직장 내 딥페이크 사기: 재무·인사팀 확인 절차
두 번째 경로로 확인되기 전까지는 미확인 요청이다
임원이 보낸 듯한 긴급 전화가 걸려온다. 화상회의의 누군가가 재무팀에 결제 정보를 바꾸라고 한다. 익숙한 목소리가 인사팀에 직원 정보를 내놓으라고 요구한다. 얼굴과 목소리가 낯익어도 신원이 확인된 것은 아니다. FBI는 범죄자들이 생성형 AI로 사기를 더 믿을 만하게 만들고, AI 생성 음성으로 공인이나 가까운 사람을 사칭해 돈을 요구할 수 있다고 경고한다. AI 생성 영상으로 공인의 그럴듯한 모습을 만들어 사기에 이용하는 수법도 설명한다.
고위험 업무 요청은 요청자가 제공하거나 통제하지 않은 별도 경로에서 확인될 때까지 미확인 상태로 둬야 한다. 직원에게 목소리나 얼굴이 합성인지 알아맞히라고 요구하지 말고, 압박을 받는 상황에서도 그대로 실행할 수 있는 짧은 절차를 제공해야 한다.
신원 주장과 업무 요청을 분리한다
응답하기 전에 두 가지를 적는다. 상대가 누구라고 주장하는지, 그리고 무엇을 바꾸라고 하는지다. 신원 주장이 그럴듯해도 요청한 행동이 안전해지는 것은 아니다. 어떤 결제·계정·직원 기록·권한·승인이 바뀌는지, 누가 이익을 얻는지, 어떤 기한을 제시했는지, 평소 절차 중 무엇을 건너뛰려는지 확인한다.
FBI 자료는 AI를 이용한 사기와 사칭을 경계하라고 말하지만 재무·인사 승인 규정을 제시하지는 않는다. 아래 단계는 각 조직이 자신의 정책과 권한 체계에 맞게 조정할 수 있도록 이 글이 제안하는 운영 절차다.
독립된 확인 경로를 실행한다
거래나 정보 공개를 멈춘다. 확인이 끝날 때까지 결제 정보, 접근 권한, 직원 기록을 그대로 둔다. 긴급하다는 말은 요청을 살펴볼 이유이지 통제를 생략할 허가가 아니다.
들어온 연락을 종료한다. 의심스러운 연락에서 받은 전화번호, 회의 링크, 이메일 주소, 채팅 계정을 사용하지 않는다. 회사 주소록이나 팀이 이미 신뢰하는 기록을 직접 연다.
주장된 요청자에게 별도로 연락한다. 알고 있던 번호로 전화하거나 기존 회사 채널에서 새 대화를 시작해 정확한 요청을 다시 말하게 한다. 연락이 닿지 않으면 임의로 승인하지 말고 회사 정책상 이미 권한이 있는 담당자에게 넘긴다.
평소 승인자를 그대로 거친다. 영상 속 얼굴이나 익숙한 목소리가 결제, 거래처 계좌 변경, 급여 정보 수정, 접근 권한 초기화, 개인정보 공개에 필요한 기존 승인자와 기록을 대신하게 두지 않는다. 누가 어떤 독립 경로에서 확인했는지 남긴다.
의심 자료를 보존한다. 원본 음성 메시지, 파일, 메시지, 발신자 정보, 회의 초대, 거래 정보를 가능한 범위에서 보관한다. 유일한 사본을 편집하지 않는다. 금융 사기 가능성이 있다면 FBI는 인터넷범죄신고센터에 신고하고 확인 가능한 세부 정보를 함께 제출하라고 안내한다.
검사할 파일이 있을 때만 탐지 도구를 쓴다
실시간 통화에는 검사할 녹음이 남지 않을 수 있다. 음성 메시지, 이미지, 영상, 저장된 클립이 있다면 DeepFakeCheck로 파일을 분석해 확률적 위험 신호를 얻을 수 있다. 이 신호는 검토에 보탬이 되지만 통화자의 신원을 확인하거나 결제를 승인하거나 요청의 정당성을 증명하지 않는다.
자동 탐지기에는 오탐과 미탐이 있다. 오탐은 진짜 자료를 의심스럽다고 표시하고, 미탐은 합성 또는 조작 자료를 놓친다. 높은 점수는 추가 검토의 근거가 되지만 낮은 점수로 요청을 승인할 수는 없다. 어떤 점수가 나오든 독립 연락과 조직의 승인 기록이 필요하다.
탐지 결과는 보존한 파일, 확인 메모, 최종 처리 결과와 함께 둔다. 그러면 도구가 제공한 판단 재료와 직원이 회사 절차에 따라 확인한 내용을 구분할 수 있다.
다음 긴급 요청이 오기 전에 정한다
재무·인사팀은 고위험 업무에 사용할 독립 연락 경로와 승인자를 미리 정해 두어야 한다. 직원이 들어온 연락에 포함된 정보를 쓰지 않고도 요청을 멈추고, 신뢰하는 연락처를 찾고, 확인 내용을 기록할 수 있는지 점검한다.
그렇게 할 수 없다면 탐지 도구를 더 추가하기 전에 절차부터 보완한다. 정해진 확인 경로는 미디어가 그럴듯하고 탐지 결과가 불확실한 상황에서도 업무 결정을 지켜 준다.
출처
- FBI 인터넷범죄신고센터, “Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud”: https://www.ic3.gov/PSA/2024/PSA241203