AI 보이스피싱, 이제 가족 사칭을 넘어 기업 클라우드 계정까지 노린다

• AI 보이스피싱이 이제 가족 사칭을 넘어 기업 클라우드 침투 수단으로 확장되는 중임

  • 국내에서는 자녀 울음소리를 AI로 조작한 납치 빙자 사기가 확인됨
  • 해외에서는 전화 한 통으로 기업 클라우드 접근 권한을 얻고, 데이터를 장기간 모은 뒤 유출·협박까지 이어진 사례가 나옴

• 국내 사례는 꽤 현실적이라 더 찝찝함

  • 금융감독원은 지난 2월 AI로 조작한 자녀 음성을 활용한 납치 빙자 보이스피싱에 소비자경보를 발령함
  • 사기범은 자녀 이름, 학원명 같은 구체 정보를 먼저 던진 뒤 AI로 만든 울음소리를 들려줌
  • 이후 “아이를 데리고 있다”고 협박하고, 휴대전화 수리비나 술값 명목으로 50만원 안팎 송금을 요구하는 방식임

• 문제는 이 패턴이 개인 사기를 넘어 회사 계정 탈취로 옮겨가고 있다는 점임

  • 구글 위협분석 조직은 2025년 공격그룹이 IT지원팀을 사칭해 직원에게 전화를 건 사례를 공개함
  • 공격자는 직원이 클라우드 서비스 접근 권한을 부여하도록 유도함
  • 이후 고객관리 시스템 데이터에 접근해 정보를 대량 유출했고, 일부 기업에는 시간이 지난 뒤 금전을 요구하는 협박까지 이어감

• 국내 사이버 위협 지표도 이미 좋지 않음

  • 과기정통부와 KISA는 2026년 사이버 위협 전망에서 AI 기반 사이버 위협, 클라우드 취약점 공격, 유출 개인정보 기반 2차 보이스피싱·스미싱을 주요 위협으로 꼽음
  • 2025년 국내 사이버 침해사고 신고는 2,383건으로 전년 1,887건보다 26.3% 증가함
  • 랜섬웨어 감염도 274건으로 전년 192건보다 늘어남

• 공격 방식은 점점 더 ‘정상 로그인’처럼 보이게 설계됨

  • 공격자는 IT 담당자를 사칭해 특정 로그인 페이지 접속을 유도함
  • 가짜 로그인 페이지에서 로그인 정보와 인증 토큰을 동시에 훔침
  • 이후 여러 SaaS 서비스로 확산 침투하는 방식임
  • 악성 파일 설치 없이 정상 계정으로 접속하니 백신이나 단말 보안 시스템에서 잡기 어려움

sequenceDiagram
    participant 공격자
    participant 직원
    participant 가짜로그인
    participant 클라우드서비스
    participant 기업데이터
    공격자->>직원: IT지원팀 사칭 전화
    공격자->>직원: 로그인 페이지 접속 유도
    직원->>가짜로그인: 계정정보와 인증 토큰 입력
    가짜로그인->>공격자: 자격정보 전달
    공격자->>클라우드서비스: 정상 사용자처럼 로그인
    클라우드서비스->>기업데이터: 고객관리 데이터 접근
    공격자->>직원: 유출 이후 협박 또는 추가 요구

• 유출 정보가 계속 재사용되는 것도 공격 난도를 낮춤

  • 가디언은 2025년 약 160억건 규모의 로그인 정보가 온라인에 노출됐다고 전함
  • 이는 과거 유출 자료가 반복적으로 재유통되며 누적된 결과라는 설명임
  • 한 번 털린 정보가 끝나는 게 아니라, 다음 피싱과 계정 탈취의 재료로 계속 살아남는 셈임

• 포티넷 분석도 같은 방향을 가리킴

  • 2026년 글로벌 위협 보고서에서 클라우드 침해의 상당수가 인프라 취약점보다 도난·노출·오용된 계정정보에서 시작된다고 분석함
  • 다크웹 데이터셋에서 스틸러 로그가 67.12%로 가장 큰 비중을 차지함
  • AI와 자동화 기술은 취약점 악용 속도와 공격 규모를 키우는 요소로 지목됨

• 결국 대응의 핵심은 기술 장비만이 아니라 확인 절차임
  • 금융당국 관계자도 전화나 메시지로 계정정보 입력이나 접근 권한 요청이 오면 반드시 별도 경로로 사실 여부를 확인해야 한다고 강조함
  • 기업 입장에서는 헬프데스크가 어떤 상황에서 권한을 요청할 수 있는지, 직원이 무엇을 승인하면 안 되는지 명확히 정해야 함
  • 개발·보안 조직은 SaaS 권한 승인, 세션 토큰 보호, 이상 로그인 탐지, 고객 데이터 접근 로그를 같이 봐야 함

기술 맥락

• 이 공격에서 중요한 선택지는 보안 장비를 더 붙이는 것보다 계정 기반 접근을 어떻게 검증할지예요. 악성코드가 설치되지 않고 정상 로그인처럼 들어오면 기존 백신이나 EDR만으로는 놓치기 쉽거든요.

• 인증 토큰 탈취가 위험한 이유는 비밀번호를 바꿔도 이미 발급된 세션이 살아 있을 수 있기 때문이에요. 그래서 피싱 대응은 비밀번호 초기화뿐 아니라 세션 만료, 토큰 폐기, SaaS별 접근 로그 확인까지 이어져야 해요.

• 회사 헬프데스크 절차도 공격 표면이 돼요. 공격자가 IT지원팀 말투와 시나리오를 흉내 내면 직원 입장에서는 정상 업무 요청처럼 느낄 수 있어서, 권한 승인 요청은 별도 채널 확인을 강제해야 해요.

• 클라우드 침해가 취약점보다 계정정보에서 시작된다는 분석은 개발팀에도 의미가 커요. SaaS 연동, 관리자 권한, 고객 데이터 접근 권한을 최소화하지 않으면 직원 한 명의 실수가 전체 데이터 유출로 이어질 수 있어요.