사이버보안 기업 이지스시큐어의 이상호 대표가 지난 21일 마포구에 위치한 위즈경제 본사에서 인터뷰를 진행했다. 사진=위즈경제

[위즈경제] 장석찬 기자 =조직형 사기 범죄는 생성형 AI와 글로벌 네트워크를 기반으로 빠르게 고도화되고 있다. 피해 역시 보이스피싱과 몸캠피싱, 투자사기, 로맨스스캠 등 다양한 형태로 확산하면서 더 이상 개인의 부주의만으로 설명하기 어려운 사회 구조적 문제로 자리 잡았다.

이에 오는 10월 경찰청이 제80주년 경찰의 날을 맞아 개최하는 국제치안산업대전과 연계해 열리는 위즈경제 주최 ‘TRUST Forum 2026’ 포럼에 앞서 조직형 사기 범죄가 반복되는 구조적 원인과 기존 대응 체계가 범죄의 진화를 따라가지 못하는 이유를 짚고, 기술·제도·사회적 측면에서 필요한 변화를 모색하는 전문가 인터뷰 시리즈를 연재한다. [편집자주]

"범죄조직은 진화했는데 대응은 제자리입니다"

이상호 사이버보안 전문기업 이지스시큐어 대표는 조직형 사이버 사기 범죄가 반복되는 이유를 이 한마디로 요약했다. 생성형 AI와 글로벌 네트워크를 기반으로 범죄조직은 더욱 정교하고 빠르게 진화하고 있지만, 대응은 여전히 피해가 발생한 뒤 계정이나 악성 앱을 차단하는 사후 대응에 머물러 있다는 것이다. 

◇기술발전으로 낮춘 범죄의 진입장벽...변종 악성 앱 쏟아져

어쩌다 이런상황이 일어나게 된걸까? 그는 누구나 최신 기술로 악성 앱 등 범죄 도구 제작이 쉬워진 환경을 꼽았다. 과거에는 악성 앱이나 피싱 서버를 제작할 수 있는 기술 개발 조직이 범죄 공급망의 병목 역할을 했지만, 최근 자연어만으로 코드를 생성하는 '바이브 코딩(Vibe Coding)'과 생성형 AI가 보편화되면서 상황이 급변했다는 설명이다. 

실제 비전문가도 수시간 만에 개인정보 탈취용 앱을 제작할 수 있게 되면서 변종 악성 앱이 무차별적으로 쏟아지고 있다. 안드로이드·iOS 개발자들이 앱을 시험할 때 사용하는 정상적인 도구인 ‘엑스포고(Expo Go)’를 피해자에게 설치하게 한 뒤, 그 안에서 악성 코드를 실행하는 방식으로 보안망을 우회한다. 또는 SNS에서 수개월 동안 대화를 이어가며 신뢰를 쌓은 뒤 특정 앱의 설치를 유도해 개인정보를 탈취하기도 한다.

이 대표는 "기존 악성코드 지문(시그니처)과 대조하는 백신 방식만으로는 AI가 매번 조금씩 변형해 만들어내는 수많은 악성 앱을 감당할 수 없다"며 "이제는 앱 자체를 차단하는 데 그칠 것이 아니라, 탈취된 데이터가 모이는 범죄자의 메인 서버(C2 서버)와 통신 프로토콜을 추적해 공격 캠페인 전체를 무력화하는 방향으로 방어 체계를 전환해야 한다"고 강조했다.

◇국경 넘는 범죄, 제자리인 공조…플랫폼·제도도 속도 못 따라가

생성형 AI(쳇GPT)의 도움을 받아 시각화하고 기자가 최종 검토 및 확인해 제작한 그래픽입니다. 그래픽에 포함된 데이터와 내용은 기자가 직접 취재한 결과물입니다. 

이 대표는 조직형 사기 범죄 대응이 제자리에 머무는 이유로 국경을 넘는 범죄를 따라가지 못하는 공조 체계를 먼저 꼽았다. 실제 보이스피싱과 디지털 성범죄 조직 상당수는 중국과 캄보디아 등 해외에 거점을 두고 활동한다. 해외 수사 공조와 범죄인 인도 절차에는 상당한 시간이 걸리고, 국가 간 외교·사법 공조에도 한계가 있어 조직 전체를 겨냥한 신속한 대응은 쉽지 않은 실정이다.

이 대표는 "일부 조직원이 검거되더라도 핵심 운영 조직과 해외 인프라는 그대로 유지되는 경우가 많다"며 "결국 조직은 빠르게 재편되고 같은 수법이 반복되는 악순환이 이어진다"고 말했다.

플랫폼과의 실시간 협력도 쉽지 않다. 그는 "기술력을 갖춘 보안 기업이 어떤 신고 문구와 방식으로 접수해야 가장 빨리 블라인드 처리되는지 연구하고 노하우를 축적하는 것이 지금의 현실"이라며 "민간과 플랫폼 간 신속한 공조 채널이 필요하다"고 말했다.

법과 제도 역시 기술 발전 속도를 따라가지 못하고 있다. 현재 정보통신망법상 실제 삭제나 차단까지는 최장 30일이 걸리고 범죄자 서버를 차단하거나 교란하는 등 적극적인 대응 기술도 법적 책임 범위가 명확하지 않아 쉽게 활용하기 어렵다. 이 대표는 "민간 기업들은 기술적으로 완전 자동화가 가능함에도 불구하고 법적 리스크를 전적으로 떠안은 채 매번 사람이 직접 검토하고 승인하는 제한적 방어를 펼칠 수밖에 없다"고 말했다.

◇검거·차단·예방을 하나로…민관 협력 체계 구축해야

이 대표는 사기범죄의 반복을 끊기 위해서는 수사기관과 민간 보안 기업, 플랫폼 사업자가 분절된 대응에서 벗어나 하나의 협력 체계로 연결돼야 한다고 강조했다. 공공 수사기관은 범인 검거를, 민간 보안 기업은 피해자 보호와 유포 차단을 우선하는 만큼 각자의 역할과 강점을 결합해야 한다는 것이다. 

그는 "민간의 신속한 분석·차단 기술과 공공기관의 강제 집행 권한이 함께 작동해야 피해를 골든타임 안에 막을 수 있다"며 "정부도 민간 보안 기술을 활용할 수 있는 공공 협력 체계를 구축하고, 적극적인 방어 활동의 법적 기준을 명확히 해야 한다"고 말했다.

끝으로 정교해진 피싱 수법에 대응하기 위해서는 기존의 주입식 보안 교육보다 일상적인 노출이 중요하다고 덧붙였다. 이 대표는 "AI 시대에는 누구나 속을 수밖에 없는 환경이 만들어진다"며 "보안 기술 교육보다는 '요즘 이런 변종 수법이 존재한다'는 사실을 숏폼이나 뉴스를 통해 지속적으로 바이럴하여 대중의 경각심을 깨워주는 것이 훨씬 실효성 있는 예방책"이라고 제언했다.  

[사후 복구 넘어 선제 차단으로…이지스시큐어의 디지털 방어]

이지시시큐어의 대응 시스템 악성 앱 분석 과정 사진=이지스시큐어
 

이지스시큐어는 악성 앱 분석과 범죄 인프라 추적, 유포 차단, 증거 보존을 하나의 체계로 연결한 디지털 범죄 대응 플랫폼 ‘ShieldOps’를 운영하고 있다. 몸캠피싱과 딥페이크, 불법촬영 등 피해가 빠르게 확산하는 범죄에 대응해 사후 삭제나 복구보다 범죄자가 사용하는 서버와 유통 경로를 먼저 찾아 무력화하는 데 초점을 맞춘 것이 특징이다.

기존 대응이 온라인에 유포된 영상이나 게시물을 발견한 뒤 삭제를 요청하는 방식에 머물렀다면, 이지스시큐어는 피해 정보가 저장된 탈취 인프라를 역추적해 유포 가능성 자체를 낮추는 선제적 대응 체계를 구축했다. 특히 범죄자 서버에 대량의 더미 데이터를 주입해 실제 피해 정보를 식별하기 어렵게 만드는 기술을 통해 피해 확산을 지연시키고 대응에 필요한 골든타임을 확보한다.

대응 과정은 총 4단계로 진행된다. 첫 단계에서는 피해자 기기에 설치된 악성 앱을 정밀 분석해 데이터가 전송되는 C2 서버와 통신 방식을 확인한다. 이어 ‘데이터 희석(Phantom Fill)’ 단계에서는 분석된 통신 규약을 바탕으로 수만 건의 위장 데이터를 범죄자 서버에 흘려보내 실제 피해 정보가 가짜 정보 속에 섞이도록 만든다.

이후 ‘확산 모니터링(Pulse Scan)’을 통해 피해자의 이미지나 영상이 변형된 형태로 온라인에 유포되는지를 24시간 추적한다. 마지막 단계에서는 확인된 C2 서버와 유포 인프라를 차단하고, 사건별로 확보한 범죄 지표를 다른 피해 사례와 교차 분석해 동일 조직이 벌인 연쇄 범죄 여부를 확인한다.

이 대표는 "서로 다른 피해자 사건으로 접수됐더라도 인텔리전스를 교차 대조하면 동일 범죄 조직이 수법을 바꿔 진행한 캠페인이라는 점을 확인할 수 있다"며 "개별 사건 대응을 넘어 범죄 조직 단위로 사건을 다시 묶어낼 때 선제 차단의 범위도 가장 넓어진다"고 설명했다.

★ C2 서버

해커나 범죄조직이 피해자의 스마트폰에 침투시킨 악성 앱을 원격으로 조종하고, 탈취한 개인정보와 연락처를 전송받는 메인 서버를 말한다. 범죄의 본거지 역할을 하는 핵심 인프라다.

★ 시그니처 탐지

기존 백신 프로그램이 알려진 악성코드 고유의 '지문(시그니처)'을 목록화해 두었다가, 이와 일치하는 파일이 들어오면 차단하는 보안 방식이다. 패턴이 매번 바뀌는 변종 악성 앱 대응에는 한계가 있다.

★ 바이브 코딩

복잡한 프로그래밍 언어를 직접 입력하지 않고, AI에게 대화하듯 자연어로 지시하여 소프트웨어나 앱을 만들어내는 최신 개발 방식이다. 개발 지식이 없는 비전문가도 사기용 앱을 손쉽게 제작할 수 있게 된 원인으로 지적된다.