AI 보이스피싱, 기업 클라우드까지 뚫는다
AI를 활용한 보이스피싱이 가족 목소리 사칭을 넘어 기업 시스템 침투 수단으로 빠르게 확장되고 있다. 국내에서는 자녀 울음소리를 조작한 납치 빙자 사기가 확인됐고, 해외에서는 전화 한 통으로 기업 클라우드 계정을 탈취하고 데이터를 장기간 축적한 뒤 유출·협박까지 이어지는 사례가 잇따르고 있다.
금융감독원은 지난 2월 AI로 조작한 자녀 음성을 활용한 납치 빙자 보이스피싱에 대해 소비자경보를 발령했다. 사기범은 자녀 이름과 학원명 등 구체적 정보를 먼저 제시한 뒤 AI로 만든 울음소리를 들려주며 “아이를 데리고 있다”고 협박하고, 휴대전화 수리비나 술값 명목으로 50만원 안팎의 송금을 요구하는 방식을 쓴다.
과학기술정보통신부와 한국인터넷진흥원은 ‘2026년 사이버 위협 전망’에서 AI 기반 사이버 위협과 클라우드 취약점 공격, 유출 개인정보를 활용한 2차 보이스피싱·스미싱 위험 확대를 주요 위협으로 제시했다. 보고서에 따르면 2025년 국내 사이버 침해사고 신고는 2383건으로 전년 1887건보다 26.3% 증가했고, 랜섬웨어 감염도 274건으로 전년 192건보다 늘었다.
AI 기반 사칭 공격은 해외에서 더욱 고도화된 형태로 나타나고 있다. 구글 위협분석 조직은 2025년 공격그룹이 IT지원팀을 사칭해 직원에게 전화를 걸고 클라우드 서비스 접근 권한을 부여하도록 유도한 사례를 공개했다. 공격자는 고객관리 시스템 데이터에 접근해 정보를 대량 유출했고, 일부 기업에는 일정 시간이 지난 뒤 금전을 요구하는 협박까지 이어간 것으로 알려졌다.
보안업계 관계자는 “과거 보이스피싱이 개인 계좌 송금을 목표로 했다면, 최근에는 기업 내부 시스템 접근권을 노리는 방향으로 바뀌고 있다”며 “직원 한 명을 속여 전체 데이터베이스를 가져가는 구조”라고 말했다.
글로벌 보안업계는 최근 음성 피싱과 가짜 로그인 페이지를 결합한 공격이 빠르게 확산되고 있다고 분석한다. 공격자는 IT 담당자를 사칭해 특정 로그인 페이지 접속을 유도하고, 로그인 정보와 인증 토큰을 동시에 탈취한 뒤 여러 SaaS 서비스로 확산 침투하는 방식을 쓴다.
특히 이러한 공격은 악성 파일을 설치하지 않고 정상 로그인처럼 SaaS에 접속하기 때문에 백신이나 단말 보안 시스템에서 탐지하기 어렵다는 점이 문제로 지적된다.
한번 유출된 정보가 반복적으로 재사용되는 점도 위험 요소다. 영국 언론매체 가디언(The Guardian)은 2025년 약 160억건 규모의 로그인 정보가 온라인에 노출됐다고 전했다. 이는 과거 유출 자료가 반복적으로 재유통되며 누적된 결과라는 설명이다.
미국 보안업체 포티넷(Fortinet)은 지난 4월 30일 발표한 2026년 글로벌 위협 보고서에서 클라우드 침해의 상당수가 인프라 취약점보다 도난·노출·오용된 계정정보에서 시작된다고 분석했다. 또 다크웹 데이터셋에서 스틸러 로그가 67.12%로 가장 큰 비중을 차지했고, AI와 자동화 기술이 취약점 악용 속도와 공격 규모를 키우고 있다고 설명했다.
결국 대응의 핵심은 확인 절차라는 지적이 나온다. 금융당국 관계자는 “전화나 메시지로 계정정보 입력이나 접근 권한 요청이 오면 반드시 별도 경로로 사실 여부를 확인해야 한다”고 말했다.
