피싱·스미싱이란 무엇인가, 목소리까지 훔치는 AI 사회공학 공격

해킹 기법 시리즈 네 번째 주제: 피싱·스미싱·소셜엔지니어링

8월 5일, 미국 대형 헤지펀드 시타델의 한 직원은 익숙한 목소리로 걸려온 전화를 받았다. 상사의 톤, 말투, 심지어 평소 습관까지 그대로였다. 다만 그 목소리는 사람이 아니라 AI가 만든 것이었다. 같은 날 포인트72, 투시그마, 밀레니엄매니지먼트 같은 월가 큰손들도 나란히 같은 수법의 전화를 받았다. 지난 편에서 다룬 크리덴셜 스터핑이 이미 유출된 진짜 비밀번호를 재활용하는 공격이었다면, 오늘 다룰 피싱·스미싱은 그 비밀번호를, 혹은 그보다 더한 것을, 사용자가 스스로 내주게 만드는 공격이다. 기술적 결함이 아니라 사람의 판단을 노린다는 점에서 방어 방식도 완전히 다르다.

피싱·스미싱·소셜엔지니어링이란, 채널만 다른 같은 속임수

피싱(Phishing), 스미싱(Smishing), 비싱(Vishing), 큐싱(Quishing). 이름은 제각각이지만 본질은 하나다. 공격자가 신뢰할 만한 존재(은행, 상사, 택배사, 공공기관)를 사칭해 상대를 속이고, 비밀번호나 계좌 정보, 시스템 접근 권한을 스스로 넘겨주게 만드는 것. 채널만 이메일이면 피싱, 문자면 스미싱, 전화·음성이면 비싱, QR코드면 큐싱으로 나뉠 뿐이다. 사기 전화를 받아본 사람이라면 알겠지만, 이 공격의 핵심 재료는 코드가 아니라 심리다. 급하다는 압박감, 권위 있는 사람이라는 믿음, 손해 볼지도 모른다는 불안. 이 세 가지를 적절히 섞으면 사람은 평소라면 하지 않을 판단을 내린다.

왜 사람을 노리는 공격은 패치가 안 될까

SQL 인젝션이나 XSS는 결국 코드의 문제라 패치를 내면 막힌다. 그런데 피싱은 다르다. 노리는 대상이 사람의 판단력이기 때문에, 아무리 시스템을 완벽하게 다져놔도 직원 한 명이 순간적으로 속으면 그걸로 끝이다. 게다가 최근엔 AI 음성 복제 기술이 진입장벽을 크게 낮췄다. 예전엔 목소리를 흉내 내려면 어느 정도 연기력이 필요했지만, 지금은 몇 초짜리 음성 샘플만 있어도 꽤 그럴듯한 복제 음성을 만들 수 있다. 실제로 8월 5일 헤지펀드 공격에서도 공격자들은 임원과 동료의 목소리, 말투, 어미까지 복제해 직원에게 접근했다. 완벽한 방어는 사실상 불가능하고, 그래서 보안업계는 “언젠가는 누군가 속는다”는 전제 아래 탐지와 검증 절차를 겹겹이 쌓는 쪽으로 방향을 잡고 있다.

최근 실제 사례로 보는 피싱·스미싱

8월 5일 공격은 결과가 갈렸다. 투시그마는 시도 자체를 막아내 피해가 없었다고 밝혔고, 포인트72는 공격을 받았지만 1차 조사에서 고객 데이터 유출은 없었다고 투자자들에게 알렸다. 반면 시타델과 밀레니엄은 방어에 성공했는지 여부에 대한 언급 자체를 피했다. 이 사건이 특히 주목받은 이유는 따로 있다. 미국 금융산업규제청(FINRA)이 새로 만든 침해 대응 조직 ‘파이낸셜 인텔리전스 퓨전 센터’가 이번 공격으로 처음 실전 가동됐기 때문이다. 만든 지 얼마 안 된 대응 체계가 곧바로 시험대에 오른 셈이다.

이런 일이 처음은 아니다. 올해 초 스타벅스는 직원 포털 ‘파트너 센트럴’의 로그인 화면을 그대로 베낀 가짜 사이트에 직원 889명이 정보를 입력하는 바람에 이름, 주민등록번호에 해당하는 사회보장번호, 계좌번호까지 새어 나갔다. 3월에는 신원보호 서비스를 파는 회사 오라(Aura)가 직원 한 명을 노린 음성 피싱 공격으로 뚫려 약 90만 건의 고객 정보가 유출됐다. 아이러니하게도 남의 정보를 지켜준다던 회사가 정작 자기 직원의 목소리 확인 절차 하나를 못 뚫은 셈이다. 해커 조직 샤이니헌터스가 자신들의 소행이라고 밝혔는데, 이들은 이전에도 세일즈포스 연동 고객사들을 상대로 비슷한 수법을 반복해온 조직이다.

국내 상황도 다르지 않다. 2025년 1분기 보이스피싱 피해액은 3116억원으로 전년 같은 기간의 2.2배로 뛰었고, 건당 평균 피해액도 5301만원에 달했다. 검찰·경찰·금융감독원 등 공공기관을 사칭하는 수법이 전체의 절반을 넘었다는 점도 눈여겨볼 만하다.

피싱·스미싱 방어 체크리스트

일반 사용자라면 이 정도는 습관으로 만들어두는 게 좋다. 문자나 메일 속 링크는 누르기 전에 주소를 한 번 더 확인하고, 조금이라도 의심스러우면 그 링크로 들어가지 말고 공식 앱이나 즐겨찾기해둔 주소로 직접 들어간다. “지금 당장” “계좌가 정지됩니다” 같은 문구로 압박하는 연락은 일단 의심부터 한다. 가족이나 지인이 갑자기 급하게 돈을 요구하면, 전화를 끊고 원래 알던 번호로 직접 다시 걸어 확인한다. 스미싱 문자는 통신사 스팸 신고 기능이나 118(한국인터넷진흥원 상담센터), 보이스피싱은 112로 바로 신고할 수 있다.

기업·운영자 입장에서는 한 겹 더 필요하다. 시스템 접근 권한이나 자금 이체처럼 민감한 요청은 전화 한 통만으로 처리하지 않고, 반드시 별도 채널(사내 메신저, 등록된 번호로 콜백)로 재확인하는 절차를 규정으로 못 박아야 한다. 다중 인증(MFA)을 기본값으로 걸어두고, 직원 대상 피싱 모의훈련을 정기적으로 돌리는 것도 효과가 크다. 무엇보다 “바쁘다고, 급하다고 절차를 생략하는 것”이 공격자가 가장 노리는 지점이라는 걸 조직 전체가 알고 있어야 한다.

자주 묻는 질문

Q. 스미싱 문자 속 링크를 실수로 눌렀는데, 앱은 설치 안 했다면 괜찮을까요?
링크를 눌러 뜬 페이지에 개인정보나 계좌 정보를 입력하지 않았다면 즉각적인 피해 가능성은 낮다. 다만 스마트폰에 이상 증상(배터리 급감, 알 수 없는 앱 실행)이 있는지 확인하고, 불안하다면 백신 앱으로 검사해보는 게 안전하다.

Q. 피싱, 스미싱, 보이스피싱은 정확히 뭐가 다른가요?
공격이 오는 채널의 차이일 뿐 속이는 방식은 같다. 이메일이면 피싱, 문자면 스미싱, 전화·음성이면 보이스피싱(비싱)이라 부른다.

Q. 회사 대표 목소리로 걸려온 급한 요청, 진짜인지 어떻게 확인하나요?
통화 중에 판단하려 하지 말고 일단 전화를 끊는 게 먼저다. 그리고 원래 알고 있던 번호나 사내 메신저 등 다른 채널로 직접 연락해 사실 여부를 확인한다.

Q. 보이스피싱 피해를 봤다면 어디로 신고하나요?
112(경찰) 또는 금융감독원 콜센터로 즉시 신고하고, 이용 중인 은행에 지급정지를 요청하는 게 우선이다.

왜 결국 사람인가

이 시리즈를 쓰면서 매번 느끼는 게 있는데, 결국 가장 뚫기 쉬운 지점은 코드가 아니라 사람이라는 점이다. SQL 인젝션도, XSS도, 크리덴셜 스터핑도 어느 정도는 기술로 막을 수 있다. 그런데 피싱은 그 기술 앞에 앉아 있는 사람의 판단을 노린다. AI가 목소리까지 복제하는 지금, “이상하면 일단 끊고 다시 확인한다”는 원칙 하나가 그 어떤 보안 솔루션보다 힘이 세다.

출처

• Wall Street Hedge Funds Hit by Coordinated AI Vishing: FINRA Fusion Center Activated
• Two Sigma, Citadel, Point72 Targeted in Sophisticated Wall Street Cyber Attacks – Bloomberg
• Starbucks Breach: Fake Login Portals Stole 889 Employees’ SSNs and Bank Info
• Identity protection firm Aura suffers data breach exposing 900,000 records
• 2025년 1분기 보이스피싱 피해액 3116억원… 2024년 대비 2.2배 급증 – 세계일보