마이크로소프트, ‘AI 기반 사기 수법: 진화하는 위협과 대응 전략’ 보고서
AI로 딥페이크 활용 피싱, 실제 기업 모방한 가짜 웹사이트 구축 가능

[보안뉴스 한세희 기자] AI로 만든 가짜 구직 공고를 보고 지원한 구직자가 AI로 생성된 가짜 면접자와 화상 면접을 보며 개인정보 입력을 요구받는다. 좋아하는 브랜드를 싸게 파는 온라인 쇼핑몰을 발견해 구매했는데, 알고 보니 AI가 만든 사기 사이트여서 개인정보를 털렸다.

최근 종종 볼 수 있는 사이버 공격 유형들이다. AI가 사이버 범죄자의 일손을 덜어주는 공범이 된 것이다.


[자료: 마이크로소프트]

마이크로소프트는 16일 발표한 ‘AI 기반 사기 수법: 진화하는 위협과 대응 전략’ 보고서에서 “AI가 사이버 범죄자의 공격 생산성을 높이는 도구로 쓰이며 기술적 진입 장벽을 낮추고 있다”며 “현실감 있게 위장된 공격 메시지나 콘텐츠를 보다 빠르고 적은 비용으로 만들어낼 수 있어 사이버 공격의 속도와 정밀도가 높아지고 있다”고 밝혔다.

AI로 실감나는 소셜 엔지니어링 가능
실제로 마이크로소프트가 최근 1년 간 차단한 사기 시도가 40억달러 규모에 이르고, 봇을 이용해 계정을 만들려는 시도도 시간당 160만건씩 막고 있다.

AI는 전자상거래, 구직 및 채용, 기업 내 기술 지원 등을 가장한 사이버 공격에 많이 쓰이고 있다.

AI가 웹에서 기업 정보를 수집해 직원의 상세한 프로필을 자동으로 생성해 소셜 엔지니어링 공격 성공률을 높일 수 있다. 진짜 같은 상품 소개와 리뷰, 상담 챗봇 등을 활용해 유명 브랜드 쇼핑몰을 사칭하기도 한다.

AI로 가짜 채용 공고를 대량 등록하고 가짜 인사 담당자 프로필을 만들며, 생성 AI 영상으로 화상 면접을 보기도 한다. 이 과정에서 지원자 확인 명목으로 은행 계좌 정보 등 개인정보를 요구하기도 한다.


[자료: 마이크로소프트]

존재하지 않는 기술적 이슈나 오류를 핑계로 접근해 기기 접근 권한을 탈취하는 공격도 흔하다.

사이트 주소, 리뷰 꼼꼼히 확인해야
마이크로소프트 역시 AI와 머신러닝 등을 접목해 AI 기반 사기에 대응하고 있다. 에지 브라우저는 웹사이트 주소 오타 보호 기능이 적용됐고, 숨은 인터페이스로 사용자를 속이는 악성 페이지를 차단하는 ‘스케어웨어 차단기’(Scareware Blocker) 기능도 제공한다.

웹사이트 평판 정보와 행위 기반 분석을 기반으로 피싱 사이트 접속을 사전 차단하는 클라우드 보안 기능 ‘마이크로소프트 디펜더 스마트스크린’도 에지와 윈도우에 적용됐다.

소비자나 구직자로서 위협을 피하는 팁도 공유했다. 온라인 쇼핑을 할 때엔 ‘한정 수량’, ‘시간 한정 할인’ 등 급박함을 조성하는 문구에 현혹되지 말고, 사이트 주소나 리뷰를 정확히 확인해야 한다. 리뷰나 인플루언서 추천 역시 AI로 조작됐을 가능성을 의심해야 한다.

구직자는 지나치게 조건이 좋은 공고를 피해야 한다. 회사 공식 계정이 아닌 개인 이메일이나 메신저 계정으로 소통하거나, 채용 전 교육비 등 명목의 금품이나 개인정보를 요구하는 경우도 사기 확률이 높다. 화상 면접 상대방 표정이나 억양이 부자연스럽다면 주의해야 한다.

[한세희 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>