[국내보안뉴스] "익숙한 목소리도 다시 보자"…기업 노리는 딥페이크 음성·화상 피싱 기승
· 2026-09-28 11:01
· 조회 23
· 원문 ↗
인공지능(AI) 기술의 발달로 상대방의 음성과 얼굴을 정교하게 모방하는 '딥페이크' 기반 사회공학 공격이 기업을 향해 빠르게 확산하고 있습니다. 글로벌 IT 리서치 기업 가트너의 최신 조사에 따르면, 최고정보보안책임자(CISO) 및 보안 임원의 41%가 최근 1년간 음성 통화를 악용한 딥페이크 피싱을 경험했으며, 36%는 화상 통화 형태의 공격 시도를 받았다고 응답했습니다.
이러한 공격은 단순한 개인 대상 피싱을 넘어, 기업 내부의 권한을 가진 임직원을 직접적으로 노린다는 점에서 파급력이 매우 큽니다. 평소 익숙한 상사나 동료의 목소리와 얼굴로 접근하기 때문에 경계심이 쉽게 허물어지며, 이를 이용해 긴급 자금 송금, 계정 권한 변경, 주요 내부 정보 제공 등을 유도하여 막대한 재무적·보안적 피해를 유발할 수 있습니다.
AI 피싱 위협으로부터 조직을 보호하기 위해서는 음성이나 화상 통화 내용만으로 중요 의사결정을 내리지 않는 보안 문화 형성이 필수적입니다. 자금 이체나 계정 설정 변경 등 민감한 요청이 들어올 경우, 반드시 사전에 약속된 교차 확인 채널(Out-of-Band Verification)을 통해 재확인하는 엄격한 승인 절차를 도입해야 합니다. 아울러 AI 기반 모방 공격의 위험성을 인지시키는 지속적인 임직원 보안 교육이 병행되어야 합니다.
♥ 추천 0
사람의 목소리나 얼굴 등 생체 정보를 신뢰할 수 없는 수단으로 전제하는 제로 트러스트(Zero Trust) 아키텍처 재정립이 필요한 시점입니다.
계정 권한 변경이나 계좌 이체 같은 핵심 도메인 로직은 단순 구두 승인을 배제하고, FIDO2 기반 MFA 및 서명된 승인 토큰 검증을 시스템 코드 수준에서 강제해야 합니다.
결국 인간의 직관에 의존하는 프로세스를 배제하고, 모든 민감 요청은 하드웨어 및 암호화 기반의 상호 인증 절차를 거치도록 설계하는 것이 근본적인 방어책입니다.
공격자 관점에서 딥페이크는 OSINT(공개출처정보)로 수집한 단 몇 초의 음성 데이터만으로도 임원 사칭 및 권한 탈취 성공률을 폭발적으로 끌어올리는 강력한 공격 벡터입니다. 특히 '권위'와 '긴급성'을 결합한 실시간 음성·영상 사칭은 피해자가 기존 절차를 우회하도록 유도하거나 MFA 승인을 압박하는 데 매우 유용하게 악용되고 있습니다. 인간의 감각적 신뢰를 무력화하는 공격이 보편화된 만큼, 사전 정의된 대역외(Out-of-band) 콜백 검증 프로세스 없이는 초기 침투를 막아내기 어렵습니다.
AI 기술의 발전으로 '음성과 영상'조차 더 이상 신뢰의 기준이 될 수 없는 완벽한 제로 트러스트(Zero Trust) 환경이 되었습니다. 임직원의 직관에만 의존하는 보안은 한계가 있으므로, 자금 이체나 권한 변경 등 고위험 업무에는 반드시 교차 검증(Out-of-Band)과 다중 승인 프로세스를 거치도록 내부 통제 정책을 강제해야 합니다. 기술적 통제와 더불어 프로세스 중심의 보안 거버넌스를 조속히 재정비하여 AI 기반 사회공학 공격 리스크를 철저히 관리하겠습니다.