AI 사기꾼들에 골머리 썩는 마이크로소프트, 1년간 5조원대 사기 차단

마이크로소프트는 최신 ‘사이버 시그널(Cyber Signals)’ 보고서에서 지난 1년간 약 40억달러, 우리 돈 5조원 이상에 달하는 사기 시도를 차단했다고 밝혔다. 

또한 시간당 약 160만건에 이르는 봇 기반 가입 시도를 막아냈다는 수치도 함께 공개했다. AI가 범죄의 생산성을 끌어올린 결과 사기 시도 자체가 폭증하고 있다는 뜻이다.

이번 보고서는 ‘AI 기반 기만: 새로운 사기 위협과 대응책’을 주제로 한 아홉 번째 사이버 시그널 시리즈다. 핵심은 기술 장벽의 붕괴다. 과거에는 그럴듯한 피싱 사이트나 가짜 쇼핑몰을 만드는 데 수일에서 수주가 걸렸다. 이제는 생성형 AI 도구를 활용하면 몇 분 안에 완성할 수 있다. 

문장 생성 모델이 자연스러운 상품 설명과 고객 후기, 기업 연혁을 자동으로 작성하고 이미지 생성 모델이 제품 사진과 배너를 만들어낸다. 겉으로 보기에는 정상 상점과 구분하기 어려운 수준이다.

보고서는 AI 도구가 기업 정보를 자동으로 수집하고 분석해 표적의 특성을 파악하는 데 활용되고 있다고 지적했다. 공개된 홈페이지, 소셜미디어, 채용 공고 등에서 데이터를 긁어와 조직 구조와 담당자 정보를 정리한 뒤 이를 기반으로 정교한 사회공학 공격을 설계하는 방식이다. 

사회공학 공격은 기술적 해킹 대신 사람의 심리를 파고드는 수법이다. AI는 이 과정을 자동화해 범죄자의 준비 시간을 획기적으로 줄이고 있다.

마이크로소프트 보안 부문에서 반사기 대응을 총괄하는 켈리 비셀 부사장은 사이버 범죄가 이미 연간 수조달러 규모로 성장한 산업이 됐다고 설명했다. 그는 AI를 범죄자가 먼저 채택하는 상황에서 방어 측 역시 더 빠르게 AI를 도입해야 노출 격차를 줄일 수 있다고 강조했다. 대규모 데이터를 실시간으로 분석해 이상 징후를 탐지하는 능력이 관건이라는 의미다.

AI 기반 사기는 전 세계적으로 발생하고 있으며 특히 중국과 유럽에서 활동이 두드러진다고 보고서는 밝혔다. 유럽 내에서는 전자상거래 시장이 큰 독일에서 시도가 많이 탐지됐다. 온라인 거래 규모가 클수록 그에 비례해 사기 시도 역시 늘어났기 때문이다.

피해가 집중되는 영역은 전자상거래와 취업 사기다. 전자상거래 분야에서는 AI로 제작한 가짜 쇼핑몰이 소비자를 속인다. 도메인 주소를 교묘하게 바꿔 유명 브랜드를 사칭하고 AI가 생성한 고객 리뷰를 대량으로 게시해 신뢰를 조성한다. 

또 다른 경우로는 AI 기반 고객센터 챗봇이 실시간 응답을 제공하면서 환불 요청이나 카드 결제 취소를 지연시키기도 한다. 스크립트에 따라 변명과 안내를 반복해 피해자가 이상 징후를 알아차리기 어렵게 만든다.

구직자도 주요 표적이다. 생성형 AI는 도난된 이력 정보를 활용해 가짜 채용 담당자 프로필을 만들고 자동 생성된 직무 설명으로 허위 채용 공고를 게시한다. 이메일과 메시지 캠페인을 통해 지원자를 유도한 뒤 이력서나 계좌 정보 제출을 요구한다. 

일부 사례에서는 화상 면접처럼 보이는 AI 기반 인터뷰를 진행해 신뢰를 쌓은 뒤 개인정보를 빼내는 수법도 확인됐다. 보고서는 지원자가 요청하지 않은 채용 제안, 금전 요구, 문자메시지나 메신저를 통한 비공식 연락은 경고 신호라고 지적했다.

마이크로소프트는 대응 조치도 공개했다. 클라우드 보안 솔루션인 ‘마이크로소프트 디펜더 포 클라우드’는 애저 기반 자원을 보호하며 위협을 탐지한다. 웹 브라우저 엣지에는 주소 오탈자 보호와 도메인 사칭 탐지 기능이 탑재돼 있다. 

딥러닝 기반 분석을 통해 사용자가 사기 사이트에 접속하려 할 경우 경고를 표시한다. 원격 지원 기능인 윈도우 퀵 어시스트에는 기술 지원 사기를 경고하는 메시지를 추가했다. 회사는 하루 평균 4천건이 넘는 의심스러운 퀵 어시스트 연결 시도를 차단하고 있다고 밝혔다.

한편 마이크로소프트는 제품 개발 단계에서도 사기 방지를 의무화했다. 2025년 1월부터는 ‘보안 미래 이니셔티브(SFI)’의 일환으로 모든 제품팀이 설계 과정에서 사기 예방 평가를 수행하고 통제 장치를 구현해야 한다. 제품이 처음부터 사기에 강한 구조로 만들어지도록 요구하는 정책이다.

기업에는 다중 인증 도입과 딥페이크 탐지 기술 적용을 권고했다. 개인 사용자에게는 긴급성을 강조하는 메시지에 경계하고 결제 전 웹사이트의 정당성을 확인하며 검증되지 않은 출처에 개인정보나 금융 정보를 제공하지 말 것을 당부했다.