“피싱 메일 작성 도와드려요”… 사이버 범죄 특화 생성형 AI 등장

웜GPT, 사기GPT 잇따라 등장
구독형 모델로 일정 금액 내면 사용 가능
특정 언어 몰라도 정교한 문장 구사 가능
“자동 경고 시스템, 키워드 필터 기능 갖춰야”

사이버 공격에 악용될 수 있는 생성형 인공지능(AI)이 잇따라 등장해 주의가 요구된다. 해킹 도구로 사용될 수 있는 생성형 AI의 경우 챗GPT 등 일반적인 생성형 AI와 달리, 악의적인 요청에 응답하지 못하도록 하는 보호 장치가 없다는 게 특징이다. 이에 전문지식이 없는 사람들도 쉽게 해킹을 할 수 있어 관련 범죄가 늘어날 전망이다.

25일 미국 보안업체 슬래시넥스트에 따르면 피싱 이메일 공격을 도와주는 ’웜GPT(Worm GPT)’라는 생성형 AI가 최근 발견됐다. 일종의 사이버 범죄 도구로 챗GPT 같은 챗봇 형태다. 웜GPT는 2021년 개발된 오픈소스 대규모언어모델(LLM) GPT-J를 기반으로 만들어졌으며, 정교한 악성 프로그램을 제작할 수 있다. 공격을 시도하려는 자가 특정 언어에 능통하지 않더라도 정교한 이메일을 작성할 수 있게 됐다. 슬래시넥스트는 웜GPT가 다양한 데이터로 훈련됐는데 특히 멀웨어(남에게 피해를 주기 위해 개발된 악성 소프트웨어) 관련 데이터를 많이 사용했다고 전했다.

웜GPT 웹사이트로 추정되는 곳에 따르면 1개월 이용 요금이 75달러, 3개월은 200달러, 6개월은 400달러, 1년은 650달러에 불과하다. 지불 수단은 암호자산만 가능하다. 슬래시넥스트는 “웜GPT가 생성한 이메일은 전문적인 비즈니스 언어를 사용하며 철자나 문법 오류가 없어 일반인들이 피싱 시도라는 것을 식별하기가 어렵다”면서 “AI의 발전이 사이버 공격에도 영향을 미친 만큼 기존보다 더욱 강력한 예방 조치가 필요해진 상황이다”라고 지적했다.

웜GPT와 유사한 또 다른 AI 챗봇도 발견됐다. 글로벌 보안업체 넷엔리치는 ‘사기GPT(Fraud GPT)’라는 AI 도구가 텔레그램과 다크웹 시장을 통해 유포되고 있다고 전했다. 사기GPT는 지인이나 회사에서 보내는 이메일처럼 스피어 피싱, 악성코드 작성 등과 더불어 해킹 도구를 만드는 것을 돕도록 제작된 생성형 AI다. 넷엔리치에 따르면 사기GPT가 3000개 이상 판매된 것으로 파악됐다. 사기GPT는 1개월에 200달러, 3개월에 450달러, 6개월에 1000달러, 1년에 1700달러 수준으로 웜GPT보다는 다소 비싸다.

넷엔리치에 따르면 ‘캐나다킹핀12 그룹’이라는 단체가 웜GPT와 사기GPT를 만든 것으로 알려졌다. 이들은 텔레그램 채널을 개설해 “수준 높은 스피어 피싱 메일을 작성할 수 있다”면서 “사기에 관한 원스톱 쇼핑을 하라”고 홍보하고 있다. 또 “우리는 엠파이어(EMPIRE), WHM, 로레즈(TORREZ), 월드(WORLD), 알파베이(ALPHABAY) 및 버수스(VERSUS)와 같은 다양한 다크웹 시장에서 검증된 공급업체다”라고 주장했다.

이 같은 챗봇의 등장에 대해 당황할 이유가 없다는 시각도 있다. 웜GPT가 활용한 GPT-J는 2년 전에 나온 것이기 때문에 빠르게 발전하는 AI 특성상 낡은 툴에 불과하다는 것이다. 하지만 이 같은 움직임을 간과해서는 안된다는 게 다수의 시각이다. 글로벌 보안기업 체크포인트가 발간한 ‘2023년 시큐리티 보고서’에 따르면 챗GPT를 이용해 이용자의 스마트폰에 저장된 PDF 파일을 빼내거나 파일전송시스템 권한을 빼앗는 악성코드가 제작된 사례가 발견됐다. 챗GPT로 훔친 계좌나 악성코드 등 불법물 거래에 악용할 수 있는 다크웹 플랫폼을 만든 사례도 있다.

업계 관계자는 “생성형 AI를 활용한 낮은 수준의 공격이 많아질 수 있다”면서 “AI의 발전이 사이버 공격에도 영향을 미친 만큼 기존보다 더욱 강력한 예방 조치가 필요하다”라고 했다. 넷앤리치도 “지금은 이런 사이버 공격용 GPT들이 크게 위협적으로 보이지 않지만 확대된다면 이야기가 달라진다”며 “지금까지 많은 공격 기술과 도구들이 그런 식으로 발전해 왔기 때문에 주시해야 한다”고 밝혔다.

다니엘 켈리 슬래시넥스트 연구원은 “광범위하고 정기적으로 업데이트되는 보안 환경을 구축하고 (기업들은) 직원들에게 공격자들이 사용하는 전술을 교육해 항상 보안에 신경을 쓸 수 있도록 해야 한다”며 “내부 경영진이나 비즈니스 관계자를 사칭한 외부 이메일이 도착했을 때 자동으로 경고하는 시스템을 갖춰야 한다”라고 했다. 또 “무의식적으로 메일을 누를 수 있는 ‘긴급’ ‘민감한’ 같은 키워드가 포함된 메시지는 사전에 분류 후 철저한 검사를 해야 한다”라고 덧붙였다.

- Copyright ⓒ 조선비즈 & Chosun.com -