AI 무장한 사이버 범죄 확산…수사기관 대응 역량은 한계

“단 한 번의 딥페이크 화상 통화로 2500만달러를 도난당했습니다. 2024년 한 해에만 암호화폐 사기 수익으로 55억달러가 발생했고, 인공지능(AI) 기반 피싱 범죄는 1265% 급증했습니다. 범죄자들은 이미 수사 기관보다 훨씬 앞서 AI를 채택해 무기로 악용하고 있습니다.”

맷 험프리스(Matt Humphries) TRM랩스 아시아태평양지역(APAC) 공공부문 대외협력 총괄은 23일 인천 연수구 송도컨벤시아에서 열린 ‘세이프 AI 시큐리티 서밋 2026(SAFE AI Security Summit 2026)’ 기조연설 중 이같이 경고했다.

경찰청과 메쎄이상 등이 공동 주최·주관한 이번 행사는 ‘AI 대전환 시대, 안전한 AI와 사이버보안 전략’을 주제로 공공과 민간의 사이버 위협 대응 방안을 모색하기 위해 마련됐다.

법 집행기관에서 34년 이상 수사관으로 근무한 험프리스 총괄은 현재 수사기관에 특화된 블록체인 인텔리전스 시스템 구축 업무를 맡고 있다. 그는 이날 ‘AI 기반 사이버 범죄와 대응 전략’을 주제로 발표하고, 사기 조직의 AI 도구 활용 방식과 이에 대한 대응 전략을 제시했다.

험프리스 총괄은 AI 기반 사이버 범죄가 규모, 속도, 회피 측면에서 진화하고 있다고 진단했다. 그는 “이전에 팀 단위로 해야 했던 작업이 이제는 극소수의 사람만 있으면 가능해졌고, 공격은 기존 대응 방식이 실질적으로 반응할 수 있는 것보다 훨씬 빠르게 이뤄진다”며 “AI가 생성한 콘텐츠는 알려진 패턴에 의존하는 탐지 방식을 쉽게 우회한다”고 꼬집었다.

위협 사례로는 지난 2024년 2월 홍콩에서 발생한 딥페이크 자금 탈취 사건을 소개했다. 당시 한 금융기업 직원은 최고재무책임자(CFO) 명의의 이메일을 받은 뒤 의심을 해소하기 위해 화상 통화를 요청했다. 통화에는 CFO를 비롯한 주요 임원들이 등장했고, 직원은 이들의 지시에 따라 5개 은행 계좌로 15차례에 걸쳐 총 2560만달러를 송금했다.

그러나 통화에 등장한 인물들은 모두 대중에 공개된 영상을 바탕으로 합성한 가짜였다. 범죄 조직은 악성코드를 이용하거나 내부자의 도움을 받지 않고도 딥페이크 영상으로 거액을 탈취했다. 험프리스 총괄은 이 사건을 통해 실제 인물처럼 보이는 영상만으로는 신원을 확인하기 어렵다는 점을 짚었다.

이어 그는 챗봇을 활용한 이른바 ‘돼지도살(Pig Butchering)’ 방식의 로맨스 스캠(Romance Scam)도 주요 위협으로 꼽았다. 과거에는 범죄 조직원이 피해자와 장기간 메시지를 주고받으며 신뢰를 쌓아야 했지만, 최근에는 AI 챗봇을 활용해 언어와 시간의 제약 없이 수천 명에게 동시에 접근이 가능해졌다. 그는 “이제는 챗봇이 어떤 언어로든, 하루 중 어느 시간이든 한 번에 수천 명의 피해자에게 메시지를 보내며 모든 작업을 수행한다”고 우려했다.

실제로 지난 2024년 AI 기반 로맨스 스캠의 범죄 수익은 55억달러로 전년보다 40% 증가했다. 이는 전체 암호화폐 사기 수익의 3분의 1에 해당한다. 또 불법 AI 도구를 통한 범죄 수익도 지난 2021년 이후 1900% 증가한 것으로 집계됐다. 험프리스 총괄은 미얀마와 캄보디아, 라오스 등지에서 인신매매 피해자들이 범죄 조직에 감금된 채 로맨스 스캠에 강제로 동원되고 있다며, 범죄 조직이 인신매매 피해자들까지 사기 범죄에 이용하고 있다고 지적했다.

지난 4월 발생한 암호화폐 거래 플랫폼 ‘드리프트 프로토콜’ 해킹 사건도 언급됐다. 범죄 조직은 작년 말 퀀트 트레이딩 회사를 사칭해 플랫폼 관계자들에게 접근한 뒤 수개월간 연락을 이어가며 신뢰를 쌓았다. 이들은 지난 3월 정상적인 기업 온보딩 절차를 거쳐 100만달러 이상의 자금을 예치하기도 했다.

이후 이 범죄 조직은 거래소 관계자들에게 가짜 앱과 복제된 코드 저장소 등의 링크를 전달하고, 이를 통해 악성코드를 유포했다. 수개월간의 사전 준비 끝에 이들은 지난 4월 1일 31건의 출금을 통해 2억8500만달러를 빼돌렸다. 실제 자금을 탈취하는 데 걸린 시간은 12분에 불과했다.

험프리스 총괄은 범죄자들이 AI 기반 범죄 도구를 직접 개발하지 않고도 온라인에서 구독 형태로 이용할 수 있다는 점도 거론했다. 피싱 메시지와 사기 대본을 생성하는 ‘프로드 지피티(Fraud GPT)’는 월 200달러, 악성코드와 자격 증명 탈취 스크립트를 만드는 ‘웜 지피티(Worm GPT)’는 월 60달러에 이용할 수 있다. 딥페이크 제작과 자금 세탁 인력 모집 등을 지원하는 ‘고스트 지피티(Ghost GPT)’의 구독료도 월 75달러 수준이다.

험프리스 총괄은 “범죄자들은 이러한 도구들을 직접 구축할 필요 없이 공개적으로 판매되는 서비스를 구독하기만 하면 된다”며 “범죄 진입 장벽은 낮아졌고 범죄 건수의 한계는 완전히 사라졌다”고 비판했다. 그는 AI 도구의 상용화로 전문적인 기술 없이도 사이버 범죄를 실행하기 쉬워졌다고 분석했다. 실제로 불법 AI 도구를 통한 범죄 수익은 2021년 이후 1900% 증가했으며, AI 기반 피싱 범죄도 1265% 늘어난 것으로 집계됐다.

험프리스 총괄은 범죄 기술은 빠르게 발전하는 반면 수사 기관의 대응은 이를 따라가지 못하고 있다고 짚었다. 그는 “매일 수천 건의 의심 사례가 접수되지만, 업무량이 많아 이 가운데 최대 50%는 조사조차 시작하지 못한다”며 “수사 기관에 접수되는 경보의 40~60%는 실제 범죄가 아닌 오탐으로, 수사관들은 제한된 인력으로 어떤 사건을 얼마나 깊이 조사할지 판단해야 하는 상황”이라고 전했다. 수사 자원이 부족한 상황에서 범죄자들이 수사 기관의 대응 공백을 노릴 수 있다는 것이다.

미국의 수사 통계에서도 이러한 격차가 드러난다. 험프리스 총괄이 제시한 자료에 따르면 미국 연방 사기 사건은 기소 결정까지 평균 500일 이상 걸린다. 지난 2019년부터 작년까지 사기 관련 신고가 116% 증가했지만, 미국 연방수사국(FBI)과 국토안보수사국(HSI), 비밀경호국(Secret Service) 등 주요 수사 기관의 관련 인력은 같은 기간 1% 늘어나는 데 그쳤다.

AI를 활용한 범죄의 실행 속도도 빨라지고 있다. 험프리스 총괄은 한 학술 연구를 인용해 “AI 음성 에이전트가 일반적인 전화 사기를 완료하는 데 걸린 시간은 130초에 불과했다”며 “이 통계는 미국 사례지만 수사 인력이 범죄 대응 속도를 따라가지 못하는 문제는 전 세계적으로 나타나고 있어 단순히 인력을 늘리는 것만으로는 격차를 좁히기 어렵다”고 지적했다.

험프리스 총괄은 수사 기관의 대응 역량을 높이기 위한 방안으로 수사 전용 AI 시스템 도입을 제안했다. 그는 시스템 설계 단계부터 투명성·통제력·무결성 등 세 가지 원칙을 반영해야 한다고 강조했다.

구체적으로 AI가 처리한 모든 단계와 데이터 출처를 추적할 수 있어야 하며, 주요 판단 과정에서는 분석가가 승인하도록 해야 한다고 설명했다. 또 최초 검색부터 최종 결정까지의 과정을 기록해 법정에서도 증거와 판단 근거를 확인할 수 있어야 함을 명확히 했다. 이러한 원칙은 시스템을 구축한 뒤 추가하는 것이 아니라 초기 설계 단계부터 반영해야 한다는 설명이다.

험프리스 총괄은 자동화된 범죄에 대응하려면 수사 기관도 AI를 활용해 대응 과정을 자동화해야 한다고 강조했다. 그는 “인공지능을 수사 현장의 업무 절차에 제대로 적용한다면 복잡한 사건 처리 시간을 몇 주에서 단 몇 분으로 단축할 수 있다”며 범죄 발생 이후 대응하는 방식에서 벗어나 피해가 발생하기 전에 범죄를 탐지하고 차단하는 체계로 전환할 수 있다고 전망했다. 이어 AI를 활용한 수사 체계가 사이버 보안과 수사 과정의 책임성을 확보하고 시민의 신뢰를 높이는 데 기여할 수 있다고 덧붙였다.

글. 바이라인네트워크
<김원민 기자>wmkim627@byline.network