by Wizard

AI 딥피싱 공격 주의보: 2025년 지메일 사용자를 노리는 새로운 위협

2025년 초, 전 세계적으로 지메일 사용자를 겨냥한 딥피싱 공격에 대한 경고가 쏟아졌습니다. AI 기술을 활용해 더욱 정교하고 설득력 있는 피싱 메일이 등장하면서, 디지털 보안에 대한 우려가 커지고 있습니다. 이제는 단순한 스팸 메일을 넘어, AI가 만들어낸 가짜 도메인과 개인화된 메시지로 무장한 딥피싱 공격에 대비해야 합니다.

AI, 피싱의 새로운 무기를 만들다

기존 피싱 공격은 어색한 발신자 주소로 인해 쉽게 식별될 수 있었습니다. 하지만 AI는 다릅니다. AI는 알고리즘을 통해 이메일 내용과 문맥에 맞는 가짜 도메인 주소를 자동으로 생성합니다. 예를 들어, 넷플릭스에서 보낸 것처럼 보이는 메일이 실제와 유사한 도메인 주소에서 발송되어 사용자를 속이는 것입니다. 식스테라 테크놀로지 연구팀의 ‘딥피시(Deepphish)’ 알고리즘은 과거 피싱 공격 데이터를 학습하여 피싱에 적합한 URL을 자동으로 제안했습니다. 실험 결과, AI가 생성한 발신자 주소를 사용했을 때 공격 효율이 크게 증가했습니다.

딥피싱 공격, 어떻게 진행될까?

딥피싱 공격은 표준화된 절차를 따릅니다. 먼저, AI는 공격 대상의 사회적 환경을 조사합니다. 소셜 네트워크, 온라인 포럼, 웹사이트 등에서 개인 정보를 수집하고 분석하여 대상의 거주지, 직장, 가족 구성원, 친구 정보 등을 파악합니다. 이렇게 수집된 정보를 바탕으로 AI는 피싱에 사용할 적합한 도메인을 등록하고, 발신자 주소를 생성합니다. 이후, AI는 수집한 정보를 바탕으로 이메일 제목, 수신자 호칭, 문장 구조 등을 맞춤형으로 작성합니다. 이러한 개인화된 메시지는 일반적인 피싱 메일보다 훨씬 더 신뢰감을 주어 사용자의 클릭을 유도합니다.

딥피싱, 그 이상의 위협

딥피싱 알고리즘은 시작에 불과합니다. 현재는 범죄자가 피싱 메시지를 작성하는 전 과정을 AI가 대신 수행해주는 도구가 널리 퍼져 있습니다. 프로드GPT(FraudGPT), 웜GPT(WormGPT), 고스트GPT(GhostGPT) 등이 대표적인 예입니다. 이들 도구는 특정 개인이나 기업을 겨냥한 맞춤형 피싱 이메일을 자동으로 생성합니다. 예를 들어, 사용자가 프로그램에 "넷플릭스 공지처럼 보이는 이메일을 만들어서, 계정 정보를 가짜 사이트에 입력하도록 유도해"라고 지시하면 곧바로 해당 형식의 피싱 메일이 생성되는 것입니다.

AI 악성코드 제작, 얼마나 쉬워졌나?

AI 기반 악성코드 제작은 더욱 심각한 문제입니다. 스톱워치 AI(Stopwatch AI)는 AI가 3단계만으로 주요 백신 프로그램의 방어막을 우회하는 악성코드를 만들어낼 수 있음을 보여줍니다. 공격 대상 OS 선택, 보안 도구 선택, 공격 유형 선택 단계를 거치면 AI는 사용자가 지정한 악성코드를 자동으로 프로그래밍합니다. 이를 통해 키로거, 랜섬웨어 등 다양한 악성코드를 손쉽게 제작할 수 있습니다.

AI 딥피싱, 어떻게 구별해야 할까?

AI가 만든 피싱 이메일을 구별하기 위해서는 다음과 같은 점에 주의해야 합니다.

발신자 주소 확인: 실제로 있을 법한 주소인지 꼼꼼히 확인합니다.
예상치 못한 연락 주의: 평소 연락하지 않던 사람에게서 온 이메일은 의심해야 합니다.
링크 URL 미리보기: 링크에 마우스를 올려 연결되는 주소를 확인합니다.
개인 정보 요구 주의: 은행, 스트리밍 서비스, 공공기관은 절대 이메일로 개인 정보를 요구하지 않습니다.
시간 압박 주의: "긴급", "즉시 처리 필요" 등 시간 압박을 주는 이메일은 피싱일 가능성이 높습니다.

AI, 안티바이러스 툴도 무력화하나?

대부분의 안티바이러스 프로그램은 최신 바이러스 정의 파일을 통해 악성코드를 탐지합니다. 하지만 AI는 기존 악성코드를 정교하게 조작하여 백신 탐지를 회피하도록 변형할 수 있습니다. 이는 단순히 시그니처를 바꾸는 수준을 넘어, 탐지 규칙 자체를 벗어나도록 악성코드의 구조를 재작성하는 방식입니다. 아크로니스 연구팀은 AI를 활용하여 악성코드 샘플을 연속적으로 변형시키자 기존 백신이 더 이상 탐지하지 못하는 사례를 보여주었습니다.

결론

AI 기술의 발전은 사이버 범죄의 양상을 완전히 바꿔놓고 있습니다. 딥피싱 공격은 더욱 정교해지고 개인화되어 사용자를 속이기 쉬워졌으며, AI 기반 악성코드 제작 도구는 누구나 손쉽게 악성코드를 만들 수 있도록 만들었습니다. 이제는 개인과 기업 모두 AI 기반 공격에 대한 경각심을 가지고, 보안 시스템을 강화하고, 의심스러운 이메일과 링크에 대한 주의를 기울여야 합니다. 지속적인 교육과 정보 공유를 통해 AI 시대의 새로운 위협에 적극적으로 대응해야 할 것입니다.