지난 5일 금융감독원은 가족 등 지인을 사칭한 메신저 사기가 급증하는 가운데 IT 기술에 어두운 50대를 겨냥해 거짓으로 자식들이 송금을 요청하는 사기가 많다고 발표했다.

해외에서도 금융 사기가 증가하고 있는데 지난달 말에 암호화폐 거래소 빌락시(Bilaxy) 해킹 사건이 대표적이다. 올해 7월 1일 자 포브스에 따르면 지난해 미국에서 발생한 암호화폐 관련 범죄가 무려 8만 건에 달하는 것으로 조사됐다.

최근에 금융 사기를 구분하는 AI의 진화로 금융권의 사기 방지 시스템의 방화벽이 높아지고 있지만, 은행 전산망에 액세스를 시도하고, 기업 CEO의 목소리를 모방해 송금을 지시할 정도로, AI를 활용한 해커들의 기술도 고도화되고 있어 우려의 목소리가 커지고 있다.

ML, 스트리밍 거래 패턴 자동 검색

사타비사 파티(Satavisa Pati)는 애널리틱스 인사이트 저널리스트다. 그는 지난 5일 이 AI/빅데이터 전문 매거진에 금융 사기에 대한 글을 썼다.

서두에 그는 “인공지능과 머신러닝은 금융 사기를 잡는 데 광범위한 역할을 한다”고 말했다.

머신러닝은 데이터 과학자가 부정행위일 가능성이 가장 큰 금융 거래를 효율적으로 파악하는 데 유용하고, 대량 스트리밍 거래에서 패턴을 자동으로 검색해 부정행위 방지 및 탐지에 매우 효과적이란 설명이다.

머신러닝이 제대로 이뤄지면, 합법적이면서도 사기적인 행동을 명확하게 구분할 수 있을 뿐만 아니라 시간이 지남에 따라 이전에는 볼 수 없었던 새로운 사기 전술에 적응할 수 있다고 그는 주장했다.

이는 데이터의 패턴을 해석해 정상적인 행동과 비정상적인 행동을 구분하는 능력을 지속해서 개선해야 하는 과정으로, 수천 개의 연산을 밀리초 내에 정확하게 수행하는 매우 복잡한 과정이라고 설명했다.

계획적인 조직범죄는 매우 정교하고 적응이 빠르므로 일률적인 분석기법에 기초한 방어전략은 수준 이하의 결과를 낳을 것이라고 그는 주장했다.

따라서 각 사례는 당면한 문제에 고도로 최적화된 이상 징후 감지 기법에 따라 지원되며, 지도 모델과 비지도 모델 모두 부정행위 탐지에 중요한 역할을 하기 때문에 포괄적인 사기 방지 전략을 짜야 한다는 것이다.

또 조직화한 부정행위의 정교함과 속도를 감안할 때, 행동 프로파일은 각 거래에 따라 업데이트돼야 하며, 이는 금융기관이 개인의 행동을 예측하고, 규모에 맞게 부정행위 탐지 전략을 실행할 수 있도록 지원하는 핵심 요소라고 그는 강조했다.

특히, 머신러닝 기법은 합법적 행동 변화와 불법적인 행동 변화를 구분하는 기능이 있다고 덧붙였다.

거래 증가가 금융 사기 위험 키워

올해 5월 10일 버틈라인 테크놀러지스의 사이버 사기와 리스크 관리 부문의 옴리 클레터(Omri Kletter) 부사장은 가장 위험한 형태의 사이버 사기를 방지하기 위한 팁을 버틈라인 웹 뉴스에 공개했다.

클레터 부사장은 “디지털 금융 거래가 증가함에 따라 사이버 사기 기회도 증가한다.”며, “돈세탁부터 신원 도용, 해킹, 데이터 도용 등에 이르기까지 모든 것이 포함된다”라고 밝혔다.

사이버 사기에는 4가지 주요 위험이 있다고 클레터 부사장은 말했다.

첫째, 계좌 인수는 사기꾼들이 다른 사람의 계좌에 접근해 돈을 인출하는 행위다.

둘째, 응용 프로그램 사기의 경우, 사기꾼이 고객인 척하고, 갚을 의사가 없는 대출/신용 카드 등을 신청하는 행위다.

셋째, 직원 사기는 기업체 직원이 회사 내 허점을 이용해 부정 지급하는 것이다.

넷째, 공인된 누름 결제 사기가 있으며, 이는 소비자와 기업을 속여 외부 계좌로 결제하도록 유도하는 행위다.

결제 및 자금 이동을 가상으로 처리하는 모든 조직은 사이버 사기에 취약하다고 클레터 부사장은 평가했다.

그는 글에서 사이버 금융 사기 위험을 줄일 수 있는 몇 가지 방법을 제시했다.

우선, 머신러닝에 투자해 기존 분석과 결합한 자동 부정행위 탐지 및 후속 부정행위를 평가하는 것과 최대한 많은 자료를 수집해 부정행위 탐지를 지원하는 것 등이다.

여기에다 기업, 은행 및 규제 기관 등과의 모범 사례 및 데이터 공유, 내부 및 외부 부정행위 징후를 안정적으로 식별할 수 있도록 직원을 교육하는 것들이 포함된다.

지난해 2월 14일 솔루션 개발자들의 모임인 ‘DEV 커뮤니티’ 블로그에 기술 저술가 프라빈 미샤(Praveen Misha)도 “전 세계적으로 거래가 증가하면서, 금융 사기의 위협도 커져서 이를 막기 위해 강력한 기술로 인공지능이 떠올랐다”고 밝혔다.

미샤에 따르면, 인공지능은 요즘 기업의 사기 탐지 방식을 재정립하고 있다며, 이는 기존의 제한된 부정행위 패턴만 분석하는 것을 넘어서 이전 데이터에 대해 훈련된 지도 학습 알고리즘을 비지도 학습과 결합해 새로운 부정행위를 효과적으로 탐지하는 것이라고 설명했다.

AI를 사용한 부정행위 탐지 기능은 데이터 분석을 밀리초 내에 완료해 사기 분석가들이 위험 점수가 최고조에 달했을 때와 같은 중요한 사례에 집중할 수 있도록 지원한다고 덧붙였다.

자동화된 AI 알고리즘의 사용은 사기 분석가의 업무 품질과 효율성을 높여서 대기업들이 사기행위 방지를 위해 AI를 선호한다고 그녀는 주장했다.

AI로 목소리 변조하는 사기 기승

몇 년전부터 해커들이 AI 딥페이크 기능을 이용한 목소리 변조로 금융 사기를 벌이고 있다고 해외 언론들이 보도했다.

지난 2019년 8월 30일 더 월스트리트 저널 리포터 캐서린 스터프(Catherine Stupp) 기자는 “사기꾼들이 AI를 이용해 CEO의 목소리를 흉내 낸다“고 보도했다.

이 기사에 따르면, 사기 범죄자들이 최고 경영자의 목소리를 사칭하기 위해 인공지능 기반 소프트웨어를 사용했으며, 이 해킹에 무려 22만 유로(24만3천 달러)를 송금하도록 요구했다는 내용이다.

영국에 본사를 둔 에너지 회사의 CEO는 어느 날, 전화 한 통화를 받았다. 그 전화는 모회사인 독일에서 온 것으로 전화를 건 사람은 영국 자회사 CEO의 상사이었다.

영국의 CEO에 따르면, 그 독일 모회사의 CEO는 헝가리 납품업체에 한 시간 내에 대금을 지불하라고, 매우 긴급한 목소리로 요청했다는 것이다. 자회사의 CEO는 처음에는 목소리를 알아차리지 못하고, 어쩔 수 없이 동의했으나, 두 번째는 목소리를 알아차리고, 지불을 거절했다.

해커로 짐작되는 그들은 AI 기반 소프트웨어를 이용해 독일 모회사 CEO의 목소리를 전화로 흉내내는 데 성공한 것으로 추정된다고 스터프 기자는 보도했다.

AI를 이용한 사이버 범죄는 이것이 처음이며, 전문가들은 해커들이 회사 네트워크에 접속하지 못하도록 설계된 기존의 사이버 보안 툴이 음성 변조를 발견하지 못했다고 전했다.

필립 아만(Philip Aman) 유로폴 유럽 사이버범죄센터 전략실장은 “AI를 이용한 사이버 공격이 증가할지는 예측하기 어렵지만, 공격의 성공이나 수익을 높일 경우, 해커들이 이 기술을 사용할 가능성이 크다”고 지적했다.

사이버 보안 회사의 데이터 책임자인 바비 필라(Bobby pillar)는 “일부 소프트웨어 회사들은 목소리를 빠르게 흉내낼 수 있는 서비스를 제공할 수 있다며, 이를 위해 수학 박사학위까지 받을 필요는 없다”라고 주장했다.

또 이라클리 베리제(Irakli Beridze) 유엔지역범죄사법연구소 AI 로봇센터 소장은 “머신러닝 기술을 음성에 적용하면 사이버 범죄가 쉬워진다”고 밝혔다.

한편, 비슷한 시기에 이스라엘의 알리스 라자고팔(Alarice Rajagopal) 선임 작가는 사이버 시큐리티 허브(Cyber Security Hub)에 “AI가 새로운 유형의 보이스피싱 사이버 공격을 확대시킬 수 있다”고 경고했다. 이 역시 AI를 이용해 기업의 고위 임원을 사칭하는 것이다.

알리스에 따르면, 이스라엘 국가 사이버 디렉터레이트(INCD)가 AI를 활용해 새로운 유형의 사이버 공격에 대한 경고를 발령했는데 회사 직원에게 네트워크상에서 송금 등의 악의적인 활동을 수행하도록 지시하는 내용이다.

과거엔 기업 이메일을 이용한 타협 방식의 사기행위(BEC)가 많았지만, 최근에 AI 기반 소프트웨어를 활용해 고위 임원에게 보이스피싱 전화를 거는 방식이 이용된다는 것이 INCD의 보고 내용이다.

이 공격용 소프트웨어는 정해진 사람의 목소리를 흉내내는 법을 배우고, CEO를 대신해 직원과 대화를 한다. 또 최근에는 특정 음성을 듣고, 20분 후에 사용자가 학습된 음성으로 입력하는 모든 것을 말할 수 있는 AI 프로그램도 있다는 주장이다.

매트릭스 메디컬 네트워크의 정보 보안 책임자인 레베카 윈(Rebecca Wynn) 박사는 “이에 대처하려면, 직원들이 정상적인 요청 및 절차를 벗어난 관리자의 지시를 받는 교육을 받아야 하며, 이러한 요청을 확인할 수 있는 프로세스를 갖추어야 한다”고 주장했다.

케이트 파지니(Kate Faginy) CNBC 사이버 보안 기자는 “범인들은 이미 전화를 패러디할 수 있으며, 행정부의 목소리마저 흉내 내는 것은 안전장치들조차도 무시할 수 있다”는 것을 입증한다고 강조했다.

INCD 관계자에 따르면, 이러한 사기의 희생양이 되는 기업은 큰 경제적 피해를 볼 수 있으며, 직원 교육, 조직 프로세스 편차 주의, 지시사항 확인, 전자 메일 오남용 방지 등을 위한 기술적 수단 활용 등의 주의사항들을 건의했다.