AI 음성 스푸핑은 인공지능이 생성한 합성 음성을 사용하여 실제 사람의 목소리를 매우 그럴듯하게 흉내 내는 공격 방식입니다. 공격자는 경영진, 관리자, 지원 담당자 등의 목소리를 도용하여 피해자에게 송금을 유도하거나, 인증 정보를 탈취하거나, 민감한 작업을 승인하도록 속입니다.
과거의 보이스 피싱은 공격자가 직접 음성을 흉내 내야 했습니다. 하지만 지금은 팟캐스트, 웨비나, 동영상, 온라인 회의 등에서 얻은 몇 초 분량의 음성만으로도 AI가 특정 인물의 목소리를 정교하게 복제할 수 있습니다. 음성이 확보되면 AI 도구는 말투·억양·속도까지 재현한 현실적인 음성을 손쉽게 생성합니다.
원격 근무와 온라인 회의가 일상이 되면서 기업 구성원들의 음성은 이전보다 훨씬 쉽게 노출되고 있습니다. 그 결과 공격자는 고도로 정교한 딥페이크 음성을 만들어내기 쉬워졌고, ‘긴급 상황’이나 ‘권위자 요청’ 등의 요소와 결합할 경우 사람의 경계심을 손쉽게 무너뜨릴 수 있습니다.
AI 음성 스푸핑은 더 이상 특수한 기술이 아닙니다. 누구나 접근할 수 있고, 비용이 낮으며, 자동화하기도 쉽습니다. 오픈소스 모델과 상용 음성 클로닝 도구를 활용하면 기본적인 기술만으로도 다음을 수행할 수 있습니다.
이렇게 만들어진 음성은 매우 개인적이고 설득력이 높습니다. 마치 이메일 스푸핑이 발신자 위조를 쉽게 만든 것처럼, AI는 이제 ‘목소리’를 위조하기 쉽게 만들었습니다.
AI 기반 음성 공격은 기존의 사회공학적 기법과 유사하지만, 피해자가 ‘신뢰하는 사람의 목소리’를 듣기 때문에 성공률이 훨씬 높습니다. 아래는 실제 사건을 바탕으로 한 대표적인 시나리오입니다.
재무 담당 직원은 CEO의 번호처럼 보이는 발신 번호로부터 전화를 받습니다. 들리는 목소리도 평소 CEO와 동일합니다. 전화한 사람은 “극비 거래가 진행 중이니 지금 바로 송금해야 한다”고 지시합니다.
목소리와 스토리가 너무 진짜 같아서, 직원은 평소의 승인 절차를 생략하고 이를 실행해 버릴 수 있습니다. 실제로 공격자가 CEO의 목소리를 딥페이크로 위조하여 약 20만 달러 이상을 편취한 사건도 보고된 바 있습니다.
IT 헬프데스크는 부서장과 똑같이 들리는 목소리로부터 전화를 받습니다. 상대는 “중요 발표 직전에 계정에 접속할 수 없게 됐다”고 하소연하며 즉각적인 도움을 요청합니다.
절차를 생략하고 도와주면 공격자는 내부 네트워크에 침투하는 발판을 얻게 됩니다. 이후 권한 상승, 데이터 탈취, 추가 공격 준비 등 다양한 공격으로 이어질 수 있습니다.
공격자는 기업의 고객지원 직원이나 담당자의 목소리를 복제해 고객·파트너·공급업체에게 전화를 걸 수 있습니다. 전형적인 요청은 다음과 같습니다.
기업이 개입하지 않았음에도 고객은 ‘기업으로부터 사기를 당했다’고 인식할 수 있어 브랜드 신뢰도가 큰 타격을 받습니다.
AI 음성 스푸핑은 대기업만의 문제가 아닙니다. 다음과 같은 조직은 특히 취약합니다.
‘목소리=신뢰’로 작동하는 조직일수록 딥페이크 음성은 강력한 공격 도구가 됩니다.
합성 음성 기술이 정교해져도, 공격자는 결국 사람의 심리를 이용합니다. 다음과 같은 징후가 보이면 반드시 의심해야 합니다.
음성 클로닝 자체를 막을 수는 없지만, 공격 성공률을 크게 줄일 방법은 있습니다.
이미 기업 대부분이 이메일 피싱 교육을 운영하고 있습니다. 여기에 음성 기반 공격을 자연스럽게 포함해야 합니다.
관련 한국어 가이드는 다음과 같습니다:
음성 공격은 단독으로 이루어지는 경우가 거의 없으며, 대부분 이메일 스푸핑과 함께 사용됩니다.
음성은 인증할 수 없지만 이메일은 SPF·DKIM·DMARC 기반으로 인증할 수 있습니다.
아직 도입하지 않았다면 다음 가이드를 참고하세요.
AI 음성 공격은 새로운 위험 요소이지만, 공격의 최종 단계는 여전히 이메일로 이루어지는 경우가 대부분입니다. 음성으로 신뢰를 구축한 뒤 이메일로 행동을 유도하는 방식입니다.
DMARCeye는 다음과 같은 기능을 제공하여 이메일 측면에서의 방어력을 강화합니다.
DMARCeye 무료 체험을 지금 시작하고 이메일 도메인을 보호하세요.
스푸핑 전반에 대한 이해를 넓히고 싶다면, 다음 가이드를 참고하세요: 스푸핑이란? 이메일 사기의 기본 원리와 방지 방법.