AI 음성 메시지 사칭: 아는 연락처를 확인하는 법

메시지를 확인되지 않은 요청으로 봅니다

익숙한 목소리는 예상치 못한 메시지에도 신뢰감을 줍니다. FBI는 2025년 5월, 악의적 행위자들이 미국 고위 공직자를 사칭해 문자와 AI 생성 음성 메시지를 보낸 캠페인을 경고했습니다. 공지가 다룬 캠페인은 2025년 4월부터 현직·전직 공직자와 그 연락처를 겨냥했습니다. 이는 특정 캠페인에 대한 경고이지, 모든 의심스러운 음성 메시지에 대한 판정은 아닙니다.

FBI에 따르면 행위자들은 친밀감을 형성한 뒤 개인 계정 접근을 시도했습니다. 다른 메시징 플랫폼으로 옮겨 가자는 명목의 악성 링크도 사용했습니다. 탈취한 연락처는 다시 신뢰받는 인물을 사칭해 정보나 금전을 요구하는 데 쓰일 수 있습니다. 이 흐름은 경고 신호로 삼되, 범죄라는 단정으로 사용하지 않습니다.

메시지와 다른 경로로 본인을 확인합니다

메시지를 받기 전부터 알고 있던 전화번호, 공식 디렉토리, 회사 대표번호, 기존 대화방을 사용해 새 대화를 시작합니다. 의심스러운 메시지가 준 번호로 전화하거나 링크를 따라가지 않습니다. 요청 내용과 플랫폼 이동 요구를 구체적으로 묻습니다. 이는 본 글의 실무 제안이며 FBI 공지에 명시된 절차는 아닙니다.

신원과 승인 권한도 나누어 확인합니다. 동료가 메시지를 보냈다는 확인은 지급, 비밀번호 재설정, 문서 전달, 계정 변경의 승인을 자동으로 의미하지 않습니다. 원래의 승인 절차를 따릅니다. 계정 탈취가 문제일 때 같은 계정에서 온 답장은 약한 확인입니다. 두 번째 경로는 요청을 시작한 계정과 독립되어야 합니다.

링크와 플랫폼 이동을 따로 검토합니다

FBI는 SMS·MMS를 이용한 악의적 표적화를 스미싱, AI 생성 음성을 포함할 수 있는 음성 메모 기반 표적화를 비싱으로 설명합니다. 이러한 방식은 표적을 두 번째 플랫폼으로 옮긴 뒤, 악성코드나 로그인 정보를 훔치는 행위자 통제 사이트 링크를 노출할 수 있습니다.

목적지 플랫폼 자체를 범죄의 증거로 보지 않지만, 그곳의 익숙한 프로필도 신원 증명으로 보지 않습니다. 업무, 금전, 자격 증명, 민감한 기록이 걸린 요청이면 조직의 승인된 신고 경로로 링크와 메시지를 보냅니다. 이미 인증 정보를 입력했다면 메시지와의 상호작용을 멈추고 정상 서비스 주소로 접속해 계정을 보호합니다. 원본 메시지와 요청 내용을 보존하고 관련 보안 담당자에게 알립니다.

음성 분석은 한계 안에서 사용합니다

저장한 음성 파일이 있다면 DeepFakeCheck로 합성 또는 변조 특성에 대한 확률적 위험 신호를 확인할 수 있습니다. 결과는 발신자, 계정 탈취, 요청의 승인 여부, 화자의 의도를 증명하지 않습니다. 신원과 승인 확인은 별도로 수행합니다.

자동 분석은 오탐과 미탐을 낼 수 있습니다. 오탐은 진짜 음성을 의심스럽게 표시하고, 미탐은 생성·변조된 음성을 놓칩니다. 높은 위험 결과는 추가 검토의 근거이지만 낮은 결과는 화자를 인증하지 않습니다. 분석한 파일, 결과, 분석 시간을 함께 보존하고, 다른 장치로 다시 녹음한 사본이라면 그 사실도 기록합니다.

요청·신원·증거를 함께 판단합니다

연락 경로를 누가 통제하는지, 요청이 정상적으로 승인됐는지, 음성 분석이 무엇을 시사하는지를 나누어 묻습니다. 각각 독립 연락, 기존 승인 절차, 한계가 표시된 분석 결과로 확인합니다.

고위험 단계 중 하나라도 확인되지 않았다면 금전, 인증 정보, 민감한 파일, 계정 접근을 넘기지 않습니다. 메시지와 확인 기록을 보존해 관련 담당자에게 전달합니다. 이 절차가 모든 사칭을 찾아낸다고 보장하지는 않습니다. 목소리 하나만으로 신원을 결정하지 않는 것이 핵심입니다.

출처

• FBI Internet Crime Complaint Center, “Senior US Officials Impersonated in Malicious Messaging Campaign”: https://www.ic3.gov/PSA/2025/PSA250515