어, 분명 우리 사장 목소리였는데…알고 보니 딥페이크 스파이

[교활해진 다크웨어②] 인공지능(AI)·머신러닝(ML)악용한 사이버공격 등장

AI로 보안 시스템 뚫고 딥페이크로 기업 기밀·자금 탈취

보안 업계 "신종 기술 악용한 사이버 공격에 대한 경각심 가져야"

(사진=챗GPT) *재판매 및 DB 금지

[서울=뉴시스]송혜리 기자 = 지난 2월, 홍콩에서 인공지능(AI) 딥페이크·딥보이스 기술로 재현된 화상회의에 속아 340억원을 송금한 사례가 발생했다.

다국적 기업의 홍콩 지사 직원인 피해자는 영국 본사의 최고재무책임자(CFO)를 사칭한 공격자로부터 비밀리에 금융거래를 요구하는 메일을 받았다.

피해자는 이를 피싱 메일로 여겼으나, 이후 진행된 동료 직원들과 함께하는 화상회의에서 메일의 내용과 같은 지시를 받게 되자 의심을 거두고 공격자의 요청대로 5개의 홍콩 은행 계좌로 15건의 이체를 진행해 총 340억원(2억 홍콩 달러)을 송금했다.

공격자는 이체가 완료될 때까지 피해자와 메신저, 메일, 화상 통화로 계속 연락했다. 피해자는 화상회의에 참석한 사람들이 실제 동료들의 얼굴과 목소리가 똑같았기 때문에 의심하지 못했으나, 이후 본사와의 통화를 통해 사기라는 걸 깨닫게 됐다.

홍콩 경찰은 해당 사건과 관련된 6명을 체포했다. 조사 결과 이들은 두 달 동안 8장의 도난된 신분증을 사용해 적어도 20건 이상의 딥페이크 범죄를 저지른 것으로 드러났다.

이는 영화 속 이야기가 아닌, 올해 홍콩에서 실제 있었던 신종 사이버 공격이다. 보안 전문가들은 AI·머신러닝(ML)· 등 최신 기술을 악용하는 공격이 기승을 부리고 있어 주의가 필요하다고 당부했다. 

AI로 보안 시스템 우회하고 악성코드 개발

사이버 공격자는 최신 기술을 활용해 보안 시스템을 우회하거나 악용하려고 시도한다. 대표적인 것이 AI와 머신러닝을 이용한 공격이다.

공격자는 맞춤형 피싱 이메일을 대량으로 생성하고 전송하는 데 AI를 사용하고 있다. 또 머신러닝 알고리즘을 사용해 보안 소프트웨어를 우회하고 탐지를 피하는 악성코드도 개발하고 있다. AI를 통해 시스템의 취약점을 자동으로 스캔하고 공격하는 기술도 활용하고 있다.

딥페이크 공격도 등장했다. 딥페이크란 인공지능(AI) 기술인 딥러닝(deep learning)과 '가짜'를 의미하는 단어인 페이크(fake)의 합성어로, AI를 이용해 사람의 이미지·영상·음성을 합성하는 기술이다.

딥페이크 사이버 공격은 실제와 매우 흡사한 가짜 영상, 음성, 이미지를 만들어 사람들을 속이는 방식이다. 음성을 모방해 신뢰할 수 있는 사람인 척 가장, 기업의 기밀 등 민감한 정보를 얻거나 금전적인 이득을 취하고 합성된 비디오를 사용해 사람들을 속이거나 명예를 훼손한다.

대표적으로 지난해 세계적인 팝스타 테일러 스위프트 얼굴에 음란물을 합성한 딥페이크 이미지가 사회관계망서비스(SNS) 엑스(X, 구 트위터)에서 확산돼 미국사회 뿐만 아니라 전 세계가 발칵 뒤집혔던 사건이 있었다.

신종 기술 기반의 사이버 공격 발생 가능성 인지해야

이같이 신종 사이버공격 예방을 위해서는 개인과 조직 모두가 경각심을 가지고 대비하는 것이 가장 중요하다. AI, 딥페이크 기술을 악용한 공격에 대해 조직 구성원들에게 교육하고, 이런 기술 기반의 가짜 콘텐츠 식별 방법을 숙지하도록 안내해야 한다.

AI를 악용한 사이버 공격 예방을 위해선 AI 기반의 행동 분석 도구 등 보안 시스템 도입해 비정상적인 활동을 실시간으로 감지하고 차단하는 것이 필요하다. 또 정기적인 소프트웨어와 시스템 업데이트로 보안 패치를 빠르게 적용해 취약점을 최소화해야 한다.

딥페이크 공격에 당하지 않기 위해서는 딥페이크 영상을 탐지할 수 있는 소프트웨어를 사용해 가짜 영상을 식별할 수 있는 환경을 조성해야 한다. 아울러 출처가 불분명하거나 의심스러운 영상, 음성, 이미지는 신뢰할 수 있는 다른 출처와 교차 검증하도록 해야 한다.

중요한 영상 및 음성 파일에는 디지털 서명을 사용해 원본 여부를 확인할 수 있도록 하고, 딥페이크 의심 콘텐츠를 발견하면 즉시 신고해 관련 기관이나 플랫폼에 알릴 수 있도록 해야 한다.

개인은 온라인에 개인 정보를 과도하게 공개하지 않는 것이 중요하다. 소셜 미디어에 올리는 사진이나 동영상, 개인적인 정보는 최소화하고 개인정보 보호 설정을 철저히 관리해야 한다.


◎공감언론 뉴시스 [email protected]