네덜란드 암스테르담응용과학대 정보통신기술학, 현 트렐릭스 위협 인텔리전스 총괄, 노모어랜섬 프로젝트 공동 창립자, 전 네덜란드 국립 하이테크 범죄 수사대 수사관, 전 맥아피 사이버 수사 헤드 사진 트렐릭스
“새해 4월 총선을 앞두고 한국에서 선거 관계자들을 노린 사이버 공격이 나타날 수 있습니다.”
글로벌 사이버 보안 기업 ‘트렐릭스’의 존 포커(John Fokker) 수석 엔지니어는 최근 인터뷰를 통해 한국과 미국 등 주요 선거가 예정된 각국에서 사이버 공격이 기승을 부릴 수 있다며 이같이 경고했다. 트렐릭스는 사이버 보안 업계에서 굴지의 기업으로 꼽히는 ‘맥아피’와 ‘파이어아이’가 2022년 합병해 탄생한 기업이다. 현재 한국을 포함해 전 세계 70개국에 진출해 있다. 트렐릭스의 보안 솔루션은 ‘포천’이 선정한 전 세계 500대 기업의 80%가 이용할 정도다.
트렐릭스에서 사이버 공격에 대한 정보 수집 및 분석을 총괄하는 포커 수석 엔지니어는 네덜란드 경찰 출신의 사이버 범죄 수사 전문가다. 전 세계 보안 기업과 정부 기관이 랜섬웨어 피해를 줄이기 위해 시작한 ‘노모어랜섬 프로젝트’의 공동 창립자 중 한 명이기도 하다. 그는 “최근 인공지능(AI)을 활용한 고도화된 사이버 공격과 보이스피싱도 위협적”이라며 “생성 AI(Generative AI)를 해킹에 활용해 일반인을 범죄에 더 취약하게 만들 수 있는 만큼 철저한 대비가 필요하다”고 말했다. 다음은 일문일답.
최근 트렐릭스가 ‘2024 사이버 보안 위협 글로벌 트렌드’ 보고서를 통해 주요 선거가 예정된 새해에 사이버 공격 위협이 높다고 경고했다.
“그렇다. 주요 공직자 등 선거 관계자를 노린 피싱(phishing) 공격이 이뤄질 가능성이 크다고 본다. 악의를 품은 누군가가 선거 관계자를 노리고 자격 증명을 손상하는 이메일이나 문자메시지(SMS)를 보낼 수 있다. 실제로 지난 3년간 선거 격전지에서 주요 공직자를 노린 피싱 공격이 두드러지게 나타났다. 또 2024년 대선을 앞둔 미국 등의 국가에서 정치적 ‘핵티비즘(활동가들이 정치적 또는 사회적 동기를 가지고 해킹하는 행위)’ 역시 증가하고 있다. 일부 해킹 그룹은 사이버 공격 방식을 채택해 자신들의 메시지를 증폭하기도 하고, 가짜 뉴스를 전파하며 유권자의 혼란을 야기하기도 한다.”
총선을 앞둔 한국도 위험한가.
“그렇다. 그래서 총선을 앞둔 한국의 선거 관계자에게 이메일을 특히 조심하라고 조언하고 싶다. 왜냐하면 이메일은 해커들이 주로 활용하는 엔트리 포인트(진입점)다. 고도로 개인화된 이메일을 통해 피싱 성공 가능성이 크기 때문이다. 따라서 비즈니스 이메일을 정교하게 사칭한 공격과 스피어피싱(개인 정보를 훔치는 피싱 공격) 등을 각별히 주의해야 한다. 또 낯선 하이퍼링크도 경계해야 한다. 선거 관계자 모두 중대한 책임을 부여받는 만큼 불법적으로 선거 과정에 개입하려는 이들을 염두에 두고 대비해야 한다. 선거 관련 범죄는 개인에게도 피해를 주지만, 민주적 절차의 무결성까지 위태롭게 할 수 있다는 점에서 치명적이란 사실을 알아둬야 한다.”
선거와 관련된 사이버 공격을 막으려면.
“우선 어떤 사이버 범죄 유형이 있는지 파악부터 해야 한다. 평소 올바른 사이버 보안 습관을 강화하는 것도 중요하다. 이런 대비 태세가 데이터 유출과 허위 정보에 대한 방파제 역할을 할 수 있다. 특히 선거 공무원뿐 아니라 자원봉사자에 이르는 모든 관계자를 사이버 위협으로부터 선제적으로 보호하는 조치도 필요하다.”
올해도 최대 화두는 AI다. AI가 사이버 공격에 악용될 가능성은.
“매우 크다. 이미 사이버 범죄 활용 목적으로 설계된 대규모 언어 모델(LLM) 기반의 생성 AI 복제품이 있다. 지난 몇 년간 피싱 공격이 가속화하고 정교화한 사실을 미뤄 볼 때, 해커들은 이미 AI를 사이버 공격에 활용하기 시작했다고 본다. 실제로 현재 다크웹의 많은 언더그라운드 포럼이 악성 콘텐츠를 판매하고 개발하는 플랫폼 역할을 하고 있다. 새해에 이런 (AI를 활용한 해킹) 도구의 개발과 악의적인 사용이 더 가속화할 것으로 전망하는 배경이다.”
AI를 활용한 사이버 공격이 위협적인 이유는.
“과거와는 비교가 안 되는 속도로 피해 규모를 키울 수 있기 때문이다. 특히 생성 AI는 문제 해결 능력과 코딩 등 다양한 자연어 처리 작업에서 독보적인 역량을 발휘한다. 사이버 범죄자들이 공격 규모를 키우거나 타기팅(targeting·표적화) 개선을 도모하는 데 악용할 수 있다. 정교함이 떨어졌던 과거 AI와는 차원이 다르다. 지금은 전문 지식과 시간, 자원이 부족해도 투입 비용 대비 피해 규모를 극대화할 수 있다. 활동 범위를 키우려는 소규모 해커 집단뿐 아니라 타기팅과 공격 효율성을 개선하려는 대규모 해커 집단 모두에게 AI는 매력적인 선택지다.”
기존 사이버 공격과 가장 큰 차이점은.
“그럴듯한 가짜 콘텐츠를 생성할 수 있다는 점에서 확연히 구분된다. 전문 지식이 부족하거나 기술 이해도가 낮아도 AI 도구를 사용한다면 누구나 능숙하게 ‘멀웨어(malware·악성 소프트웨어)’를 만들어낼 수 있다. 아니면 생성 AI를 활용해 최소한의 개입만으로도 사람이 직접 작성한 듯한 피싱 이메일을 만들어낼 수 있다. 상당히 완성도 높은 피싱 메일을 단기간에 대량으로 생성, 배포할 수 있다는 점에서 굉장히 위협적이다.”
이번 보고서에서 AI를 활용한 보이스피싱 역시 증가할 것으로 내다봤다.
“실제로 일반적인 피싱뿐 아니라 보이스피싱 공격 사례도 늘고 있다. AI의 음성 생성 기술이 빠르게 고도화하고 있어서다. 이를 악용한다면 실시간으로 전화 통화를 하면서 합법적 기관을 사칭해 사기 효과를 증폭할 수 있다. 피해자를 속여 개인 정보를 탈취하거나 금융거래 등 특정 행위를 취하도록 유도할 수 있다.”
AI가 만들어낸 음성을 일반인이 구분하기 어려운가.
“구별이 매우 어렵다. 현재 AI의 기술력은 사람의 말투뿐 아니라 뉘앙스까지 거의 유사하게 모방할 수 있다. 특히 AI가 만들어낸 음성은 신뢰감을 형성하고 긴박감을 고조시키는 데 특화돼 있다. 개인화된 음성 메시지까지 제작이 가능하다. 일반인을 범죄에 더 취약하게 만들 수 있다는 뜻이다. 또 수많은 사람을 동시에 공격함으로써 범죄 성공률도 높일 수 있다. 이뿐만 아니라 AI가 생성한 음성은 여러 언어를 구사하도록 프로그래밍이 가능하다. 범죄 집단이 다양한 국가와 지역을 동시다발적으로 공격해 피해자를 양산할 수 있다.”
이를 막을 방법은 없나.
“지금 사이버 보안 업계에서 생성 AI는 경계 대상으로 여겨지지만, 거꾸로 AI가 우리를 도울 수도 있다고 본다. 일례로 AI는 머신러닝과 고급 분석력을 통해 보안 데이터를 꼼꼼하게 분석할 수 있다. 유의미한 인사이트를 추출하는 게 가능하다. 그러면 조직은 정보에 입각한 의사 결정을 하고, 신속한 조치로 방어를 강화하고 피해를 최소화할 수 있다.”
개인이 일상생활에서 사이버 공격을 예방하려면.
“이른바 ‘사이버 위생’을 철저히 하면 된다. 출처가 불분명한 파일을 다운로드하거나 의심스러운 웹사이트 링크의 접속을 경계하라는 뜻이다. 만약 직장에서 의심스러운 이메일을 받았다면, 사내 IT 부서 또는 사이버 보안팀에 즉시 알려야 한다.”