동남아 AI 금융 사기, 다음 순서는 한국입니다

Fred님과 함께 AI 시대의 금융 보안과 사기 범죄를 주제로 Bloom 밋업을 진행했습니다. Fred님이 대표로 있는 Level Five Group은 태국, 말레이시아, 인도네시아, 캄보디아 같은 동남아와 일본, 중국에서 금융 보안 위협을 탐지하는 싱가포르 회사입니다. 최근 한국 진출을 준비하면서 한 달에 한 번 이상 들어오시다가 우연히 Bloom 밋업에 오셨고, 그게 계기가 되어 이번 행사를 함께 기획하게 되었습니다.

짧은 시간이었지만 충격이 컸습니다. 동남아에서는 요즘 AI가 단 4초 만에 상대방 목소리 톤을 복제하고, 그게 보이스피싱부터 은행 사기까지 광범위하게 악용되고 있다는 이야기였습니다. AI 기반 보이스피싱이 이미 심각한 사이버 범죄로 자리 잡았다는 걸 다시 한 번 경각심을 가지고 보게 됐습니다.

급하게 준비한 자리라 30명 정도를 예상했는데 45명 넘게 참석해 주셨습니다. 이 주제에 대한 관심과 필요성이 얼마나 큰지 체감할 수 있었습니다. Fred님도 깊이 있으면서 이해하기 쉽게 발표해 주셔서 저 또한 많이 배우는 시간이었습니다.

특히 Fred님이 가장 궁금해하신 건 나라마다 문화권과 경제권에 따라 사기 범죄 유형이 어떻게 다른지, 그리고 한국에서는 어떤 패턴이 나타나는지였습니다. 단순 리서치 자료가 아니라 실제 현업에서 활동하시는 분들을 직접 만나 이야기를 나누고 싶다고 하셔서, 관련 분야에 계신 분들만 소규모로 모셨습니다. 덕분에 가까이 앉아 깊이 있는 대화를 나눌 수 있었습니다.

아직 한국은 비교적 안전한 나라로 인식되고 있고, 프라이버시 문제도 있어서 유저 데이터를 기반으로 대응 체계를 만드는 건 다소 이른 단계일 수 있습니다. 그럼에도 글로벌 플레이어들은 이미 한국 시장에 많은 관심을 가지고 준비하고 있습니다. 그날 들은 이야기를 순서대로 정리해봤습니다.

4초면 된다

Fred가 자기소개를 하면서 농담을 하나 했습니다. 제가 Bloom 얘기를 해줬을 때, AI 블루에서 시작해서 블룸으로 가는 이야기가 참 좋다고 하더니 이렇게 덧붙였습니다.

안타깝게도 제 업은 AI 블루 쪽입니다.

Fred는 10년 넘게 은행의 금융범죄 대응을 해왔습니다. 태국 왕립군, 아세안 인터폴, 말레이시아 규제당국과 일하고 태국에서는 은행 컨소시엄을 직접 굴립니다. 재밌는 건 이 사람이 공대를 중퇴했다가 회계와 금융으로 다시 들어가서 졸업반에 회사를 차렸다는 것입니다. 중퇴한 이유를 묻자 너무 놀았다고 했습니다. 그리고 시작할 때는 사이버 보안이나 사기에 대해 아는 게 하나도 없었다고 합니다.

발표는 중국 정부가 만든 공익광고 영상으로 시작했습니다. 어머니가 영상통화로 딸과 얘기합니다. 딸이 이번 달에 형편이 빠듯하다고, 돈을 좀 보내달라고 애원합니다. 어머니가 계좌번호를 입력하고 전송을 누르기 직전에 초인종이 울립니다. 문을 열어보니 진짜 딸이 서 있습니다. 노트북에서는 여전히 누군가가 딸의 얼굴과 목소리로 말하고 있습니다.

정부가 자국민 경고용으로 이런 광고를 만들었다는 건 그만큼 흔하다는 뜻입니다. 그다음에 나온 숫자가 이 자리에서 제일 셌습니다.

목소리를 복제하는 데 필요한 건 4초입니다.

복제하는 건 목소리가 아니라 톤이다

저는 목소리 복제라고 하면 30분에서 한 시간쯤 되는 음성을 모아서 AI에 넣고 오래 돌려야 하는 줄 알았습니다. 미션 임파서블에 나오는 것처럼요.

저희가 하는 건 여러분의 음성 프로필 전체를 재현하는 게 아닙니다. 톤과 음색만 흉내 내는 겁니다.

그러니까 4초로 톤만 뽑아낸 다음, 실제 사람이 음성 변조기를 써서 그 톤에 자기 말투를 실어 말합니다. 트럼프를 흉내 내고 싶으면 트럼프처럼 발음할 필요가 없습니다. 트럼프의 음성 프로필을 가져와서 말투만 따라 하면 됩니다. Fred가 그 자리에서 시연을 했는데 꽤 그럴듯했습니다.

라이브 통화 딥페이크가 그렇게 자연스러운 이유가 여기 있었습니다. 기계가 말하는 게 아니라 사람이 말하고 있는 것입니다.

목소리를 어디서 구하냐면 대부분 소셜미디어입니다. 틱톡, 페이스북, X, 스레드, 유튜브, 텔레비전. 그리고 로보콜을 돌려서 여보세요 누구세요 하는 목소리를 녹음해 다크웹에 팝니다. 그래서 Fred는 공인이 아니면 프로필을 다 비공개로 돌리고 본인 영상은 온라인에 올리지 말라고 했습니다.

한국 얘기가 하나 붙었습니다. 한국은 K팝과 K엔터테인먼트를 순수출하는 나라라 세계에서 가장 성숙한 음성 복제 모델을 가지고 있다는 것입니다. 태국은 오히려 복제가 더 어렵습니다. 콘텐츠가 한국만큼 많지 않아서.

제일 흔한 건 여전히 사칭이다

기술이 화려한 쪽부터 얘기하면 딥페이크 투자 사기가 있습니다. 일론 머스크를 사칭해 코인을 홍보하는 영상을 미리 만들어 소셜미디어에 뿌리고 광고까지 돌립니다. 싱가포르에서는 총리를 사칭한 줌 콜이 실시간으로 열렸습니다. 정부가 지원하는 투자 기회라며 사람을 초대하는 식입니다. 제일 흔하지는 않은데 한 번에 제일 크게 털립니다.

그런데 여전히 제일 많은 건 그냥 사칭 전화입니다. 정부, 경찰, 이민국, 회사를 사칭하고 로맨스 스캠이 붙습니다. 뿌리는 데이터 유출입니다. 제 정보가 어딘가에서 새어 있으니 상대가 저를 아는 것처럼 말할 수 있습니다.

Fred 본인 얘기가 재밌었습니다. 싱패스 승인이 난 직후에 싱가포르 이민청을 사칭한 로보콜을 받았다고 합니다.

중국어 하십니까 하고 묻는 순간 가짜인 걸 알았습니다.

진짜 이민청이라면 물어볼 필요가 없는 질문이었습니다. 그런데 그는 모르는 척하고 만다린으로 계속 받아줬습니다. 상대는 고용 패스에 오류가 있다며 3만 3천 싱가포르 달러를 요구했습니다. 사기 막는 게 업인 사람도 표적이 됩니다. 최근에 다룬 사건 중에는 400만 링깃, 100만 달러쯤 되는 건도 있었습니다.

휴가 공지 하나로 회사가 뚫렸다

개인이 돈 뜯기는 얘기로만 듣고 있다가 방향이 바뀐 대목이 있었습니다.

어느 대기업 보안 책임자가 소셜미디어에 휴가를 간다고 올렸습니다. 프로필은 공개 상태였습니다. 공격자는 그 사람 영상에서 목소리를 복제한 다음, 휴가 중인 그를 사칭해서 회사 직원에게 전화를 걸었습니다. 시스템 자격증명이 잠겼으니 OTP를 알려달라고 했습니다.

직원 입장에서는 목소리가 맞고 휴가 간 것도 맞았습니다. 휴가지 얘기까지 자연스럽게 맞아떨어지니까 재설정을 해줬습니다. 곧 이상한 걸 알아채고 잡아냈지만 이미 늦었습니다.

백도어를 심는 데는 10분이면 충분합니다.

그리고 6개월 뒤에 그 백도어를 통해 실제 침해가 일어났습니다. 보이스피싱이 개인 사기에서 끝나는 게 아니라 회사 시스템으로 들어오는 문이 되고 있었습니다.

99퍼센트는 실험실 숫자다

그럼 탐지는 될까요. 여기서 나온 대비가 이날의 핵심이었습니다.

통제된 환경에서는 99퍼센트가 넘게 잡힙니다. 조용한 방에서 녹음하고 음질이 완벽할 때 얘기입니다. 그런데 실제 환경으로 오면 50에서 60퍼센트로 떨어집니다. 네트워크 품질이 탐지에 필요한 신호를 다 깎아내기 때문입니다. 그래서 사기범들은 일부러 열악한 네트워크 뒤에 숨습니다. 동남아에는 아직 4G와 3G가 남아 있습니다.

50에서 60이면 나쁘지 않은 거 아니냐고 생각하실 수도 있습니다. 그런데 은행이 하루에 처리하는 건수를 떠올려 보면 얘기가 달라집니다. 걸러지지 않고 남는 것을 사람이 전부 눈으로 봐야 합니다. 그만한 인원을 둘 수 있는 은행은 없습니다.

이 대목에서 자리가 조용해졌습니다. 저도 그때 처음 이해했습니다. 기술이 없어서 못 하는 게 아니라 운영이 안 되는 것이었습니다.

99퍼센트는 훌륭한 숫자입니다. 운영상 실용적이냐고 물으면, 아닙니다.

그래서 은행이 필요한 건 99.999퍼센트 같은 숫자입니다. 그게 안 되니까 병목은 기술이 아니라 은행의 사기 대응 운영팀이 됩니다.

그래서 얼굴이 아니라 폰을 본다

딥페이크를 잡으려고 하는 건 좋은 출발점이지만 거기서 끝내면 안 된다는 게 Fred의 얘기였습니다. 대신 다른 걸 봅니다.

디지털 경제에서 제일 중요하게 봐야 할 건 사람이 아닙니다. 그 사람이 쓰고 있는 폰입니다.

아이폰인지 안드로이드인지, 화면 해상도가 그 기기와 맞는지, 탈옥이나 루팅이 됐는지, 개발자 모드가 켜져 있는지를 봅니다. 여기에 행동 생체정보가 붙습니다. 거래가 일어나는 순간에 폰이 전혀 움직이지 않으면 이상합니다. 폰이 책상 위에 엎어져서 충전 중인데 결제가 일어나면 그 폰에는 문제가 있습니다.

세부 항목들이 재밌었습니다. 이름을 입력할 때 머뭇거리는지를 봅니다. 자기 이름을 어떻게 쓸지 생각하는 사람은 없습니다. 복사 붙여넣기도 봅니다. 주소는 붙여넣을 수 있어도 자기 이름과 전화번호를 붙여넣는 사람은 없습니다. 은행 거래 중에 누군가와 통화하고 있는지도 봅니다. 젊은 사람은 늘 통화하니 의미가 약하지만 나이가 있는 분들에게는 강한 신호가 됩니다.

eKYC를 우회하는 방법도 생각보다 단순했습니다. 폰을 탈옥한 다음 고화질 TV에 딥페이크 영상을 띄우고 카메라를 거기 갖다 대면 앱은 그 사람이 본인이라고 판단합니다. 카메라 인젝션이라고 부릅니다.

그래서 은행이 전화를 건 사람이 진짜 고객인지 알 수 있냐고 물어봤습니다.

솔직히 모릅니다.

신분증 번호를 묻고 카드 뒷자리를 묻고 전화번호를 묻지만 그건 전부 이미 유출된 정보입니다. 그래서 말레이시아는 계좌를 본인 소유의 물리적 기기에 묶어버렸습니다. 그 바인딩을 풀면 24시간 동안 계좌가 동결됩니다. 다만 엔지니어라면 바인딩을 풀어서 다른 폰으로 옮길 수 있다고 덧붙였습니다.

은행 한 곳이 아무리 잘해도 안 된다

여기서부터가 이날 제일 중요한 대목이었습니다.

사기를 막는 방법은 사기범과 싸우는 게 아닙니다. 돈의 이동을 막는 겁니다.

대포통장을 막으면 사기가 멈춘다는 얘기입니다. 10억을 훔치든 1조를 훔치든 ATM에서 현금을 못 빼면 아무도 안 합니다.

문제는 이걸 은행 한 곳이 못 한다는 것입니다. 같은 폰이 A은행에서 사기를 쳤어도 B은행은 그 사실을 모릅니다. 두 계좌는 서로 아무 관계가 없으니까. 그런데 A은행이 그 기기 지문을 B은행에 넘기면 B은행은 그 폰이 로그인하는 순간 계좌를 얼릴 수 있습니다. 더 재밌는 건 그 폰이 예전에 건드린 다른 계좌들까지 같이 드러난다는 것입니다. 기기 하나로 대포통장 망 전체가 보입니다.

이미 하고 있는 나라들이 있습니다. 영국은 기기 ID 기반으로 확정 사기 목록을 만들어서 한 은행에서 걸린 기기를 전 회원사가 공유합니다. 호주는 행동 생체정보로 돈을 받는 계좌를 결제 전에 점수 매깁니다. 싱가포르는 아예 법으로 정해서 일정 기준을 넘으면 전화번호와 계좌번호를 공유하게 합니다.

Fred는 태국에서 이걸 하고 있습니다. 방콕은행이 주최한 자리에 11개 은행에서 30명이 모였고, 은행 업계의 사기 대응 컨소시엄으로는 처음이었다고 합니다. 은행 사람이 아닌 유일한 참석자로 그 자리에 앉아서 은행들에게 데이터를 나누라고 설득하는 일입니다. 곧 1티어 은행 두 곳과 기기 지문 공유 파일럿을 시작한다고 했습니다.

손실을 누가 무느냐가 투자를 정한다

그럼 은행들이 왜 모이냐고 물었습니다. 답이 명쾌했습니다.

9년쯤 전에 어느 1티어 은행에 이 아이디어를 들고 갔더니 이런 답이 돌아왔다고 합니다. 우리 사기 피해는 3만 달러밖에 안 됩니다. Fred는 말이 안 된다고 생각했습니다. 그 은행이 뉴스에 난 사건 하나만 해도 수백만 달러였으니까. 한참 뒤에 은행 사람들과 계속 얘기하다가 이유를 알게 됐습니다.

저희는 그 손실에 책임이 없어서 그걸 사기로 기록하지 않습니다.

고객이 직접 송금했으니 고객 잘못이고, 그러니 은행 장부에는 사기가 아니라는 것입니다. 그런데 동남아 규제당국이 규정을 바꿨습니다. 고객이 사기를 당했든 아니든 은행이 손실의 50퍼센트를 배상하게 했습니다. 계산이 완전히 달라졌습니다.

이제 기술에 투자할 유인이 생기셨나요?

기술 얘기를 한참 듣고 왔는데 결국 마지막을 정하는 건 회계였습니다.

한국이 뒤처진 건 기술이 아니다

한국 은행들은 준비가 되어 있냐고 물었습니다.

한국 은행들은 사기 탐지 기술에 투자를 시작했습니다. 뒤처져 있는 건 기술이 아니라 고객 데이터를 사기 예방에 쓸 수 있게 하는 규제입니다.

행동 생체정보나 기기 데이터를 모으는 건 기술적으로 한국에서 합법입니다. 그런데 은행이 개인정보 리스크를 안고 그걸 하려고 하진 않습니다. 그래서 데이터를 모으려면 고객 동의가 필요하냐고 계속 되묻는다는 것입니다.

태국은 이 순서를 이미 겪었습니다. 원래 태국 개인정보보호법에서는 IP도 개인식별정보였습니다. 그런데 사기가 걷잡을 수 없이 늘자 중앙은행이 규정을 바꿔서 뱅킹 앱을 쓰려면 개인식별정보를 반드시 제공하게 했습니다. 큰 피해가 나야 규제가 움직입니다.

유럽 얘기도 흥미로웠습니다. 유럽과 미국은 송금이 실시간이 아니라 이삼일 걸립니다. 우리는 답답하다고 생각하는 그 지연이 사기 방어에는 유리합니다. 알림을 이틀 뒤에 봐도 청산소에 연락해서 거래를 되돌릴 수 있기 때문입니다. 한국과 동남아는 즉시 처리라 그 시간이 없습니다.

사기는 단속이 센 나라를 떠난다

파이어사이드에서 배후가 누구냐고 물었습니다.

돈이 되는 곳에는 늘 범죄자가 있습니다. 생각해보면 이 사람들도 기업가예요. 결국 사업가입니다.

실제로 산업입니다. 차고에서 맥북으로 사람을 속이는 애가 아닙니다. 사기 센터에는 구내식당과 레스토랑이 있고 직원용 볼링장이 있습니다. 회사입니다. 중국에서 만든 「노 모어 벳츠」라는 영화가 실제 사기 센터를 배경으로 한 거라고 했습니다.

싱가포르는 안전하냐고 물었더니 은행 쪽 방어는 좋다고 했습니다. 그래서 공격이 오히려 기본 수법으로 돌아갑니다. 정부 데이터를 입수해서 경찰을 사칭하는 게 싱가포르 최대 피해 유형 중 하나입니다.

싱가포르는 모두가 법을 잘 지키는 나라입니다. 제가 경찰이라고 믿게만 하면 따릅니다.

말레이시아는 다르다고 했습니다. 경찰 사칭 전화가 오면 그냥 끊는다는 것입니다. 말레이시아 사람들은 별로 순응적이지 않아서라고 했습니다. 방어 수준이 아니라 문화가 수법을 정하고 있었습니다.

이 대목에서 제일 무서웠던 건 캄보디아 사기 센터에서 탈출한 사람 얘기였습니다. 그 사람이 어느 나라 경찰서를 찾아갔는데 경찰이 그를 다시 사기 센터로 돌려보냈다고 합니다.

그리고 마지막 질문에서 제가 제일 듣고 싶었던 답이 나왔습니다. 한국 시장에 대해 뭐가 제일 궁금하냐고 물었더니, 한국의 진짜 사기 문제가 뭔지 알고 싶다고 했습니다. 그러면서 이런 말을 덧붙였습니다.

지금 사기가 한국으로 이동하고 있는 이유는 아시아에서 단속이 세지고 있기 때문입니다.

필리핀에서 크게 하다가 단속이 들어오자 태국으로 옮겼고, 태국 왕립군이 단속하자 캄보디아로 옮겼습니다. 통제가 약한 곳을 찾아 계속 이동한다는 것입니다.

그러니까 우리가 아직 이런 사기가 별로 없다고 느끼는 건 우리가 안전해서가 아닐 수도 있습니다. 아직 순번이 안 왔을 뿐입니다.

다음 질문은 사람인지가 아니다

원래 사이버 보안에 관심이 있어서 연 자리가 아니었는데, 듣고 나니 이게 AI 얘기라는 걸 알겠습니다.

Fred가 지나가듯 한 말이 계속 남습니다. 이제는 잠들지 않고 계속 침투 방법을 찾는 AI가 생겼다는 것입니다. 규제 당국에 물어보면 적발률이 오르고 있다고 답하는데, 실제로는 사기가 늘어서 더 많이 잡히는 것뿐이라고 했습니다.

그리고 제가 요즘 계속 걸리는 게 하나 있습니다. 지금은 결제할 때 사람인지 아닌지를 판단합니다. 그런데 AI 에이전트가 대신 결제하는 시대가 되면 질문이 달라집니다. 이게 진짜 제가 소유권을 가진 에이전트가 맞는지를 검증해야 합니다. Fred도 에이전트에게 자격증명과 권한을 넘기는 순간 새로운 공격면이 열린다고 했습니다.

행사가 끝나고도 한참 남아서 얘기들을 나눴습니다. 딥페이크 탐지를 하는 스타트업 대표가 자기네 탐지율을 얘기했고, 암호화폐 거래소에서 오신 분은 10월부터 규제가 거래소까지 확대돼서 은행과 같이 시스템을 만들고 있다고 했습니다. 침투 테스트를 자동화하는 게 지금 제일 수요와 공급이 어긋난 시장이라는 얘기도 나왔습니다.

이런 자리를 만들면 늘 제가 제일 많이 배워 갑니다.

현장 스케치

Bloom과 함께하기

Bloom은 사람과 기술이 만나는 오프라인 자리를 만듭니다. 다음 행사에서 뵙겠습니다.

• 💬 디스코드 커뮤니티, 행사 공지가 가장 먼저 올라옵니다
• ▶️ 유튜브, 지난 행사 강연 다시 보기
• 📸 인스타그램, 행사 사진
• 🎟️ 다가오는 행사 보기