北, AI 합성 신분증으로 軍해킹 시도…“피싱 AI, 식별 어렵다” 빨간불

기사의 이해를 돕기 위한 인공지능(AI) 생성 이미지.

KT 무단 소액결제 사태와 롯데카드 대규모 해킹 사태로 사이버 보안에 빨간불이 켜진 가운데, 날로 고도화하는 인공지능(AI) 기술이 해커들의 무기로 악용될 가능성이 커진 만큼 기업과 기관의 대응 역량 강화가 필요하다는 지적이 나온다.

20일 보안업계 등에 따르면 과거에는 문법 오류·어색한 억양 등으로 이메일 피싱 또는 보이스피싱 등을 잡아낼 수 있었다면, 챗GPT 등 생성형 AI가 고도화해 언어와 음성 등을 자유자재로 만들어낼 수 있게 돼 이러한 허점을 메우고 있는 것으로 나타났다. 전문가들은 “AI가 만든 해킹을 인간이 직감적으로 구별해내기 어렵다”고 우려하고 있다.

최근 생성형 AI로 기업의 소통 방식과 개인의 온라인 활동 흔적 등을 토대로 학습해 실제 업무 관련 메일과 유사한 피싱 메일을 만들어내는 사례가 자주 포착되고 있다.

특정 임직원의 이름, 직위, 업무 내용까지 포함하는 스피어 피싱(Spear Phishing) 공격이 생성형 AI를 기반으로 정교해지고 있기 때문이다.

지난 15일 지니언스 시큐리티센터(GSC)의 보고서에 따르면, 최근 북한 정찰총국 산하 해킹조직 ‘김수키’ 그룹이 AI로 합성한 가짜 군무원 신분증 이미지로 군 관계 기관에 스피어피싱을 시도한 것으로 나타났다. 군무원 신분증 시안을 검토해달라는 업무 요청인 것처럼 꾸며 악성 파일을 심은 피싱 메일을 보낸 것인데, 시안 속 첨부한 사진이 AI로 합성한 딥페이크 이미지였다.

AI로 특정인의 음성 샘플을 활용해 목소리를 완벽하게 재현하는 음성 합성 기술도 상용화된 상태다. 보이스피싱이 가족의 목소리로 위장해 울먹이는 듯한 가짜 음성을 재생하는 수준에서 이제는 실제 목소리와 구분하기 힘든 합성 음성을 범죄에 활용하는 수준으로 진화했다.

전문가들은 AI가 해커의 무기로 악용될 수 있지만, 반대로 AI를 활용해 사전에 위협을 탐지하고 공격을 막아낼 수 있도록 하는 방어 시스템을 구축해야 한다고 지적한다.

한국인터넷진흥원(KISA)은 최근 발간한 ‘2025 사이버 위협 동향 보고서’에서 “가까운 시일 내 AI를 활용하는 수준을 넘어서 AI가 주도하는 보안의 시대가 펼쳐질 것”이라며 “공격자들은 AI와 더욱 정교한 피싱 이메일과 악성코드 등을 만들어 침투하려 들 것이고, 반대로 방어 진영에서는 AI와 함께 공격 패턴을 미리 예측하고 대응을 자동화하는 수호자 AI 기술로 이에 맞서려 할 것”이라고 내다봤다.

이후민 기자