AI 피싱이 먹히는 이유는 예전의 허점이 사라졌기 때문입니다. 오타와 낯선 목소리 대신 유창한 이메일과 복제된 목소리가 오고, 최악의 경우 낯익은 얼굴이 가득한 화상 통화까지 등장합니다. 다행히 소규모 기업이 값비싼 피해를 막는 통제 수단은 대부분 무료입니다. 결제 정보 변경은 이미 가지고 있는 번호로 전화해 확인하고, 송금은 두 사람이 승인하게 하고, 로그인은 패스키로 옮기면 됩니다.
위험은 계속 커지고 있습니다. FBI 인터넷범죄신고센터(IC3)에 접수된 2025년 신고는 1,008,597건, 보고된 피해액은 208억 7,700만 달러로 전년 대비 26% 늘었고, 그중 비즈니스 이메일 침해(BEC)만 30억 5,000만 달러였습니다(FBI IC3 2025 보고서). 같은 보고서에는 AI를 언급한 신고가 22,364건, 피해액이 8억 9,300만 달러로 집계되어 있습니다.
올해 업계 데이터도 같은 방향을 가리킵니다. Microsoft에 따르면 자사 데이터에서 보이스 피싱 공격의 93%가 피해자를 사기를 시작할 만큼 오래 통화에 붙잡아 두었습니다(Microsoft Digital Defense Report 2026). Verizon은 피싱 시뮬레이션에서 음성·문자 미끼의 클릭률 중앙값이 이메일보다 40% 높다고 밝혔습니다(Verizon 2026 DBIR). 이 글은 보안팀 없이 운영되는 5~100명 규모 회사의 대표, 재무·총무 담당자를 위한 내용입니다.
2026년 수치가 말해주는 AI 사기의 현실
AI를 따지기 전에도 보고된 사이버 범죄 피해액은 4년 사이 세 배가 되었습니다. 아래 IC3 수치는 피해자가 FBI에 알린 금액이므로 실제 총액은 더 큽니다.
AI 관련 수치는 과장된 이야기와 어긋나므로 꼼꼼히 읽어야 합니다. IC3는 피해자의 신고 내용에 AI가 언급되면 AI 관련 신고로 분류합니다. 이 기준으로 2025년 AI를 언급한 BEC는 135건, 약 3,000만 달러였습니다. BEC 전체 피해액 30억 5,000만 달러의 1% 정도입니다. AI로 분류된 피해액은 대부분 투자 사기에 몰려 있습니다.
두 가지 해석이 동시에 성립합니다. FBI는 AI 건수가 현실을 과소평가한다고 봅니다. AI 연관성이 보고된 투자 신고의 피해액이 6억 3,200만 달러가 넘는 반면 투자 사기 전체 피해액은 80억 달러를 넘는데, FBI는 많은 피해자가 AI가 쓰인 사실을 모르기 때문이라고 설명합니다. 그런데도 기업의 돈은 여전히 가장 오래된 요구를 통해 빠져나갑니다. 오늘 안에 이 새 계좌로 송금하라는 요구입니다.
이 가이드의 입장도 같습니다. AI는 요청이 얼마나 그럴듯해 보이는지를 바꿀 뿐, 요청이 시키는 일 자체는 바꾸지 않습니다. 결제, 로그인, 채용 결정을 지키면 공격자가 AI를 썼든 아니든 대비가 됩니다.
이제 전문가처럼 보이는 여섯 가지 사기
새로운 수법은 하나도 없습니다. 모두 최근 2년 사이 더 싸지고 더 그럴듯해졌고, 각각 실제로 확인된 사례가 있습니다.
대규모로 쏟아지는 유창한 피싱
IC3에 따르면 채팅형 생성 AI는 회사 CEO를 흉내 내고 피싱 링크나 송금 안내를 담은 공식적인 어투의 이메일을 빠르게 써냅니다. 직원들이 쓰는 ChatGPT 같은 어시스턴트와 같은 종류입니다. 더 큰 변화는 물량입니다. Microsoft는 지난 12개월 동안 비즈니스 이메일 사칭 공격 4,600만 건 이상, QR코드 피싱 공격 1억 4,500만 건 이상을 집계했습니다. 이제는 AI가 내장된 키트도 나옵니다. 올해 초 FBI가 경고한 Kali365 서비스는 AI로 만든 미끼와 Microsoft 365 계정 탈취 도구를 함께 판매합니다(FBI IC3).
몇 초의 음성으로 만드는 목소리 복제
OpenAI는 2024년에 자사 Voice Engine이 15초짜리 샘플 하나만으로 화자와 매우 비슷한 자연스러운 음성을 만들 수 있다고 밝히고, 은행 계좌의 음성 인증은 단계적으로 폐지하라고 권고했습니다(OpenAI). 상용 복제 서비스는 접근하기 쉽습니다. Consumer Reports가 2025년에 음성 복제 제품 6개를 평가했을 때, ElevenLabs를 포함한 4개는 해당 목소리를 복제할 권리가 있다는 확인란에 체크만 하면 되었습니다. (정당한 활용 사례는 AI 음성 생성기 비교에서 다룹니다.)
이 수법이 가장 많이 쓰이는 곳은 전화입니다. IC3는 2025년에 가족의 목소리를 복제한 위급 상황 사기로 500만 달러 넘는 피해를 집계했습니다. 회사 안에서는 'CEO'가 WhatsApp으로 거는 전화나 남기는 음성 메시지가 이런 사례입니다. LastPass는 2024년에 한 건을 공개했습니다. 직원이 최고경영자의 오디오 딥페이크가 담긴 전화, 문자, 음성 메시지를 받았는데, 평소의 채널이 아닌 곳에서 지나치게 급하게 연락이 와서 신고했다고 합니다.
딥페이크 화상 통화
재무팀이라면 누구나 Arup 사례를 알아야 합니다. 2024년 이 엔지니어링 회사 홍콩 사무소의 직원이 비밀 거래에 관한 메시지를 받고 화상 통화에 들어갔는데, CFO와 동료처럼 보이고 들리는 사람들이 있었습니다. 전부 가짜였습니다. 직원은 15차례에 걸쳐 2억 홍콩달러, 약 2,560만 달러를 보냈습니다(CNN). Arup은 내부 시스템은 하나도 뚫리지 않았다고 밝혔습니다. 해킹이 아니라 사람을 설득해서 생긴 손실이라는 뜻입니다.
다른 곳에서도 같은 수법이 시도되었습니다. 2024년 사기범들은 WPP의 최고경영자 Mark Read를 사칭해 음성 복제와 YouTube 영상으로 Microsoft Teams 회의를 열었지만 실패했습니다. 작년에는 보안업체 Huntress가 Zoom 통화 사례를 소개했습니다. 회사 임원진의 딥페이크가 직원을 설득해 악성코드가 든 가짜 확장 프로그램을 설치하게 만든 사건입니다. 이런 사기에는 정해진 흐름이 있고, 단계마다 소규모 팀이 끊어낼 수 있는 확인 지점이 있습니다.
세 가지 확인 지점 중 어느 것도 가짜를 알아보라고 요구하지 않습니다. 영상이 완벽해도 통하기 때문에 목록의 맨 위에 둘 가치가 있습니다.
가짜 거래처와 청구서 변경
여전히 가장 큰 유형으로, 2025년 BEC 신고 24,768건에서 30억 5,000만 달러가 나갔습니다. 흔한 형태는 실제 거래처의 탈취된 메일함에서 은행 정보가 바뀌었다는 메시지를 보내는 것입니다. 이메일이 진짜이므로 일반적인 기술적 검사를 통과할 수 있습니다. 이를 잡아내는 것은 아는 번호로 변경 사항을 확인하는 사람입니다.
가짜 지원자와 가짜 채용 담당자
채용이 침투 경로가 되었습니다. FBI는 북한 IT 인력이 미국 내 협력자의 도움을 받아 신원을 위장하고 원격 일자리를 얻으며, 한 사람이 면접을 보고 다른 사람이 일하는 경우도 있다고 경고합니다(FBI IC3). 2025년 IC3 보고서에는 입 모양이 음성과 맞지 않는 면접 사례가 나오는데, 목적은 대개 돈이 아니라 네트워크 접근입니다. 반대 유형의 사기는 채용됐다고 믿는 구직자를 노립니다. IC3의 취업 사기 범주는 2025년 피해액이 3억 6,300만 달러로, 2년 전의 7,000만 달러에서 늘었습니다.
MFA를 우회하는 키트
문자 메시지 코드와 인증 앱 알림으로는 최신 피싱 키트를 막지 못합니다. 올해 Microsoft와 수사당국이 무력화한 Tycoon2FA는 비밀번호와 일회용 코드를 실시간으로 가로챘으며, Microsoft에 따르면 2025년 중반에는 자사가 차단한 피싱 시도의 약 62%를 차지했습니다. Kali365는 사용자가 진짜 Microsoft 페이지에서 기기 코드를 입력하게 만들어, 비밀번호도 MFA도 필요 없는 토큰을 넘겨받습니다. 동의 피싱(consent phishing)은 사용자가 악성 앱을 승인하게 만드는 수법으로, FBI는 비밀번호를 바꿔도 그 승인은 취소되지 않는다고 경고합니다(FBI IC3).
돈의 대부분을 지켜주는 무료 통제 수단
방어책을 비용 대비 차단 효과로 줄 세우면 상위 세 가지는 비용이 들지 않습니다. 문서로 적어 두고 매번 지키는 규칙이며, 요청이 이메일이든 복제된 목소리든 화면 속 얼굴이든 똑같이 통합니다.
- 은행 정보 변경이나 신규 수취인은 모두 이미 가지고 있는 번호로 전화해 확인합니다. 거래처 파일, 계약서, 직원 연락처에 있는 번호를 쓰고, 메시지에 적힌 번호나 발신자 표시 번호는 절대 쓰지 않습니다.
- 정해 둔 금액 기준을 넘는 모든 결제는 두 사람이 승인하게 하고, 두 번째 사람이 다시 전화 확인이 이루어졌는지 점검하게 합니다.
- 재무 담당자와 경영진 사이에 송금 요청용 암호 단어나 확인 질문을 정하고, 이메일과 채팅에는 절대 적지 않습니다.
다시 전화하는 방법이 가장 강력한 이유는 대화를 공격자가 통제하지 못하는 채널로 옮기기 때문입니다. AI 음성 사기에 대한 FBI의 조언도 같습니다. 전화를 끊고, 해당 기관의 번호를 직접 찾아 그쪽으로 걸라는 것입니다(FBI IC3). 당일 은행 정보 변경 금지 규칙을 더하면 '한 시간 안에 계약이 마감된다'는 식의 시나리오가 압박 효과를 잃습니다.
2인 승인은 서두르는 한 사람이 놓치는 부분을 잡아냅니다. Arup에서는 직원 한 명이 15번에 걸쳐 돈을 옮겼습니다. 전화 확인 여부를 확인해야 하는 두 번째 승인자가 있었다면, 두 사람을 두 번 속여야 했을 것입니다. 거래 은행의 비즈니스 플랫폼이 전신환(wire)과 ACH에 이중 승인(dual control)을 지원하는지 문의해 보세요. 지급 업무를 자동화하는 중이라면 회계·재무 분야의 AI 가이드를 참고하세요.
암호 단어는 효과를 직접 보기 전까지는 구식처럼 들립니다. 2024년 Ferrari의 한 임원은 CEO Benedetto Vigna의 남부 이탈리아 억양을 흉내 내는 사람에게서 전화를 받았습니다. 그는 며칠 전 Vigna가 추천해 준 책의 제목을 물었고, 통화는 갑자기 끊겼습니다(Fortune). FBI가 가족끼리 비밀 단어를 정해 두라고 권하는 이유도 같습니다. 팀이라면 글로 남은 적 없는 문구를 고르세요.
무료 규칙이 하나 더 있습니다. 평소와 다른 채널로 온 요청은 확인되지 않은 것으로 취급하세요. LastPass 사례가 눈에 띈 것도 일부는 'CEO'가 WhatsApp으로 나타났기 때문이고, WPP의 CEO도 자신의 사진을 쓴 계정이 본인이라는 증거는 아니라고 직원들에게 경고했습니다. 회사가 송금과 접근 권한에 쓰는 채널을 적어 두세요. 이 모든 절차는 한 장에 담겨, 결제를 담당하는 사람 옆에 붙여 둘 수 있습니다.
핵심은 노란색 단계입니다. 그 주변의 모든 절차는 돈이 움직이기 전에 반드시 전화 확인이 이루어지게 하려고 존재합니다. 메시지가 왔는데 확신이 서지 않을 때는 아래 세 가지 질문이 돈이 걸린 요청, 즉 결제, 코드, 설치를 다룹니다.
대부분의 경로는 같은 결론으로 끝납니다. 이미 신뢰하는 채널로 확인한 다음에 행동하세요.
돈을 낼 가치가 있는 기술적 통제
프로세스는 결제를 막고, 기술은 흔히 그보다 먼저 일어나는 계정 탈취를 막습니다. 사기범이 몇 주 동안 실제 메일함을 들여다보다가 그 메일함에서 타이밍이 완벽한 청구서를 보내는 경우입니다. 소규모 팀이 적은 비용으로 가장 큰 보호를 얻는 순서는 다음과 같습니다.
먼저 패스키, 그다음 옆문 닫기
CISA는 피싱에 강한 MFA를 최고 수준의 표준으로 부르며, 널리 쓸 수 있는 형태는 패스키와 하드웨어 보안 키의 기반인 FIDO/WebAuthn뿐이라고 말합니다(CISA). SMS 코드는 피싱과 SIM 스와핑에 취약하고, 일회용 코드도 피싱당할 수 있습니다. 관리자 권한이 있거나 돈을 움직일 수 있는 사람부터 시작하고, 그다음 모든 직원의 이메일로 넓히세요. Microsoft의 2026년 보고서도 피싱에 강한 MFA와 패스키를 공격에 대한 최선의 방어책으로 꼽습니다.
패스키가 모든 문을 닫아 주지는 않으며, Kali365와 동의 피싱 경고가 중요한 이유가 여기에 있습니다. Microsoft 365에서는 FBI가 실제 업무상 필요가 있는 경우를 제외하고 기기 코드 로그인을 차단하는 조건부 액세스 정책을 권장합니다. Microsoft 문서에 따르면 기본 설정에서는 사용자가 앱이 자기 메일함을 읽도록 동의할 수 있으며, 검증된 게시자의 앱에만 동의를 허용하라고 권고합니다. Okta 같은 다른 ID 공급자를 쓴다면 같은 두 가지 통제를 찾아보세요. (어떤 AI 도구가 회사 데이터를 볼 수 있는지는 AI 데이터 프라이버시 프레임워크에서 다룹니다.)
이메일 인증: Gmail과 Outlook이 이제 요구하는 것
SPF, DKIM, DMARC는 수신 서버가 해당 도메인에서 왔다고 주장하는 메일이 실제로 그 도메인에서 왔는지 확인하게 해 줍니다. Gmail은 모든 발신자에게 SPF나 DKIM 설정을 요구하고, 하루 5,000통 이상을 보내는 발신자에게는 세 가지 모두와 일치하는 From 주소를 요구합니다(Google). Outlook도 2025년에 대량 발신자(하루 5,000통 초과)에게 비슷한 규칙을 적용해, SPF와 DKIM을 통과하고 DMARC가 최소 p=none이어야 하며 그렇지 않으면 메일이 거부됩니다(Microsoft).
대부분의 소규모 기업은 하루 5,000통보다 훨씬 적게 보내는데 왜 신경 써야 할까요? quarantine이나 reject 수준의 DMARC는 이를 집행하는 모든 수신처에서 범죄자가 귀사의 정확한 도메인으로 메일을 보내지 못하게 막기 때문입니다. 한 글자만 다른 유사 도메인이나, 실제 거래처 메일함 안에 들어온 공격자에게는 아무 효과가 없습니다. p=none으로 시작해 몇 주 동안 보고서를 읽고, 청구서 발송 도구 같은 정상 발신자를 바로잡은 뒤 단계를 높이세요.
전 직원을 위한 비밀번호 관리자
비밀번호를 재사용하면 피싱당한 로그인 하나가 다섯 개로 늘어납니다. Bitwarden Teams 요금제는 연간 결제 시 사용자당 월 $4입니다. 1Password는 Business가 사용자당 월 $8.99이고, 10명용 Teams Starter Pack은 월 $24.95입니다. 10명 규모 사무실이라면 월 $25에서 $90 정도입니다.
메일 필터링과 모의 훈련
Microsoft 365에서는 Defender for Office 365 Plan 1이 사용자당 월 $2이며, 악성 링크, QR코드, 제로데이 첨부 파일을 포함해 이메일, Teams, SharePoint, OneDrive를 보호합니다. 최대 300명까지 사용자당 월 $22인 Business Premium에는 이미 Defender for Office 365가 포함되어 있습니다. Abnormal AI, Proofpoint, Mimecast 같은 전문 플랫폼은 그 위에 얹는 방식입니다. Abnormal은 BEC와 거래처 이메일 침해를 겨냥한 행동 기반 탐지를 판매하며, 가격은 공개하지 않고 Fortune 500의 30%가 쓴다고 밝히므로 엔터프라이즈 견적을 예상해야 합니다. 무료 통제 수단을 갖춘 뒤에 견적을 받으세요.
사기 대응 훈련은 1년에 두 번 하고, 이메일에만 한정하지 마세요. Verizon 데이터에서는 시뮬레이션에서 음성·문자 미끼가 이메일보다 성과가 좋았고, 공격자가 요청 전에 그럴듯한 이야기를 꾸며 두는 프리텍스팅은 2026년 데이터에서 전체 침해의 6%에 이르렀습니다. '은행'이라며 경리 담당자에게 거는 5분짜리 기습 전화가 한 시간짜리 슬라이드 교육보다 더 많은 것을 가르쳐 줍니다. 각 방어책을 비교하면 다음과 같습니다.
이 점수는 벤치마크가 아니라 편집부의 판단입니다. 위쪽 두 행의 가장 저렴한 통제 수단이 가짜 결제와 가짜 목소리를 막는 수단이기도 합니다. 계정 탈취 열은 패스키가 차지합니다. 딥페이크 탐지기는 거의 모든 항목에서 뒤처지는데, 이유는 다음 섹션에서 설명합니다.
딥페이크 탐지가 할 수 있는 것과 없는 것
탐지 업체들은 인상적인 수치를 내세웁니다. Pindrop은 오디오 딥페이크를 약 2초 만에 탐지하며 알려진 엔진에 대해 정확도 99%라고 밝힙니다. Sensity는 공개 데이터셋에서 98%를 제시합니다. 2025년 Consumer Reports가 평가한 음성 복제 제품 중 하나인 Resemble AI는 이제 홈페이지 맨 앞에 탐지 기능을 내세우고 오디오에서 99.5%를 주장합니다. 단서 조항에 주목하세요. 알려진 엔진, 공개 데이터셋입니다.
현실의 가짜는 더 어렵습니다. 소셜 미디어에서 돌아다니는 딥페이크로 만든 Deepfake-Eval-2024 벤치마크에서, 주요 오픈소스 탐지기는 기존 학술 테스트 세트에 비해 정확도(AUC 기준)가 약 절반으로 떨어졌습니다. 영상 50%, 오디오 48%, 이미지 45% 하락입니다(arXiv). 상용 탐지기는 더 나았지만 훈련된 포렌식 분석가에는 여전히 못 미쳤습니다. 사람은 더 못합니다. 생체인증 업체 iProov의 2025년 연구에서 참가자 2,000명 중 진짜와 가짜를 모두 정확히 가려낸 사람은 0.1%뿐이었습니다.
FBI가 알려주는 시각적 팁은 여전히 알아둘 만합니다. 지원자에게 얼굴 앞에서 손을 흔들어 보라고 하고, 일그러진 손이나 어색한 지연을 살피세요. 다만 경보 장치 정도로만 쓰세요. 생성 기술은 체크리스트보다 빠르게 발전합니다.
더 유망한 방향은 픽셀 대신 기기를 확인하는 것입니다. Google은 올해 Pixel 휴대폰부터 Android에 가짜 통화 탐지 기능을 내놓기 시작했습니다. 연락처에서 전화가 오면 휴대폰이 그 연락처의 실제 기기에 확인하고, 그 기기가 전화를 걸고 있지 않으면 끊으라는 경고가 뜹니다. 양쪽 모두 Android 12 이상에서 Google의 전화 앱(그리고 Google의 연락처·메시지 앱)을 써야만 작동하므로, 통제 수단이 아니라 보너스로 여기세요. 목소리가 얼마나 진짜 같은지 사람이 판단할 필요가 없다는 점이 장점입니다.
그렇다면 탐지기는 누가 사야 할까요? 음성으로 발신자를 인증하는 콘택트센터, 대량으로 원격 직원을 채용하는 회사, 임원이 화상으로 살다시피 하는 회사입니다. Reality Defender는 월 오디오·이미지 스캔 50건의 무료 개발자 티어와 통화·화상 회의용 제품을 제공하고, 무료 Hive AI Detector 확장 프로그램은 이미지, 영상, 텍스트, 오디오를 검사합니다. 20명 규모 회사에게 이런 도구는 두 번째 방어선입니다. 탐지기가 진짜 통화라고 해도 다시 전화해서 확인해야 합니다. 더 넓은 분야는 AI 사이버 보안 도구 보드에서 추적합니다.
이제 채용도 공격 표면입니다
노트북과 관리자 로그인을 가진 가짜 직원은 가짜 청구서보다 더 큰 피해를 줄 수 있습니다. 북한 IT 인력을 알아보기 위한 FBI의 지침은 모든 원격 채용에 그대로 적용할 수 있습니다.
- 배경이 보이는 상태의 화상 면접을 고집하고, 지원자에게 얼굴 앞에서 손을 흔들어 보라고 하세요. AI 생성 영상에 오류가 생길 수 있습니다.
- 이전 근무 이력과 학력은 해당 회사와 학교에 직접 확인합니다.
- 사진, 이름, 연락처를 소셜 프로필과 포트폴리오 사이트와 교차 확인합니다.
- 장비는 본인 신분증에 적힌 주소로만 보냅니다.
- 오퍼 이후에 사람이 바뀌는지 살핍니다. FBI는 한 사람이 면접을 보고 다른 사람이 일하는 경우를 확인한 바 있습니다.
관리자 권한이 필요한 직무에는 Nametag 같은 신원 확인 서비스가 채용, 온보딩, 헬프데스크 재설정 단계에서 신분증과 생체 정보를 확인해 주며, 이 서비스는 북한 IT 인력에 맞선다고 직접 홍보합니다. 채용 도구 보드에 있는 AI 스크리닝을 쓴다면 그 위에 신원 확인을 추가하세요.
반대로 귀사의 브랜드가 도용될 수도 있습니다. 가짜 고용주가 구직자를 '채용'한 뒤 돈을 가로채는 경우입니다. 채용 페이지에 어느 이메일 도메인으로 채용하는지, 지원자에게 비용을 받거나 장비 구입을 요구하는 일은 절대 없다는 한 줄을 넣으세요.
30일 방어 계획
소규모 팀이라면 30일이면 위의 빈틈 대부분을 메울 수 있습니다. 순서가 중요합니다. 무료이고 가장 큰 손실을 막아 주는 돈 관련 규칙이 먼저이고, 그다음이 계정, 이메일 도메인, 사람 순입니다.
1주차: 돈 관련 규칙
다시 전화하기 규칙과 2인 승인 규칙을 한 장에 적고, 승인 금액 기준을 정하고, 모든 거래처의 은행 정보와 전화번호를 회사 기록에서 뽑아 하나의 목록으로 만드세요. 돈을 움직일 수 있는 사람들과 직접 만나 암호 단어를 정합니다. 그런 다음 은행에 어떤 이중 승인을 지원하는지, 업무 시간 외에는 어느 번호로 사기 대응팀에 연결되는지, 송금을 어떻게 회수하는지 물어보세요. IC3는 은행마다 회수 정책이 다르다고 밝히므로 지금 미리 알아 두어야 합니다.
2주차: 계정
관리자, 재무 담당자, 은행 로그인에 패스키나 보안 키를 먼저 켜고, 그다음 모든 직원의 이메일에 적용하며, 관리자는 문자 메시지 대체 수단을 제거하세요. 기기 코드 로그인을 차단하고 앱 동의를 제한합니다. 비밀번호 관리자는 재무팀부터 시작하세요.
3주차: 도메인, 채용, 공급업체
SPF와 DKIM을 게시하고, p=none으로 DMARC를 추가해 보고서를 읽기 시작하세요. 채용 단계에 채용 확인 절차를 넣고 채용 페이지 안내 문구를 추가합니다. 주요 공급업체 다섯 곳에 은행 정보 변경을 어떻게 확인할지 묻고, 우리가 변경을 어떻게 확인할지도 알려 주세요.
4주차: 사람
훈련을 실시하세요. 'CEO'가 경리 담당자에게 거는 긴급 송금 요청 전화와, 전 직원에게 보내는 문자 메시지 미끼입니다. 책임을 묻지 않는 분위기에서 결과를 점검합니다. 정상 발신자가 모두 통과하면 DMARC를 quarantine으로 올리고, 아래의 첫 1시간 체크리스트를 결제를 담당하는 사람 근처에 붙여 두세요. 그런 다음 우리 팀의 점수를 매기고, 6개월 뒤에 다시 매기세요.
7점 미만이라면 처음 두 항목부터 시작하세요. 돈을 직접 지키는 항목이기 때문입니다.
돈이 나간 뒤 첫 1시간
결제가 사기범에게 넘어갔다면 서류보다 시간이 더 중요합니다. IC3의 Recovery Asset Team은 은행과 협력해 탈취된 자금을 동결하는데, 2025년에는 추적한 11억 6,000만 달러 중 6억 7,900만 달러를 동결해 58%의 성공률을 기록했습니다. 아래 단계를 순서대로 진행하세요.
- 은행 사기 신고 전화로 연락해 결제 회수를 요청하고, 은행이 요구하는 면책(indemnification) 서류도 함께 준비합니다.
- 금액과 상관없이 ic3.gov에 거래 상세 정보(금액, 날짜, 양측 은행, 계좌번호, 참조 번호)를 모두 담아 신고합니다.
- 탈취된 메일함을 잠급니다. 비밀번호를 재설정하고, 모든 세션에서 로그아웃하고, 모르는 앱 권한을 제거하세요. 비밀번호 변경만으로는 앱의 접근 권한이 취소되지 않습니다.
- 신원이 도용된 거래처나 고객에게 회사 기록에 있는 번호로 알리고, 새 계좌로 가는 다른 결제를 중단합니다.
- 증거를 보존합니다. 전체 헤더가 포함된 이메일, 통화 기록, 채팅 메시지입니다.
- 관할 경찰에 신고하고, 사이버 보험에 가입되어 있다면 보험사에도 알립니다.
- 수수료를 받고 돈을 되찾아 주겠다는 사람은 무시하세요. FTC는 올해 회수 사기범이 정부 기관과 법률 사무소를 사칭하며, 정상적인 기관은 환불을 돕겠다며 돈을 요구하지 않는다고 경고했습니다.
IC3의 실제 사건 기록을 보면 빠른 신고가 무엇을 가져오는지 알 수 있습니다. 오리건의 한 시 정부 기관은 앞선 신고로 수취 계좌가 이미 동결되어 있었던 덕분에 600만 달러 송금을 회수했습니다. 변호사를 사칭한 가짜 이메일을 믿고 449,000달러가 넘는 돈을 송금한 주택 구매자들은 IC3가 수취 은행에 연락하자 전액이 그대로 보류되어 있음을 확인했습니다.
자주 묻는 질문
이메일 필터가 AI로 쓴 피싱을 잡아낼 수 있나요?
부분적으로만 가능합니다. Defender for Office 365는 링크, QR코드, 첨부 파일을 검사하는데, 이 중 이메일이 얼마나 유창한지에 좌우되는 것은 없습니다. 실제이지만 탈취된 거래처 계정에서 온 메시지는 인증 검사를 통과하므로 더 어렵습니다. 다시 전화하기 규칙이 필요한 이유입니다.
목소리를 복제하려면 음성이 얼마나 필요한가요?
아주 조금이면 됩니다. OpenAI는 Voice Engine에 15초면 충분하다고 밝혔습니다. 경영진이 팟캐스트, 웨비나, 소셜 영상에서 말한 적이 있다면 목소리를 복제당할 수 있다고 가정하고, 목소리로 알아보는 대신 다시 전화하기와 암호 단어에 의존하세요.
문자 메시지 2단계 인증도 없는 것보다는 낫나요?
네, 임시방편으로는 그렇습니다. CISA는 SMS와 음성 코드가 피싱과 SIM 스와핑에 취약하다고 보고, Tycoon2FA 같은 키트는 일회용 코드를 실시간으로 가로챘습니다. 관리자와 재무 담당자부터 패스키로 옮기세요.
좋은 팀 암호 단어는 어떤 것인가요?
짧고, 이메일이나 채팅에 절대 적지 않으며, 돈을 움직이는 사람들과 직접 만나서 공유하는 단어입니다. 누군가 퇴사하면 바꾸세요. Ferrari의 책 사례처럼 최근의 사적인 일을 묻는 질문도 효과가 있습니다.
우리가 승인한 결제도 은행이 환불해 주나요?
그렇게 단정하지 마세요. IC3는 금융기관마다 자금 회수 정책이 다르다고 밝힙니다. 은행에 사기 송금 시 어떻게 대응하는지 지금 물어보고, 가입한 사이버 보험이 소셜 엔지니어링 손실을 보장하는지도 확인하세요.