.svg)
AI 솔루션 문의하기
보이스피싱 AI 음성 사기는 복제하거나 합성한 목소리로 고객이나 임직원을 사칭해, 목소리와 말투를 근거로 하는 기업의 본인확인을 통과하려는 수법입니다. 개인 고객이 전화를 받았을 때의 대응은 보이스피싱 전화 받았을 때 절대 하면 안 되는 행동과 예방법에서 다루고, 이 글은 금융사와 기업이 본인확인 방식을 어떻게 점검할지에 집중합니다.
음성 복제 수법은 수집, 합성, 실행의 세 단계로 진행됩니다. 먼저 대상 인물의 통화, SNS 영상, 공개된 인터뷰 같은 곳에서 음성 데이터를 모읍니다. 수집한 음성을 AI로 학습시켜 특정 인물과 비슷한 목소리를 합성합니다. 합성한 목소리로 전화를 걸어 가족이나 상급자, 금융사 직원을 사칭하고 급한 상황을 만들어 상대의 판단을 서두르게 합니다. 목소리는 공개된 영상만으로도 수집될 수 있어서 개인의 부주의가 아니라 기업이 방어해야 하는 위협입니다.
2019년 3월 영국의 한 에너지 기업 CEO가 독일 모회사 CEO의 전화로 믿고 22만 유로를 헝가리 공급업체 계좌로 송금한 사건이 해외 언론에 보도되었습니다. 보험사 관계자는 이 사건에 AI 음성 합성 기술이 쓰인 것으로 설명했고, 피해자는 상대의 억양과 말투가 상급자와 같았다고 진술했습니다. 2023년에는 해외 매체 기자가 음성 생성 AI로 자신의 목소리를 복제해 영국 A사 은행의 음성 인증을 통과한 사례가 공개되었습니다. 처음 몇 차례는 인증에 실패했지만 더 긴 문장을 읽게 해 자연스러운 억양으로 만들자 통과했습니다. 해당 은행은 음성 인증이 추가 보안 수단이라고 설명했습니다.
목소리만으로 하는 본인확인은 목소리가 복제될 수 있다는 점 때문에 단독 근거로 쓰기 어렵습니다. 음성 인증, 상담원의 청취 판단, 개인정보 질문 모두 복제된 목소리와 유출된 정보 앞에서 한계가 있습니다.
음성 인증은 사람마다 목소리가 다르고 남이 흉내 내기 어렵다는 전제 위에 있습니다. 음성 복제 기술은 이 전제를 약하게 만듭니다. 위 사례처럼 합성 음성이 음성 인증을 통과한 시도가 공개되었으므로, 음성 인증은 다른 확인 수단과 함께 쓰는 보조 수단으로 위치를 다시 정합니다. 음성 인증을 폐기하자는 것이 아니라 단독으로 거래를 승인하는 근거에서 제외하자는 뜻입니다.
상담원이 목소리와 말투로 고객이나 상급자를 판단하는 방식은 합성 음성에 취약합니다. 22만 유로 사건의 피해자는 억양과 말투를 근거로 상대를 믿었습니다. 통화 중에는 음성의 미세한 부자연스러움을 구별하기 어렵고, 급한 상황을 연출하면 확인 절차를 건너뛰게 됩니다. 담당자의 청취 판단은 담당자마다 달라서 기준으로 삼기도 어렵습니다.
생년월일, 주소, 거래 내역 같은 질문으로 본인을 확인하는 방식은 이미 유출된 정보가 있으면 통과됩니다. 사칭 전화를 거는 쪽이 대상의 개인정보를 알고 있는 경우가 많아서, 질문에 정확히 답했다는 사실만으로 본인이라고 판단하지 않습니다.
모든 통화에 같은 수준의 확인을 하면 정상 고객의 불편이 커지므로 위험이 큰 거래부터 추가 확인으로 넘깁니다. 고액 이체, 계좌와 연락처 변경, 비밀번호 재설정, 한도 상향, 평소와 다른 상대로의 송금이 대표적입니다. 음성 인증이 실패했거나, 요청이 평소 패턴과 다르거나, 상대가 서두르게 하는 경우도 전환 신호로 봅니다.
앞에서 다룬 음성 단독 확인의 한계는 알체라 eKYC의 얼굴 인증으로 보완할 수 있습니다. 알체라 얼굴 인증은 촬영된 얼굴의 위변조 여부를 판별하고 신분증 사진과 매칭해 동일인 여부를 확인합니다. 위변조 탐지는 ISO/IEC 30107-3 기준을 준수하며 iBeta PAD 평가를 통과했습니다. 복제한 목소리로는 통과할 수 없는 확인을 통화 중 위험 거래 단계에 추가하는 방식입니다.
음성 상담에서 얼굴 라이브니스와 신분증 확인으로 넘기는 흐름은 위험 신호를 감지하면 통화를 유지한 채 앱 안에서 신분증과 얼굴 인증을 요청하고, 결과를 상담원 화면에 돌려주는 방식입니다. 전환 기준과 전환 방식, 결과 처리까지 미리 정해 두어야 상담원이 현장에서 판단하지 않아도 됩니다.
전환은 다음 순서로 진행합니다.
인증 요청 링크를 문자로 보내면 사칭 전화에서 같은 방식의 가짜 링크를 보내는 수법과 구별되지 않습니다. 인증 요청은 사전에 등록한 앱의 알림이나 공식 앱 안의 메뉴로만 보내고, 통화 중에 받은 링크를 누르도록 유도하지 않습니다. 고객에게도 인증 요청은 공식 앱에서만 이루어진다는 점을 사전에 안내합니다.
경영진의 목소리로 송금을 지시받는 경우에는 음성 지시만으로 송금하지 않는 규정을 둡니다. 송금 지시는 통화와 별도의 채널로 재확인하고, 일정 금액 이상은 두 사람 이상이 승인합니다. 고액 송금 승인 단계에 얼굴 인증을 추가해 승인자가 실제로 본인인지 확인하는 방식도 쓸 수 있습니다.
통화 녹취와 인증 결과를 같은 건으로 묶어 기록해야 사후에 어떤 근거로 거래를 승인했는지 설명할 수 있습니다. 신분증 이미지와 얼굴 이미지에는 개인정보가 들어 있으므로 개인정보 보호법에 따라 확인에 필요한 최소한의 정보만 수집하고 보관 기간, 파기 방식, 열람 권한을 정합니다. 보류된 건은 대면 확인이나 담당자 심사로 전환하는 기준도 함께 정합니다.
보이스피싱 AI 음성 사기에 대응하는 본인확인을 점검할 때는 다음 다섯 가지를 확인합니다.
금융사와 기업은 이 다섯 가지를 먼저 정리한 뒤 본인확인 방식을 선택합니다.
.png)
.svg)
.svg)
