“OOO처럼” 명령하면 똑같은 ‘피싱사이트’… 공범되는 AI

■ 일상이 된 AI - (上) 음지부터 파고드는 챗GPT
AI챗봇의 자동화 기능 활용해
자소서 대필 등 개인일탈 넘어
찍어내듯이 피싱사이트 양산
키워드 자동추출 등 범죄 활용

대기업에 다니는 김현진(39) 씨는 21일 구글에 ‘백종원 불고기 레시피’를 검색했다. 구글이 찾아 준 한 사이트를 클릭하자, 불고기 레시피 대신 ‘2023년 구글 크롬 연간 방문자 설문조사’ 당첨을 안내하는 내용이 떴다. 이 사이트는 “2700원에 아이폰을 구매하게 해주겠다”며 이름, 전화 번호, 신용카드 번호 입력을 요구했다. 김 씨는 최근 신형 아이폰을 사기 위해 가격 비교 등을 한 바 있어 개인정보 입력 직전까지 갔다가, 사이트 도메인이 의심스럽다는 생각을 하게 됐다.

우리나라 사람들이 즐겨 검색하는 키워드인데, 도메인이 ‘.lt’(리투아니아), ‘.fi’(핀란드)로 끝나는 게 이상했다. 피싱 사이트일 수 있겠다고 의심한 김 씨는 ‘백종원 불고기’로 검색된 다른 사이트를 살펴봤고, ‘설문조사 당첨’ 글이 똑같이 있는 점을 확인했다.

검색어와는 전혀 관련이 없는 사이트로 안내해 광고 수익을 얻거나 개인정보를 빼가는 수법이 온라인에서 활개를 치고 있다. 업계에서는 대화 생성형 인공지능(AI) 챗봇 ‘챗GPT’의 자동화 기능을 활용, 이 같은 사이트가 대거 생겨나고 있다고 보고 있다. 장병탁 서울대 AI연구원장은 “챗GPT를 악용해 이 같은 피싱 사이트를 만드는 사례가 다수 있는 것으로 파악된다”고 지적했다.

21일 구글에 ‘백종원 불고기 레시피’를 검색하면 연결되는 사이트. ‘크롬 연간 방문자 설문조사’에 선정됐다며 짧은 설문조사에 응하면 아이폰14 프로를 2700원에 구매할 수 있는 기회를 줄 테니 개인정보를 입력하라고 요구한다. 사이트 캡처

‘육군 기술행정병’ ‘리튬 건전지’ 등을 검색해도 마찬가지였다. “아이폰에 당첨됐다”는 페이지가 찍어낸 듯 여럿 나왔다. 이 중 몇몇은 구글 검색창 내에서 7000여 개의 리뷰가 있다고도 나와 마치 진짜 사이트인 것처럼 보이지만, 사실은 전부 피싱 사이트들이다.

자소서를 대필하는 등 개인 일탈 수준을 넘어, 챗GPT가 직접 범죄에 악용되고 있는 것으로 나타났다. 조회 수(트래픽)를 발생시킬 만한 키워드를 자동 추출하고, 피싱 사이트를 찍어내듯 양산한 뒤, 이를 대량으로 확산시키는 일련의 과정이 챗GPT로 간편화·자동화돼 대비책 마련이 시급하다는 지적이 나온다.

챗GPT 주요 기능 중 하나는 크롤링(데이터 추출)으로, 인터넷 환경에서 높은 트래픽이 기대되는 키워드를 자동으로 분석해준다. 기존에는 트래픽이 발생할 만한 키워드를 제작자가 일일이 생각해야 했다면, 챗GPT 등장 이후론 이를 자동으로 추출해 피싱 사이트를 양산할 수 있는 구조가 된 것이다. 챗GPT(2월 13일 버전)에 ‘한국인이 클릭하게 만드는 몇 가지 키워드를 주세요’라고 요청하면 일단 거절하지만, 질문을 조금씩 바꾸면 쉽게 트래픽을 발생시킬 만한 키워드 목록을 받을 수 있다. 실제 유튜브에는 챗GPT로 이 같은 피싱 사이트 등을 양산해 광고료와 부당 이득을 얻는 방법을 소개하는 강의가 넘쳐나고 있다.

한 영상에서는 챗GPT에 html코드를 받아 피싱 사이트 로그인 페이지를 만드는 방법을 소개하는데, ‘넷플릭스와 유사하게(Netflix-like)’라고 요구하면 넷플릭스와 같은 스타일로 꾸미는 것까지 가능하다.

전수한 기자 hanihan@munhwa.com