[기고] 재무팀 노리는 딥페이크 사기, 탐지만으로 막을 수 없다

인공지능(AI)을 악용한 딥페이크 사기가 기업 재무 시스템을 위협하고 있다. 기업 자금 관리를 책임지는 최고재무책임자(CFO)와 재무팀에 새로운 보안 대응 전략이 필요한 이유다.

실제 홍콩에서는 한 기업 재무 담당자가 딥페이크 화상회의에 속아 2500만 달러를 송금하는 사건이 발생했다. 사기범들은 CFO와 동료 얼굴과 목소리를 조작해 화상회의에 등장했다. 담당자는 5개 은행 계좌로 15차례에 걸쳐 돈을 송금한 뒤에야 회의 참석자 중 자신만 실제 사람이었다는 사실을 알게 됐다.

이 사건을 단순히 직원 개인의 실수로 볼 수는 없다. 사기범들이 기업 업무 절차와 보안 체계에 존재하는 허점을 악용했기 때문이다.

아제이 파텔 툴스포휴머니티 월드ID 총괄 겸 최고매출책임자. (사진=툴스포휴머니티)

특히 재무팀은 사기범들의 주요 표적이다. 자금 이체와 지급 승인, 공급업체 계좌 정보 변경 등 기업의 핵심 금융 업무를 담당하기 때문이다. 사기범들은 이러한 권한을 악용해 금전적 피해를 일으키려 한다.

딥페이크 기술이 정교해지는 만큼 기업 대응 방식도 달라져야 한다. 조작된 영상과 음성을 찾아내는 데 그치지 않고, 업무 상대방이 실제 사람인지 확인할 수 있는 검증 체계를 마련해야 한다.

딥페이크 사기를 예방하는 첫 단계는 조작된 영상과 음성의 특징을 파악하는 것이다. 재무 책임자는 직원들이 의심스러운 징후를 식별할 수 있도록 교육해야 한다.

영상에서는 눈 깜박임이 어색하거나 피부 질감이 지나치게 매끄러운 현상이 나타날 수 있다. 얼굴이 흐릿하게 보이거나 조명과 그림자가 맞지 않는 경우도 있다. 입 모양과 음성이 일치하지 않는 현상 역시 딥페이크를 의심할 만한 단서다.

음성에서도 이상 징후를 찾을 수 있다. 목소리가 기계적으로 들리거나 말투가 부자연스럽고, 대화 중 숨소리나 쉼이 부족한 경우다. 주변 환경과 어울리지 않는 배경음도 주의해야 한다.

직원들은 이런 징후를 발견하거나 상대 신원이 의심될 경우 즉시 보고해야 한다.

그러나 딥페이크를 식별하는 것만으로는 사기를 완전히 막기 어렵다. 현재 알려진 이상 징후는 기술적 한계에서 나타나는 현상일 뿐, 모든 딥페이크에 적용할 수 있는 판단 기준은 아니다.

사기범들은 기존 기술 결함이 알려지면 이를 보완하는 새로운 기술을 활용한다. 탐지 기술이 발전하는 동시에 딥페이크 생성 기술도 정교해지고 있다는 의미다.

따라서 기업은 딥페이크를 발견하는 사후 대응에서 벗어나야 한다. 특히 자금 이체와 같은 중요한 업무에서는 상대방 신원을 사전에 확인하는 절차가 필요하다.

딥페이크에 효과적으로 대응하려면 검증 기준부터 바꿔야 한다. 기존에는 영상이나 음성이 조작됐는지를 확인하는 데 집중했다. 앞으로는 화면 너머 상대방이 실제 존재하는 사람인지 확인하는 것이 중요하다.

이러한 접근을 가능하게 하는 기술이 '인간 증명(Proof of Human)'이다. 인간 증명은 특정 영상의 조작 여부를 분석하는 대신 온라인에서 소통하는 상대방이 실제 존재하는 고유한 사람이라는 사실을 암호 기술로 증명하는 방식이다.

이 과정에서는 영지식증명(Zero-Knowledge Proof)과 같은 개인정보 보호 기술을 활용할 수 있다. 영지식증명은 개인정보 자체를 공개하지 않고도 특정 사실이 참이라는 점을 증명하는 암호 기술이다.

이를 통해 기업은 개인정보 노출 위험을 줄이면서 상대방이 실제 사람인지 확인할 수 있다. 특히 신원 사칭으로 대규모 금전적 피해가 발생할 수 있는 금융 분야에서 활용 가능성이 크다.

인간 증명 기술은 기업의 중요한 의사결정 과정에서도 신뢰를 높이는 수단이 될 수 있다. 재무 담당자가 온라인에서 상대방의 실제 존재 여부를 확인할 수 있다면 딥페이크 사칭에 따른 위험을 줄이는 데 도움이 된다.

실제 사람이라는 사실을 확인하는 것과 그 사람이 정당한 업무 권한을 갖고 있는지 확인하는 것은 별개의 문제다. 따라서 기업은 인간 증명 기술을 기존 보안 절차와 함께 활용하는 종합적인 대응 체계를 갖춰야 한다.

딥페이크 사기를 예방하려면 기술뿐 아니라 직원들의 보안 인식과 업무 절차도 개선해야 한다.

개인 차원에서는 의심스러운 이미지나 영상을 역검색해 출처를 확인할 수 있다. 계정에는 다중요소 인증(MFA)을 적용하고, 사칭에 악용될 수 있는 개인 사진과 영상의 공개 범위도 제한하는 것이 바람직하다.

기업은 재무팀 직원들이 의심스러운 상황을 즉시 보고할 수 있는 환경도 마련해야 한다. 사기 피해가 발생했을 때 책임을 직원 개인에게만 돌리는 방식으로는 근본적인 문제를 해결하기 어렵다.

CFO와 회계책임자, 재무 담당자들은 이미 복잡한 업무와 무거운 책임을 맡고 있다. 여기에 온라인 회의 상대방의 진위까지 개인의 판단에만 의존하도록 해서는 안 된다.

명확한 검증 절차와 적절한 보안 기술은 이러한 부담을 줄이는 데 도움이 된다. 직원들이 사기 피해에 대한 과도한 책임감이나 죄책감을 떠안지 않도록 보호하는 역할도 할 수 있다.

정기적인 보안 교육 역시 중요하다. 다만 규정 준수를 위한 일회성 교육에 그쳐서는 안 된다. 재무팀이 새로운 사기 수법을 이해하고 최신 보안 기술을 활용할 수 있도록 지속적인 교육이 이뤄져야 한다.

딥페이크 기술이 발전할수록 기업이 모든 조작 콘텐츠를 완벽하게 찾아내기는 더욱 어려워질 것이다. 따라서 중요한 것은 딥페이크를 얼마나 잘 탐지하느냐를 넘어, 사기범이 업무 절차를 악용하지 못하도록 신뢰할 수 있는 검증 체계를 구축하는 일이다.

업무 방식과 보안 절차를 바꾸는 과정이 쉽지만은 않을 것이다. 그러나 인간 증명 기술을 비롯한 새로운 인증 수단은 기업이 온라인 업무의 신뢰를 회복하고 딥페이크 사기에 대응하는 데 중요한 기반이 될 수 있다.

*본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.