딥페이크 화상회의에 속았다… 다국적 기업 홍콩 지사서 2560만 달러 털려

영국 본사의 최고재무책임자(CFO)가 비밀 송금을 요청해 미심쩍은 마음에 화상회의에 접속했는데, 화면 속에 CFO는 물론 낯익은 동료들이 함께 앉아 송금을 재촉한다면 이를 의심하기란 쉽지 않습니다.

홍콩의 한 다국적 기업 사무소에서 근무하던 재무팀 직원이 이 정교한 사기극에 넘어가 무려 2억 홍콩달러(약 2,560만 달러)를 송금하는 사건이 일어났습니다.

사우스차이나모닝포스트의 보도에 따르면, 이번 사건은 딥페이크 기술로 다자간 화상회의 전체를 조작해 거액을 가로챈 홍콩 내 첫 사례입니다. 현재 홍콩 경찰이 수사를 진행 중이지만, 피해 기업의 이름은 공개되지 않았으며 아직 체포된 용의자도 없습니다.

피해자 빼고 전원이 가짜였던 화상회의

시작은 흔한 피싱 메시지처럼 보였습니다.

홍콩 지사 재무 부서의 직원은 영국에 상주하는 본사 CFO 명의로 비밀 거래를 처리해 달라는 연락을 받았습니다. 직원은 처음에는 미심쩍은 피싱 시도로 의심했습니다.

하지만 사기범들이 유도한 다자간 그룹 화상회의에 접속하면서 의심은 완전히 무너졌습니다.

회의 화면에 등장한 CFO와 다른 동료들은 피해자 한 명을 제외하고 모두 딥페이크 기술로 합성된 가짜 영상이었습니다. 사기 조직은 인터넷에 공개된 영상과 음성 데이터를 수집해 대상 인물들의 외모와 목소리를 정교하게 복제했습니다.

자신이 알던 임원진과 동료들이 실시간 화상회의에 참여해 지시를 내리자 직원은 속아 넘어갈 수밖에 없었습니다. 직원은 지시에 따라 홍콩 내 5개 은행 계좌로 15회에 걸쳐 총 2억 홍콩달러를 송금했습니다. 회사 측은 약 일주일이 지난 뒤에야 사기 사실을 인지하고 경찰에 신고했습니다.

왜 중요한가

우리는 이번 사건이 기업 보안에서 통용되던 '직접 얼굴을 보고 확인하면 안전하다'는 원칙을 완전히 무너뜨렸다고 봅니다.

그동안 많은 기업은 비정상적인 자금 이체 요청이 올 경우 전화나 영상 통화로 본인 여부를 재확인하도록 교육해 왔습니다. 하지만 공개 석상에 자주 노출되는 고위 임원일수록 학습용 음성과 영상 데이터가 풍부해 딥페이크의 가장 쉬운 타깃이 됩니다.

단순히 한 사람의 목소리를 흉내 내는 수준을 넘어, 여러 명의 직원을 가상으로 배치해 연극처럼 회의를 연출한 수법은 AI 범죄가 고도화되었음을 적나라하게 보여줍니다.

이제 글로벌 기업들은 화상 확인에 의존하는 승인 방식을 전면 수정해야 합니다. 물리적 보안 키를 사용하거나 인터넷 망과 분리된 별도 경로로 다중 서명을 거치게 하는 등, 시각과 청각 정보를 맹신하지 않는 내부 통제 시스템 도입이 시급합니다.