가짜 Bard 다운로드로 악성코드 유포, 구글 사기범에 소송 제기

새로운 기술이 주목을 받으면 사기꾼들이 가장 먼저 냄새를 맡기 마련입니다. 생성형 AI 열풍을 틈타 악성코드를 퍼뜨리는 수법이 기승을 부리자 구글이 결국 법적 대응에 나섰습니다.

구글은 생성형 AI 서비스 바드(Bard)를 사칭해 악성코드를 유포한 사기범들을 상대로 미국 캘리포니아 법원에 소송을 제기했습니다. 피고는 베트남에 거주하는 것으로 추정되는 신원 불상의 개인 세 명입니다.

바드 '다운로드' 광고로 속여 소셜 계정 탈취

사기범들이 노린 것은 최신 AI 기술을 써보고 싶지만 작동 방식을 잘 모르는 사용자들의 심리였습니다.

이들은 페이스북 등 소셜 미디어에 공식 페이지처럼 꾸민 계정을 만들고 유료 광고까지 집행했습니다. 그러면서 바드의 '최신 버전'이나 아직 공개되지 않은 버전을 다운로드할 수 있다며 사용자를 유인했습니다. 바드가 마치 컴퓨터에 따로 설치해야 하는 유료 소프트웨어인 것처럼 속인 것입니다.

하지만 구글 바드는 웹사이트에서 무료로 접속해 사용하는 브라우저 기반 서비스이며 별도의 다운로드 프로그램이 전혀 없습니다. 사기범들이 유도한 파일을 내려받으면 컴퓨터에 악성코드가 설치되어 소셜 미디어 로그인 계정과 개인정보가 고스란히 털리게 됩니다.

이들은 사기 행각을 위해 구글과 구글 AI, 바드 등 공식 상표를 무단으로 도용해 피해자들을 안심시켰습니다.

300번 요청해도 소용없자 법원으로 간 구글

구글이 곧바로 법정으로 간 것은 아닙니다. 기존의 차단 방식으로는 한계가 명확했기 때문입니다.

구글 공식 블로그에 따르면 구글은 이 사기범들과 관련해 이미 약 300건의 게시물 삭제 및 조치 요청을 진행했습니다. 하지만 하나를 막으면 다른 계정과 도메인으로 옮겨가는 두더지 잡기식 상황이 이어졌습니다.

결국 구글은 법원의 명령을 통해 이들이 향후 악성 도메인을 새로 개설하지 못하도록 막고, 미국 도메인 등록업체들이 이들의 도메인을 강제로 비활성화하도록 요청했습니다.

할리마 들레인 프라도 구글 법무총괄은 소송이 법적 선례를 남기고 사기범들의 도구를 무력화하며 악의적 행위자에 대한 처벌 수위를 높이는 효과적인 수단이라고 밝혔습니다.

왜 중요한가

과거 가상자산 열풍 때와 마찬가지로 새로운 기술에 대한 대중의 호기심은 언제나 사이버 범죄자들의 쉬운 먹잇감이 됩니다.

일반 사용자나 창작자 입장에서는 이번 사건을 확실한 경고로 삼아야 합니다. 주요 빅테크의 생성형 AI 모델은 대부분 브라우저에서 바로 쓰거나 공식 앱스토어에서만 제공됩니다. 소셜 미디어 광고를 통해 별도 설치 파일을 내려받으라고 권유한다면 십중팔구 악성코드라고 의심해야 합니다.

우리는 구글이 베트남 기반의 신원 불상자들을 상대로 연방 소송을 건 방식이 꽤 영리하다고 봅니다. 해외에 숨은 개인을 직접 검거하기는 어렵더라도, 미국 법원의 판결을 확보하면 미국 도메인 등록 기관과 플랫폼을 통해 이들의 인프라를 합법적으로 끊어낼 수 있기 때문입니다.

다만 구글 같은 빅테크조차 자사 브랜드를 도용한 광고를 막기 위해 300차례나 삭제 요청을 해야 했다는 점은 뼈아픕니다. 소셜 플랫폼들의 악성 광고 검수 시스템이 사기 수법의 속도를 따라가지 못하고 있다는 불안한 현실을 여실히 보여줍니다.