI 기술로 가짜 영상·음성 판독해야

[서울=뉴시스]송혜리 기자 = #지난 2월 홍콩, 딥페이크(Deepfake)로 만든 얼굴에 속아 340억원을 송금하는 사고가 발생했다.

범죄 조직은 홍콩의 한 금융회사 최고재무책임자(CFO)를 딥페이크로 구현해 직원들을 속였다. 직원들은 딥페이크가 실제 CFO라고 믿었고, 총 2억 홍콩 달러(한화 약 340억원)를 송금했다. 영화 속 이야기 같은 '딥페이크 CFO' 범행은 직원이 나중에 회사 본사에 확인했을 때에야 발견됐다.

홍콩 경찰은 해당 사건과 관련된 6명을 체포했다. 조사 결과 이들은 두 달 동안 8장의 도난된 신분증을 사용해 적어도 20건 이상의 딥페이크 범죄를 저지른 것으로 드러났다.

깜쪽같이 속았다…AI 딥페이크 범죄 '기승'

SK쉴더스가 최근 공개한 '보안 트렌드' 보고서에 따르면 올해 상반기에는 딥페이크 해킹 공격, 가상자산 탈취 등이 성행했다.

딥페이크란 인공지능(AI) 기술인 딥러닝(deep learning)과 '가짜'를 의미하는 단어인 페이크(fake)의 합성어로, AI를 이용해 사람의 이미지·영상·음성을 합성하는 기술이다.

딥페이크 기술은 실제 영상과 구분하기 어려울 정도로 정교해지고 있다. 예전에는 딥페이크 영상에서 얼굴 표정이나 동작이 부자연스러운 게 많았다면 요즘은 자세히 살펴봐야만 가짜라는 걸 아는 경우가 많다는 게 전문가들의 진단이다.

딥페이크 서비스의 진입장벽도 낮아지고 있다. 스마트폰 앱 스토어에서 '딥페이크'라고 검색하면 수십여개의 관련 서비스 앱이 뜰 정도다. 누구나 쉽게 스마트폰에서 딥페이크 서비스를 이용할 수 있다. 이들 서비스는 '얼굴 바꾸기·성별바꾸기' '목소리전환' 등의 기능도 제공한다.

이처럼 육안으로 진위 여부를 판단하기 어려울 정도로 딥페이크 영상 기술이 발전하면서 이를 악용하는 범죄도 증가하고 있다. 대표적으로 지난해 세계적인 팝스타 테일러 스위프트 얼굴에 음란물을 합성한 딥페이크 이미지가 사회관계망서비스(SNS) 엑스(X, 구 트위터)에서 확산돼 미국사회 뿐만 아니라 전 세계가 발칵 뒤집혔던 사건이 있었다.

또 헐리우드 배우 스칼렛 요한슨이 자신의 사진과 목소리를 AI 기술로 변조, 이를 광고에 사용한 AI 앱 제작사에 법적 조치를 취했으며, 톰 행크스도 자신의 얼굴을 무단 도용한 AI 아바타가 치과 보험을 홍보하는 영상이 무단 유포되고 있다고 경고했다.

앞으로는 딥페이크 기술이 일반인들을 겨냥한 피싱 범죄에도 악용될 소지도 다분하다. AI가 개인정보를 광범위하게 수집한 결과로 만들어낸 피싱메일은 마치 잘 알고 지낸 사람이 보낸 인사메일로 둔갑할 수 있고, 짧은 인사말 한마디로 복제한 음성은 가족들을 속여 몸값을 받아내는데 활용될 것이란 게 보안 전문가들의 경고다.

이호석 SK쉴더스 EQST팀장은 "최근 딥페이크나 딥보이스 관련된 사고가 증가하고 있다"면서 "해당 기술을 악용한 공격에 대해서 주의가 필요하며, 보안 대책에 대해서도 고민이 필요한 시점"이라고 말했다.

조직과 개인 모두 경각심 가지는 것이 예방 첫걸음

딥페이크 공격을 예방하기 위해선 개인과 조직 모두가 경각심을 가지고 대비하는 것이 가장 중요하다.

먼저, 온라인에 개인 정보를 과도하게 공개하지 않는 것이 중요하다. 소셜 미디어에 올리는 사진이나 동영상, 개인적인 정보는 최소화하고 개인정보 보호 설정을 철저히 관리해야 한다. 또 최신 보안 소프트웨어를 설치하고 업데이트해 악성 소프트웨어로부터 기기를 보호해야 한다. 보안 소프트웨어는 딥페이크 공격에 사용될 수 있는 정보 탈취 등 해킹 시도를 막는 데 도움을 준다.

기업은 직원들이 딥페이크 기술과 위험성에 대해 인지하고 이를 식별할 수 있도록 교육을 하는 것이 필요하다. 아울러 AI와 머신러닝(ML)기반의 딥페이크 탐지 소프트웨어를 사용해 영상이나 음성의 진위여부를 판별할 수 있으며, 동시에 중요한 시스템 접근 시 이중 인증을 사용해 보안을 강화하는 것도 필요하다.

소셜 미디어와 콘텐츠 공유 플랫폼은 딥페이크 콘텐츠를 모니터링하고 제거할 책임을 강화해야 한다. 아울러 플랫폼은 사용자 신고 시스템을 개선하고, 딥페이크 콘텐츠에 대한 신속한 대응 체계를 마련해야 한다.

정부도 딥페이크 기술의 악용을 막기 위한 관련 법률을 강화하는 등 제도적 보완책 마련에 나서고 있다. 또 딥페이크를 탐지하고 차단할 수 있는 기술을 개발하기 위한 연구 지원도 하고 있다.


◎공감언론 뉴시스 [email protected]