동남아 AI 금융 사기, 다음 순서는 한국입니다

오간 이야기

Frederick Chung 대표님은 10년 넘게 은행의 금융범죄 대응을 해왔습니다. 태국 왕립군, 아세안 인터폴, 말레이시아 규제당국과 일하고 태국에서는 은행 컨소시엄을 직접 운영합니다. 공대를 중퇴했다가 회계와 금융으로 다시 들어가 졸업반에 창업했고 올해로 11년째입니다. 시작할 때는 사이버 보안이나 사기에 대해 아는 것이 없었다고 했습니다. 자기소개 중에 Bloom의 이름이 AI Blue에서 시작해 Bloom으로 간다는 이야기가 좋다고 하더니, 안타깝게도 자신의 일은 AI Blue 쪽이라고 농담했습니다.

발표는 중국 정부가 만든 공익광고로 시작했습니다. 어머니가 영상통화로 딸과 이야기하고, 딸이 형편이 빠듯하다며 돈을 보내달라고 합니다. 계좌번호를 넣고 전송을 누르기 직전에 초인종이 울리고, 문 앞에 진짜 딸이 서 있습니다. 노트북에서는 여전히 누군가가 딸의 얼굴과 목소리로 말하고 있습니다. 정부가 자국민 경고용으로 이런 광고를 만든다는 것은 그만큼 흔하다는 뜻입니다. 이어서 나온 숫자가 이날 가장 강했습니다. 목소리를 복제하는 데 필요한 시간은 4초입니다.

복제하는 것이 음성 프로필 전체가 아니라 톤과 음색뿐이라는 설명이 이해를 바꿨습니다. 4초로 톤만 뽑아낸 뒤 실제 사람이 음성 변조기를 써서 그 톤에 자기 말투를 실어 말합니다. 특정 인물을 흉내 내고 싶으면 그 사람처럼 발음할 필요 없이 음성 프로필만 가져오면 됩니다. 라이브 통화 딥페이크가 자연스러운 이유가 여기 있었습니다. 기계가 아니라 사람이 말하고 있기 때문입니다. 목소리는 대부분 소셜미디어에서 구하고, 로보콜로 받은 응답을 녹음해 다크웹에 팔기도 합니다. 그래서 공인이 아니라면 프로필을 비공개로 두고 본인 영상을 올리지 말라고 했습니다. 한국은 K팝과 엔터테인먼트를 수출하는 나라라 세계에서 가장 성숙한 음성 복제 모델이 있고, 콘텐츠가 적은 태국은 오히려 복제가 어렵다고 덧붙였습니다.

기술이 화려한 쪽으로는 딥페이크 투자 사기가 있습니다. 유명인을 사칭한 코인 홍보 영상을 만들어 소셜미디어에 뿌리고 광고까지 돌립니다. 싱가포르에서는 총리를 사칭한 줌 콜이 실시간으로 열렸습니다. 가장 흔하지는 않지만 한 번에 가장 크게 털립니다. 여전히 제일 많은 것은 정부·경찰·이민국·회사를 사칭하는 전화이고, 뿌리는 데이터 유출입니다. 정보가 새어 있으니 상대가 나를 아는 것처럼 말할 수 있습니다. 본인도 싱가포르 이민청을 사칭한 로보콜을 받았는데, 중국어를 하느냐고 묻는 순간 가짜인 것을 알았다고 했습니다. 진짜 이민청이라면 물어볼 필요가 없는 질문이었습니다.

개인 피해로만 듣고 있다가 방향이 바뀐 대목이 있었습니다. 어느 대기업 보안 책임자가 소셜미디어에 휴가를 간다고 올렸고 프로필은 공개 상태였습니다. 공격자는 그의 영상에서 목소리를 복제해 휴가 중인 그를 사칭하고 직원에게 전화를 걸어, 자격증명이 잠겼으니 OTP를 알려달라고 했습니다. 목소리도 맞고 휴가도 맞고 휴가지 이야기까지 자연스러워서 직원은 재설정을 해줬습니다. 곧 알아챘지만 늦었습니다. 백도어를 심는 데는 10분이면 충분하고, 실제 침해는 6개월 뒤에 그 백도어를 통해 일어났습니다.

탐지에 대한 대비가 이날의 핵심이었습니다. 통제된 환경에서는 99%가 넘게 잡히지만, 실제 환경에서는 50~60%로 떨어집니다. 네트워크 품질이 탐지에 필요한 신호를 깎아내기 때문이고, 그래서 사기범들은 일부러 열악한 네트워크 뒤에 숨습니다. 문제는 은행이 하루에 처리하는 건수입니다. 걸러지지 않고 남는 것을 사람이 전부 봐야 하는데 그만한 인원을 둘 수 있는 은행은 없습니다. 99%는 훌륭한 숫자지만 운영상 실용적이냐고 물으면 아니라는 것이었습니다. 은행에 필요한 것은 99.999% 같은 숫자이고, 그러지 못하니 병목은 기술이 아니라 은행의 사기 대응 운영팀이 됩니다.

그래서 얼굴이 아니라 기기를 봅니다. 디지털 경제에서 봐야 할 것은 사람이 아니라 그 사람이 쓰는 폰이라고 했습니다. 기종과 화면 해상도가 맞는지, 탈옥이나 루팅이 됐는지, 개발자 모드가 켜져 있는지를 봅니다. 여기에 행동 생체정보가 붙습니다. 거래가 일어나는 순간 폰이 전혀 움직이지 않으면 이상하고, 책상에 엎어져 충전 중인 폰에서 결제가 일어나면 문제가 있습니다. 이름을 입력할 때 머뭇거리는지도 봅니다. 자기 이름을 어떻게 쓸지 생각하는 사람은 없습니다. 주소는 붙여넣어도 자기 이름과 전화번호를 붙여넣는 사람은 없습니다. eKYC 우회는 단순합니다. 폰을 탈옥한 뒤 고화질 TV에 딥페이크 영상을 띄우고 카메라를 갖다 대면 앱은 본인이라고 판단합니다. 카메라 인젝션이라고 부릅니다. 은행이 전화를 건 사람이 진짜 고객인지 아느냐고 묻자 솔직히 모른다고 답했습니다. 신분증 번호도 카드 뒷자리도 전화번호도 전부 이미 유출된 정보이기 때문입니다.

가장 중요한 대목은 사기를 막는 방법이 사기범과 싸우는 것이 아니라 돈의 이동을 막는 것이라는 이야기였습니다. 얼마를 훔치든 현금을 빼낼 수 없으면 아무도 하지 않습니다. 문제는 은행 한 곳이 이걸 할 수 없다는 점입니다. 같은 폰이 A은행에서 사기를 쳐도 B은행은 모릅니다. 그런데 A은행이 기기 지문을 넘기면 B은행은 그 폰이 로그인하는 순간 계좌를 얼릴 수 있고, 그 폰이 건드린 다른 계좌들까지 함께 드러납니다. 기기 하나로 대포통장 망 전체가 보입니다. 영국은 기기 ID 기반 사기 목록을 회원사가 공유하고, 호주는 행동 생체정보로 수취 계좌를 결제 전에 점수 매기고, 싱가포르는 법으로 전화번호와 계좌번호 공유를 정했습니다. 태국에서는 방콕은행이 주최한 자리에 11개 은행에서 30명이 모여 은행 업계 첫 사기 대응 컨소시엄이 만들어졌고, 곧 1티어 은행 두 곳과 기기 지문 공유 파일럿을 시작한다고 했습니다.

은행이 왜 이제야 모이는지에 대한 답이 명쾌했습니다. 9년쯤 전 한 1티어 은행에 이 아이디어를 가져갔더니 자기네 사기 피해는 3만 달러뿐이라는 답이 돌아왔습니다. 뉴스에 난 사건 하나만 해도 수백만 달러였는데도 그랬습니다. 나중에 이유를 알게 됐습니다. 고객이 직접 송금했으니 은행 책임이 아니고, 그래서 장부에 사기로 기록하지 않았던 것입니다. 그런데 동남아 규제당국이 고객이 사기를 당했든 아니든 은행이 손실의 50%를 배상하도록 규정을 바꿨습니다. 계산이 완전히 달라졌고, 그때부터 기술에 투자할 유인이 생겼습니다. 기술 이야기를 한참 듣고 왔는데 마지막을 정하는 것은 회계였습니다.

한국 은행들은 준비가 됐느냐는 질문에는, 사기 탐지 기술 투자는 시작했고 뒤처진 것은 기술이 아니라 고객 데이터를 사기 예방에 쓸 수 있게 하는 규제라고 답했습니다. 행동 생체정보나 기기 데이터를 모으는 것은 기술적으로 합법이지만, 은행이 개인정보 리스크를 안고 하려 들지는 않습니다. 태국은 이미 이 순서를 겪었습니다. 원래 개인정보보호법에서 IP도 개인식별정보였는데, 사기가 걷잡을 수 없이 늘자 중앙은행이 뱅킹 앱 사용 시 개인식별정보를 반드시 제공하도록 규정을 바꿨습니다. 큰 피해가 나야 규제가 움직입니다. 유럽과 미국은 송금이 실시간이 아니라 이삼일 걸리는데, 답답한 그 지연이 사기 방어에는 유리합니다. 알림을 이틀 뒤에 봐도 거래를 되돌릴 수 있기 때문입니다. 한국과 동남아는 즉시 처리라 그 시간이 없습니다.

파이어사이드에서 배후를 묻자 돈이 되는 곳에는 늘 범죄자가 있고 이 사람들도 결국 사업가라고 했습니다. 차고에서 노트북으로 속이는 수준이 아니라 실제 산업이어서, 사기 센터에는 구내식당과 레스토랑과 직원용 볼링장이 있다고 했습니다. 싱가포르는 은행 방어가 좋아서 공격이 오히려 기본 수법으로 돌아가고, 정부 데이터를 입수해 경찰을 사칭하는 것이 최대 피해 유형 중 하나입니다. 모두가 법을 잘 지키는 나라라 경찰이라고 믿게만 하면 따른다는 것입니다. 말레이시아는 경찰 사칭 전화가 오면 그냥 끊는다고 했습니다. 방어 수준이 아니라 문화가 수법을 정하고 있었습니다.

마지막 질문에서 한국 시장에 대해 무엇이 가장 궁금하냐고 묻자, 한국의 진짜 사기 문제가 무엇인지 알고 싶다고 답하면서 이런 말을 덧붙였습니다. 지금 사기가 한국으로 이동하고 있는 이유는 아시아에서 단속이 세지고 있기 때문이라는 것이었습니다. 필리핀에서 크게 하다가 단속이 들어오자 태국으로 옮겼고, 태국 왕립군이 단속하자 캄보디아로 옮겼습니다. 통제가 약한 곳을 찾아 계속 이동한다는 이야기였습니다. 우리가 아직 이런 사기가 별로 없다고 느끼는 것이 안전해서가 아니라 아직 순번이 안 온 것일 수 있다는 뜻이었습니다.

객석 질문도 좋았습니다. LLM이 발전하면 기존 보안 소프트웨어 회사는 어떻게 되느냐는 물음에, 일부 보안 회사는 무의미해질 것이고 이는 말에서 자동차로 넘어갈 때 도로의 말똥을 치우던 직업이 사라진 것과 같다고 했습니다. 다만 AI가 사람을 대체하기보다 생산성을 복리로 올려준다고 보았고, 기회가 있는 분야로는 침투 테스트를 꼽았습니다. 전문가가 부족해 공급과 수요가 어긋나 있는데 LLM으로 자동 침투 테스트를 상시 돌릴 수 있게 되면 그 격차가 메워진다는 것입니다. 암호화폐 거래소에서 오신 분은 한국 정부가 규제를 거래소까지 확대해 10월부터 새 규정이 시행되어 은행과 협업할 시스템을 만들고 있다고 했고, 자산 증빙과 자금 출처 증빙이 강화될 것이라는 전망이 이어졌습니다.

지금은 결제할 때 사람인지 아닌지를 판단하지만, AI 에이전트가 대신 결제하는 시대가 되면 질문이 달라집니다. 이것이 진짜 내가 소유권을 가진 에이전트가 맞는지를 검증해야 합니다. 에이전트에게 자격증명과 권한을 넘기는 순간 새로운 공격면이 열린다는 데 의견이 모였습니다. 행사가 끝난 뒤에도 한참 남아 이야기가 이어졌습니다.