이탈리아의 패션 디자이너 조르조 아르마니와 축구 클럽 인테르 밀란의 전 구단주 마시모 모라티 등 유명 인사는 지난 1월 이탈리아 국방장관 기도 크로세토로부터 전화를 받았다. “이란과 시리아 등에 억류된 이탈리아인 몸값을 치를 수 있도록 돈을 송금해 달라”는 전화였다. 하지만 실제로 전화를 걸어 온 건 국방장관이 아니라 범죄 집단이었다. 이들은 인공지능(AI)을 활용해 크로세토의 목소리를 정교하게 위조했다. 이탈리아 신문 라리퍼블리카 등에 따르면 피해자 중 일부는 범죄자들에게 속아 돈을 보내기도 했다.
AI를 동원한 첨단 보이스피싱 등 사이버 범죄가 전 세계적으로 급증하고 있다. 사이버 보안 기업 크라우드스트라이크에 따르면 지난해 하반기 이들이 잡아낸 보이스피싱 범죄 시도는 같은 해 상반기 대비 442% 증가했다. 오스트리아 빈 소재 인간과학연구소의 미샤 글레니 소장은 파이낸셜타임스 기고에서 “AI가 특정 지역의 억양까지 정확히 재현할 수 있게 되면서, 보이스피싱이 빠르게 늘고 있다”고 지적했다.
◇해커, ‘다크 LLM’이라는 신무기를 쥐다
지난해 7월 페라리의 한 임원은 최고경영자(CEO)인 베네데토 비냐를 사칭한 전화 한 통을 받았다. 발신자는 “중국 사업과 관련한 자금을 송금하라”고 요구했는데, 남부 이탈리아 사람 특유의 억양까지 잘 살린 음성에 실제 CEO의 지시로 오해할 뻔할 정도였다. 블룸버그는 “비냐를 사칭한 목소리가 실제 비냐 CEO의 억양과 매우 흡사해 (임원을 속일 만큼) 설득력이 있었다”고 했다. 다행히 전화를 받은 임원이 전화 음성 속에 섞여 있는 기계음을 알아차리고 송금하지는 않았지만, 이 사건으로 경영진의 목소리를 흉내 내는 보이스피싱 범죄에 대한 우려가 커지게 됐다. 사이버 보안 교육 업체 ‘소셜프루프 시큐리티’의 레이철 토박 CEO는 블룸버그 인터뷰에서 “범죄자들이 AI를 이용해 ‘음성 복제’를 시도하는 사례가 늘고 있다”고 했다.
보이스피싱을 비롯해 문자메시지나 딥페이크(AI를 활용해 만든 가짜 콘텐츠) 영상, 가짜 소셜미디어 콘텐츠를 동원해 피해자를 속이는 각종 사이버 범죄가 빠르게 늘고 있다. 그 배경에는 목소리 복제나 딥페이크 영상을 뚝딱 만들어주는 생성형 AI가 있다. 크라우드스트라이크는 ‘2025 글로벌 위협 보고서’에서 “수많은 연구에서 생성형 AI가 피싱 범죄를 효과적으로 지원한다는 점이 증명됐다”고 했다. 실제로 해커들은 이제 시스템을 직접 해킹하기보다, 피싱을 통해 피해자가 스스로 접근 권한을 넘기도록 유도하는 방식으로 수법을 바꾸고 있다. 영국 정부가 지난 4월 발표한 ‘사이버 보안 침해 사례 조사’에 따르면, 영국 내 기업 10곳 중 4곳(43%)이 최근 1년 사이 사이버 공격을 당했으며, 이 가운데 85%가 피싱 공격이었다. 영국 과학혁신기술부는 “AI를 활용한 사칭 등 정교한 수법의 피싱이 사이버 공격의 주류로 자리 잡고 있다”고 밝혔다.
AI가 사이버 범죄에 본격 활용되면서 피싱과 같은 범죄에 활용되는 대규모 언어 모델(LLM)인 ‘다크(범죄에 악용되는) LLM’도 등장했다. 원래 챗GPT와 같은 AI 프로그램에는 사기 범죄 등에 악용하는 걸 막기 위한 일종의 ‘가드레일’이 갖춰져 있는데, 범죄자들이 프로그래밍을 통해 이러한 보호 장치를 해제해 다크 LLM을 만들어낸다. 지난달 이스라엘 네게브 벤구리온대 연구진은 주요 AI 프로그램의 보호 장치를 해제해 다크 LLM을 만들어내는 과정을 직접 보여주기도 했다. 연구진은 “이러한 다크 LLM은 전 세계 범죄자와 극단주의자에게 힘을 실어줄 수 있다”고 경고했다.
◇“사이버 범죄, 세계 GDP 3위 수준”
사이버 범죄가 합법이고, 이를 통해서만 경제활동을 하는 나라가 있다면 세계 3위 경제 대국이 될 것이라는 게 보안 업계 전문가들 분석이다. 미국 사이버 보안 대기업인 트렐릭스의 지능형 위협 총괄 담당자인 존 포커는 지난 4월 미국 샌프란시스코에서 열린 세계 최대 규모 보안 콘퍼런스인 ‘RSA 콘퍼런스(RSAC)’에서 “만약 사이버 범죄가 합법적인 산업이라면 이는 세계 3위 경제 규모에 육박할 것”이라고 말했다. 포커를 비롯한 업계 관계자들이 예상하는 올해 사이버 범죄 피해 규모 전망치는 10조5000억달러(1경4000조원)다. 미국(29조2000억달러)과 중국(18조7000억달러)의 GDP보다는 작지만, 3위 독일(4조7000억달러)과 4위 일본(4조달러) GDP의 두 배가 넘는 규모다. AI와 같은 첨단 기술을 악용하는 과정에서 사이버 범죄의 규모가 천문학적인 수준까지 커진 셈이다. 실제로 사이버 범죄 한 건당 초래하는 피해 규모도 커졌다. 지난 2월 북한 정부의 지원을 받는 것으로 알려진 해킹 단체인 라자루스 그룹은 가상 화폐 거래소 바이비트에서 15억달러 상당의 이더리움을 탈취하기도 했다.
AI뿐 아니라 블록체인(분산형 디지털 장부) 기술을 둘러싼 해커들과 보안 전문가 간의 ‘기술 전쟁’도 한창이다. 각국 수사기관과 사이버 보안 기업들은 디지털 장부에 기록된 가상 화폐 거래 내역을 추적해 자금 세탁을 차단하려 하고 있다. 하지만 해커들은 이에 대응해 거래 과정에서 여러 사람의 비트코인을 일시적으로 뒤섞어 추적을 어렵게 하는 ‘비트코인 믹서’나 ‘비트코인 텀블러’ 같은 프로그램을 활용하고 있다. 글레니 소장은 “사이버 보안 분야는 끊임없는 ‘창과 방패’의 싸움이 이어지고 있다”며 “보안 업계가 사이버 공격을 방어하는 방법을 찾으면 해커들은 이를 우회할 새로운 수법을 찾아내곤 한다”고 했다.
