2026년 사이버 보안 환경의 핵심이 될 AI 피싱 탐지

로이터는 최근 하버드와 협력하여 Grok, ChatGPT, DeepSeek와 같은 주요 AI 챗봇에게 "완벽한 피싱 이메일"을 작성하도록 하는 공동 실험을 진행했습니다. 이후 AI가 작성한 이메일을 108명의 지원자에게 보냈고, 이 중 11%가 포함된 악성 링크를 클릭했습니다.

연구진은 간단한 프롬프트를 사용하여 실제 사람을 속이는 데 성공한 매우 설득력 있는 메시지를 얻었습니다. 이 실험은 냉정한 현실 점검의 역할을 합니다. 피싱은 오랫동안 파괴적인 공격이었지만, AI는 피싱을 더 빠르고 저렴하며 훨씬 더 강력한 위협으로 변화시키고 있습니다.

2026년까지 점점 더 복잡해지는 위협 환경에서 보안을 강화하고자 하는 조직은 AI 기반 피싱 탐지를 최우선 과제로 삼아야 합니다.

중대한 위협으로 부상하는 AI 피싱

주요 촉매제는 서비스형 피싱(PhaaS)의 성장입니다. Lighthouse 및 Lucid와 같은 다크 웹 플랫폼은 이제 저숙련 범죄자들도 고도로 정교한 캠페인을 시작할 수 있는 구독 기반 키트를 제공합니다.

최근 조사에 따르면 이러한 서비스를 통해 74개국에서 17,500개 이상의 피싱 도메인이 생성되어 수백 개의 글로벌 브랜드에 영향을 미쳤습니다. 범죄자들은 30초 이내에 오타, 구글, 마이크로소프트와 같은 서비스를 모방한 복제된 로그인 포털을 배포할 수 있으며, 종종 진짜 버전과 구별할 수 없는 경우도 있습니다. 피싱 인프라에 대한 온디맨드 액세스가 가능해지면서 사이버 범죄의 장벽이 거의 사라졌습니다.

동시에 범죄자들은 생성형 AI 도구를 통해 몇 초 만에 그럴듯하고 개인화된 피싱 이메일을 제작할 수 있습니다. 이는 일반적인 스팸 메시지가 아닙니다. AI 모델은 LinkedIn, 기업 웹사이트 또는 과거 침해 사례에서 데이터를 수집하여 실제 비즈니스 상황을 반영한 이메일을 생성함으로써 신중한 직원도 클릭하도록 유도합니다.

이 기술은 또한 딥페이크 오디오 및 비디오 피싱의 증가를 가속화하고 있습니다. 지난 10년 동안 딥페이크 관련 공격은 1,000%나 급증했습니다. 공격자는 일반적으로 Zoom, WhatsApp, Teams와 같은 플랫폼을 사용하여 CEO, 친척 또는 신뢰할 수 있는 동료로 사칭합니다.

기존의 방어 방식으로는 한계가 있습니다.

서명 기반 탐지에 의존하는 기존의 이메일 필터는 AI 기반 피싱에 효과적이지 않습니다. 위협 행위자는 도메인, 제목 및 기타 요소를 포함한 인프라를 쉽게 교체하여 정적 보안 조치를 회피할 수 있습니다.

피싱 이메일이 받은 편지함에 도착하면 피싱 이메일의 합법성을 판단할 책임은 직원에게 넘어갑니다. 안타깝게도 최신 AI로 생성된 이메일의 설득력이 매우 높기 때문에 잘 훈련된 직원도 결국 실수를 범할 수 있습니다. 문법적인 실수를 발견하는 데 의존하는 것은 더 이상 실행 가능한 전략이 아닙니다.

또한 피싱 캠페인의 가장 큰 위험은 피싱 캠페인의 정교함뿐만 아니라 그 엄청난 규모입니다. 범죄자들은 이제 단 몇 시간 만에 수천 개의 새로운 도메인과 복제된 웹사이트를 개설할 수 있습니다. 한 공격이 차단되더라도 다른 공격이 빠르게 이를 대체하여 새로운 위협이 끊임없이 이어집니다.

이러한 요소들의 융합으로 인해 완벽한 AI 폭풍이 발생하며 보다 전략적인 방어 전략이 요구됩니다. 과거에는 단순한 피싱 시도에 효과가 있었던 방법이 이제는 오늘날의 캠페인의 규모와 정교함으로 인해 그 효과를 발휘하지 못합니다.

AI 피싱 탐지를 위한 주요 전략

사이버 보안 전문가와 규제 당국이 자주 권장하는 것처럼, 다층적 접근 방식은 AI 기반 피싱 공격 탐지를 포함하여 사이버 보안의 모든 측면에 이상적입니다.

첫 번째 방어선은 향상된 위협 분석입니다. 잠재적으로 오래된 위협 인텔리전스를 기반으로 하는 정적 필터에 의존하는 대신, 정상적인 커뮤니케이션 패턴에 대해 학습된 자연어 처리(NLP) 모델은 숙련된 인간 검토자조차 놓칠 수 있는 어조, 문구 또는 구조의 미묘한 편차를 감지할 수 있습니다.

하지만 어떤 수준의 자동화도 직원의 보안 인식의 중요성을 대체할 수는 없습니다. 일부 AI가 생성한 피싱 이메일이 불가피하게 받은 편지함에 도착할 수 있다는 점을 고려할 때, 잘 훈련된 인력이 탐지하는 것은 여전히 필수적입니다.

보안 인식 교육은 다양한 형태로 이루어질 수 있습니다. 시뮬레이션 기반 교육은 직원들이 최신 AI 피싱의 실제 모습을 익힐 수 있는 가장 효과적인 방법 중 하나입니다. 최신 시뮬레이션은 기본적인 '오타 찾기' 훈련을 뛰어넘습니다. 시뮬레이션은 사용자의 역할과 관련된 실제 캠페인을 복제하여 직원들이 직면할 가능성이 가장 높은 특정 유형의 공격에 더 잘 대비할 수 있도록 합니다.

목표는 직원을 테스트하는 것이 아니라 의심스러운 활동을 보고하는 것이 자연스러운 일이 될 수 있도록 근육 기억을 구축하는 것입니다.

마지막 방어 계층은 UEBA(사용자 및 엔티티 행동 분석)로, 피싱 시도가 전체 침해로 확대되지 않도록 도와줍니다. UEBA 플랫폼은 낯선 위치에서의 로그인이나 정책을 위반하는 사서함 변경과 같은 비정상적인 사용자 또는 시스템 동작을 모니터링하여 방어자에게 침입 가능성을 경고합니다.

결론

AI는 피싱의 수준을 높이고 확장하여 기존의 방어 체계를 쉽게 무력화하거나 우회할 수 있는 수준으로 발전하고 있습니다. 2026년을 내다볼 때 조직은 AI 기반 탐지, 지속적인 모니터링, 현실적인 시뮬레이션 훈련에 우선순위를 두어야 합니다.

성공은 첨단 기술과 인간의 경계를 통합하는 데서 비롯될 것입니다. 이러한 요소의 균형을 효과적으로 맞추는 기업은 AI 기반 피싱 공격의 지속적인 진화에 더 잘 대비할 수 있을 것입니다.

이미지 출처: Unsplash