“기업 보안 책임자 10명 중 4명 딥페이크 공격에 당했다”

가트너, AI 기반 신종 사회공학 위협 경고… 가짜 식별 넘어 신원 보호 및 대응 체계 재편 촉구

기업의 핵심 정보와 자산을 지키는 사이버보안 최고 책임자들이 인공지능(AI; Artificial Intelligence) 기술을 악용한 딥페이크(Deepfake) 공격에 직접 노출되고 있다. 글로벌 정보기술(IT) 자문기관 가트너(Gartner)의 최근 조사에 따르면, 기업의 최고정보보안책임자(CISO; Chief Information Security Officer) 중 41%가 최근 1년 동안 정교하게 조작된 음성 통화 공격을 겪은 것으로 나타났다.

이번 조사는 가트너가 사이버보안 고위 임원 297명을 대상으로 진행했다. 조사 결과, 화상 통화를 통해 얼굴을 가짜로 만들어 속이는 딥페이크 공격을 경험했다는 응답도 36%에 달했다. 인공지능 기술의 발전이 사이버 범죄자들의 공격 수단을 한층 더 치밀하게 만들고 있음을 보여준다.

음성과 화상 통화까지 침투한 AI 기반 다중 채널 공격

기존의 사이버 공격은 주로 가짜 이메일이나 문자 메시지를 보낼 때 오탈자가 있거나 문맥이 어색한 경우가 많았다. 하지만 최근 공격자들은 인공지능을 활용해 공격의 정교함과 설득력을 크게 높이고 있다. 이메일 피싱뿐만 아니라 진짜 사람의 목소리를 똑같이 시늉하는 음성 피싱인 비싱(Vishing), 가짜 영상을 합성하는 딥페이크 기술을 복합적으로 결합하여 직원을 속인다.

실제로 조사 대상 CISO의 79%는 이메일을 악용한 피싱이나 특정 대상을 노리는 스피어 피싱(Spear Phishing)을 겪었다고 답했다. 문자 메시지를 통한 스미싱(Smishing)이나 음성 비싱 공격을 경험한 비율도 58%로 높게 나타났다. 공격자들은 유출된 개인정보와 AI 합성 미디어를 결합하여 임직원의 의심을 피하는 다중 채널 공격을 펼치고 있다.

CISO가 당장 실행해야 할 3가지 AI 보안 대응 전략

가트너는 정교해지는 AI 기반 사회공학(Social Engineering) 공격에 대응하기 위해 기업 보안 임원들이 세 가지 핵심 조치를 추진해야 한다고 강조한다.

첫째, 정형화된 보안 교육을 행동 중심의 보안 문화로 바꿔야 한다. 눈이나 귀로 가짜 신호를 직접 가려내는 일은 AI의 발전으로 더욱 어려워졌다. 따라서 고위험 업무나 중요 결제 요청이 들어오면 유입 경로와 관계없이 무조건 공식적인 확인 절차를 거치도록 업무 수칙을 정착시켜야 한다.

둘째, 직원의 신원 확인과 계정 복구 체계를 대폭 강화해야 한다. 비밀번호 재설정이나 권한 변경, 결제 승인 같은 중요 절차에는 피싱이 불가능한 다중 인증 기술을 도입해야 한다. 정상적인 로그인 이후에도 계정이 도용되어 악용되는지 지속적으로 감시하는 제어 장치가 필요하다.

셋째, AI 매개 위협에 대응할 수 있도록 탐지 및 사고 대응 체계를 정비해야 한다. 의심스러운 연락이나 사칭 신고가 들어오면 계정 복구 이력과 금융 거래 정보 등을 연계해 종합적으로 분석해야 한다. 또한 사람 대신 업무를 수행하는 AI 에이전트(AI Agent)가 침해되거나 정해진 범위를 벗어나 악용되는 상황에 대비한 대응 매뉴얼도 새롭게 마련해야 한다.