--- title: "AI 보이스피싱, 이제 가족 사칭을 넘어 기업 클라우드 계정까지 노린다" published: 2026-05-10T15:05:05.185Z canonical: https://jeff.news/article/2507 --- # AI 보이스피싱, 이제 가족 사칭을 넘어 기업 클라우드 계정까지 노린다 AI 음성 사칭 공격이 개인 대상 보이스피싱을 넘어 기업 클라우드 계정 탈취 수단으로 진화하고 있어. 공격자는 IT 지원팀을 사칭해 직원에게 접근 권한을 허용하게 만들고, SaaS 로그인 정보와 인증 토큰을 빼낸 뒤 데이터 유출과 협박으로 이어가는 식이야. - AI 보이스피싱이 이제 가족 사칭을 넘어 기업 클라우드 침투 수단으로 확장되는 중임 - 국내에서는 자녀 울음소리를 AI로 조작한 납치 빙자 사기가 확인됨 - 해외에서는 전화 한 통으로 기업 클라우드 접근 권한을 얻고, 데이터를 장기간 모은 뒤 유출·협박까지 이어진 사례가 나옴 - 국내 사례는 꽤 현실적이라 더 찝찝함 - 금융감독원은 지난 2월 AI로 조작한 자녀 음성을 활용한 납치 빙자 보이스피싱에 소비자경보를 발령함 - 사기범은 자녀 이름, 학원명 같은 구체 정보를 먼저 던진 뒤 AI로 만든 울음소리를 들려줌 - 이후 “아이를 데리고 있다”고 협박하고, 휴대전화 수리비나 술값 명목으로 50만원 안팎 송금을 요구하는 방식임 - 문제는 이 패턴이 개인 사기를 넘어 회사 계정 탈취로 옮겨가고 있다는 점임 - 구글 위협분석 조직은 2025년 공격그룹이 IT지원팀을 사칭해 직원에게 전화를 건 사례를 공개함 - 공격자는 직원이 클라우드 서비스 접근 권한을 부여하도록 유도함 - 이후 고객관리 시스템 데이터에 접근해 정보를 대량 유출했고, 일부 기업에는 시간이 지난 뒤 금전을 요구하는 협박까지 이어감 > [!WARNING] > 보이스피싱을 개인 금융 사기로만 보면 위험함. 지금은 직원 한 명이 속으면 회사 SaaS, CRM, 고객 데이터까지 한 번에 열릴 수 있는 구조로 바뀌고 있음. - 국내 사이버 위협 지표도 이미 좋지 않음 - 과기정통부와 KISA는 2026년 사이버 위협 전망에서 AI 기반 사이버 위협, 클라우드 취약점 공격, 유출 개인정보 기반 2차 보이스피싱·스미싱을 주요 위협으로 꼽음 - 2025년 국내 사이버 침해사고 신고는 2,383건으로 전년 1,887건보다 26.3% 증가함 - 랜섬웨어 감염도 274건으로 전년 192건보다 늘어남 - 공격 방식은 점점 더 ‘정상 로그인’처럼 보이게 설계됨 - 공격자는 IT 담당자를 사칭해 특정 로그인 페이지 접속을 유도함 - 가짜 로그인 페이지에서 로그인 정보와 인증 토큰을 동시에 훔침 - 이후 여러 SaaS 서비스로 확산 침투하는 방식임 - 악성 파일 설치 없이 정상 계정으로 접속하니 백신이나 단말 보안 시스템에서 잡기 어려움 ```mermaid sequenceDiagram participant 공격자 participant 직원 participant 가짜로그인 participant 클라우드서비스 participant 기업데이터 공격자->>직원: IT지원팀 사칭 전화 공격자->>직원: 로그인 페이지 접속 유도 직원->>가짜로그인: 계정정보와 인증 토큰 입력 가짜로그인->>공격자: 자격정보 전달 공격자->>클라우드서비스: 정상 사용자처럼 로그인 클라우드서비스->>기업데이터: 고객관리 데이터 접근 공격자->>직원: 유출 이후 협박 또는 추가 요구 ``` - 유출 정보가 계속 재사용되는 것도 공격 난도를 낮춤 - 가디언은 2025년 약 160억건 규모의 로그인 정보가 온라인에 노출됐다고 전함 - 이는 과거 유출 자료가 반복적으로 재유통되며 누적된 결과라는 설명임 - 한 번 털린 정보가 끝나는 게 아니라, 다음 피싱과 계정 탈취의 재료로 계속 살아남는 셈임 - 포티넷 분석도 같은 방향을 가리킴 - 2026년 글로벌 위협 보고서에서 클라우드 침해의 상당수가 인프라 취약점보다 도난·노출·오용된 계정정보에서 시작된다고 분석함 - 다크웹 데이터셋에서 스틸러 로그가 67.12%로 가장 큰 비중을 차지함 - AI와 자동화 기술은 취약점 악용 속도와 공격 규모를 키우는 요소로 지목됨 > [!TIP] > 전화나 메시지로 계정 입력, MFA 승인, 접근 권한 부여 요청이 오면 그 채널 안에서 확인하지 말고 별도 경로로 다시 확인해야 함. 이 기본 절차 하나가 클라우드 침해를 막는 마지막 방어선이 될 수 있음. - 결국 대응의 핵심은 기술 장비만이 아니라 확인 절차임 - 금융당국 관계자도 전화나 메시지로 계정정보 입력이나 접근 권한 요청이 오면 반드시 별도 경로로 사실 여부를 확인해야 한다고 강조함 - 기업 입장에서는 헬프데스크가 어떤 상황에서 권한을 요청할 수 있는지, 직원이 무엇을 승인하면 안 되는지 명확히 정해야 함 - 개발·보안 조직은 SaaS 권한 승인, 세션 토큰 보호, 이상 로그인 탐지, 고객 데이터 접근 로그를 같이 봐야 함 --- ## 기술 맥락 - 이 공격에서 중요한 선택지는 보안 장비를 더 붙이는 것보다 계정 기반 접근을 어떻게 검증할지예요. 악성코드가 설치되지 않고 정상 로그인처럼 들어오면 기존 백신이나 EDR만으로는 놓치기 쉽거든요. - 인증 토큰 탈취가 위험한 이유는 비밀번호를 바꿔도 이미 발급된 세션이 살아 있을 수 있기 때문이에요. 그래서 피싱 대응은 비밀번호 초기화뿐 아니라 세션 만료, 토큰 폐기, SaaS별 접근 로그 확인까지 이어져야 해요. - 회사 헬프데스크 절차도 공격 표면이 돼요. 공격자가 IT지원팀 말투와 시나리오를 흉내 내면 직원 입장에서는 정상 업무 요청처럼 느낄 수 있어서, 권한 승인 요청은 별도 채널 확인을 강제해야 해요. - 클라우드 침해가 취약점보다 계정정보에서 시작된다는 분석은 개발팀에도 의미가 커요. SaaS 연동, 관리자 권한, 고객 데이터 접근 권한을 최소화하지 않으면 직원 한 명의 실수가 전체 데이터 유출로 이어질 수 있어요. ## 핵심 포인트 - 국내에서는 AI로 자녀 울음소리를 조작한 납치 빙자 보이스피싱 경보가 나옴 - 2025년 국내 사이버 침해사고 신고는 2,383건으로 전년 대비 26.3% 증가 - 해외에서는 IT지원팀 사칭 전화로 클라우드 서비스 권한을 얻어 고객관리 시스템 데이터를 유출한 사례가 공개됨 - 가짜 로그인 페이지와 음성 피싱을 결합하면 정상 로그인처럼 보여 단말 보안으로 탐지하기 어려움 - 포티넷은 클라우드 침해 상당수가 취약점보다 도난·노출·오용된 계정정보에서 시작된다고 분석 ## 인사이트 이제 보이스피싱은 ‘부모님께 조심하라고 말할 문제’에서 끝나지 않아. 회사 계정, SaaS 권한, 인증 토큰이 걸린 문제라서 개발 조직도 헬프데스크 절차와 권한 승인 플로우를 다시 봐야 할 타이밍이야.