딥페이크·피싱 막는 AI 보안 체크리스트｜개인·직장인이 송금 전 반드시 확인할 것은?

가족의 다급한 목소리로 돈을 보내 달라는 전화가 온다면 누구나 당황할 수 있습니다. 영상회의 화면에 익숙한 상사의 얼굴이 보이고 긴급 송금을 지시한다면 의심하기는 더 어렵습니다.

생성형 AI는 음성과 얼굴을 정교하게 복제할 수 있습니다. 여기에 탈취된 개인정보와 실제 조직도가 결합되면 기존 보이스피싱보다 훨씬 자연스러운 딥페이크 피싱이 만들어집니다.

중요한 것은 가짜 영상의 미세한 흔적을 찾아내는 능력만이 아닙니다. 연락받은 채널과 분리해 신원을 다시 확인하고, 송금과 정보 제공을 잠시 멈추는 절차가 더 효과적입니다.

아래 AI 보안 체크리스트는 2026년 7월 31일을 기준으로 개인과 직장인이 일상에서 적용할 수 있도록 정리했습니다.

😥 딥페이크 피싱은 왜 알아차리기 어려울까?

과거의 피싱 메시지는 어색한 문장이나 틀린 맞춤법으로 구분할 수 있는 경우가 많았습니다. 지금은 AI가 실제 대화체, 회사 용어, 상대방의 직급까지 반영해 자연스러운 메시지를 만들 수 있습니다.

SNS에 공개된 짧은 영상이나 음성도 사칭 재료가 될 수 있습니다. 미국 연방거래위원회 FTC는 온라인에 게시된 짧은 음성 자료가 가족의 목소리를 복제하는 데 악용될 수 있으므로, 목소리만 믿지 말고 알고 있는 번호로 직접 연락해 사실을 확인하라고 안내합니다. FTC AI 음성 복제 사기 안내

공격자는 기술보다 사람의 심리를 먼저 노립니다. “지금 바로”, “아무에게도 말하지 말라”, “회의 중이니 전화하지 말라”처럼 확인할 시간을 없애는 표현이 대표적입니다.

직장에서는 대표나 거래처 담당자를 사칭해 계좌 변경을 요구할 수 있습니다. 개인에게는 자녀의 사고, 수사기관 조사, 카드 부정 사용처럼 불안을 자극하는 소재가 자주 사용됩니다.

얼굴이나 목소리가 자연스럽다는 이유만으로 본인이라고 판단하면 위험합니다. 딥페이크 탐지보다 먼저 확인해야 할 것은 상대가 평소와 다른 행동을 요구하는지입니다.

💡 딥페이크·피싱 막는 핵심은 ‘채널 분리 확인’

가장 실용적인 대응은 현재 연락받은 수단을 그대로 믿지 않는 것입니다. 메신저로 송금 요청을 받았다면 저장된 번호로 전화하고, 전화로 요청받았다면 회사 내부 메신저나 직접 대면으로 다시 확인해야 합니다.

상대방이 알려준 새 전화번호나 메시지 속 링크를 이용해서는 안 됩니다. 공격자가 마련한 또 다른 가짜 확인 창구로 연결될 수 있기 때문입니다.

가족끼리는 평소에만 알 수 있는 확인 질문이나 비상 암구호를 정해두면 좋습니다. 생일이나 학교 이름처럼 SNS에서 찾을 수 있는 정보는 피하고, 답을 인터넷에서 추측하기 어려운 문장을 사용합니다.

다만 암구호도 메시지나 이메일에 그대로 저장하면 유출될 수 있습니다. 직접 만나 정하고, 의심 전화에서는 질문을 먼저 던진 뒤 상대가 답하게 하는 방식이 안전합니다.

직장인은 금액과 관계없이 계좌 변경, 급여 정보 수정, 인증 수단 재설정에 2인 확인 절차를 적용하는 것이 좋습니다. 영상회의에 상사의 얼굴이 보이더라도 기존 결재선과 등록된 연락처를 통한 재확인을 생략하지 않아야 합니다.

딥페이크 영상에서 입 모양, 눈 깜박임, 피부 경계를 살피는 방법도 보조적으로 활용할 수 있습니다. 그러나 생성 기술이 계속 개선되므로 영상의 어색함이 없다는 사실은 진위 확인의 근거가 될 수 없습니다.

🛠 개인용 AI 보안 체크리스트와 실천 루틴

개인은 이메일 계정을 가장 먼저 보호해야 합니다. 이메일이 탈취되면 다른 서비스의 비밀번호 재설정 링크까지 공격자에게 넘어갈 수 있습니다.

주요 이메일, 금융, SNS 계정에는 서로 다른 비밀번호를 설정합니다. 가능하다면 비밀번호 관리자를 이용하고, 패스키 또는 보안 키처럼 피싱에 강한 인증 방식을 우선 선택합니다.

CISA는 다중 인증 가운데 보안 키와 FIDO 기반 인증을 강한 수단으로 안내합니다. 인증 앱의 숫자 일치 방식과 일회용 코드도 사용할 수 있지만, 문자나 이메일로 받는 코드는 상대적으로 약한 방식으로 분류합니다. CISA 다중 인증 안내

다음 항목은 한 번에 모두 적용하기보다 이메일과 금융 계정부터 순서대로 진행하면 부담이 적습니다.

• 이메일·금융·SNS에 서로 다른 비밀번호를 사용합니다.
• 지원되는 계정에는 패스키나 보안 키를 등록합니다.
• 로그인 알림과 금융 거래 알림을 켭니다.
• 인증번호와 화면 공유 코드는 누구에게도 전달하지 않습니다.
• 출처가 불분명한 링크와 QR코드는 바로 열지 않습니다.
• 가족끼리 딥페이크 확인용 암구호를 정합니다.
• SNS의 전화번호, 생년월일, 가족관계 공개 범위를 줄입니다.
• 스마트폰과 앱의 보안 업데이트를 미루지 않습니다.
• 원격 제어 앱 설치 요구는 즉시 거절합니다.
• 송금 요청은 저장된 번호로 다시 전화해 확인합니다.

한동안 택배 문자가 올 때마다 링크부터 누르는 습관이 있었다면, 공식 앱을 직접 여는 방식으로 바꾸는 것만으로도 위험한 접점을 줄일 수 있습니다. 청첩장이나 부고 메시지도 발신자에게 별도로 확인한 뒤 접속하는 편이 안전합니다.

문자 속 QR코드를 휴대전화 카메라로 바로 읽는 행동도 주의해야 합니다. KISA는 택배·청첩장 등을 사칭한 스미싱과 악성 QR코드를 이용한 큐싱이 개인정보 유출과 악성 앱 감염으로 이어질 수 있다고 설명합니다. KISA 스미싱·큐싱 대응 안내

🏢 직장인용 딥페이크 피싱 대응 체크리스트

회사에서는 개인의 주의력에만 의존하면 실수가 반복될 수 있습니다. 송금과 중요 정보 변경에 일정한 확인 절차를 만들어야 합니다.

특히 대표, 임원, 재무팀, 인사팀, IT 관리자 계정은 우선 보호 대상입니다. 이 계정이 탈취되면 실제 조직 내부의 말투와 업무 흐름을 이용한 표적 피싱이 가능해집니다.

실무에서 가장 자주 놓치는 부분은 회신 주소입니다. 표시된 발신자 이름이 거래처와 같더라도 실제 이메일 주소나 도메인 철자가 한 글자 다를 수 있습니다.

기존 메일 대화에 끼어든 것처럼 보이는 경우도 안심할 수 없습니다. 계좌 변경이나 결제 조건 수정이 포함됐다면 새 메일인지 기존 스레드인지와 관계없이 별도 확인이 필요합니다.

회사 차원에서는 송금 한도별 승인자, 계좌 변경 확인자, 사고 보고 창구를 명확히 정해야 합니다. 직원이 의심 신고를 했을 때 불이익을 걱정하지 않도록 빠른 보고를 권장하는 문화도 중요합니다.

🚨 의심 연락을 받았을 때 5분 대응 순서

첫째, 통화와 채팅을 멈춥니다. 상대의 재촉에 설명하거나 설득하려 하지 말고 송금, 링크 접속, 파일 실행을 중단합니다.

둘째, 독립된 채널로 본인을 확인합니다. 가족이라면 원래 저장된 번호로 전화하고, 직장 상사라면 사내 주소록과 결재 시스템을 이용합니다.

셋째, 증거를 보존합니다. 전화번호, 이메일 원문, 계좌번호, 대화 내용, 접속 주소와 송금 시각을 캡처하되 의심 파일을 다시 실행하지는 않습니다.

넷째, 이미 비밀번호를 입력했다면 깨끗한 기기에서 비밀번호를 변경합니다. 같은 비밀번호를 사용한 계정도 함께 바꾸고, 로그인 세션 종료와 복구 이메일 변경 여부를 확인합니다.

다섯째, 돈을 보냈다면 즉시 해당 금융회사와 경찰 112에 연락해 지급정지 가능 여부를 문의합니다. 경찰청 사이버범죄 신고시스템은 피싱과 메신저 피싱 등 전기통신금융사기의 지급정지 절차를 안내하고 있습니다. 경찰청 사이버범죄 신고시스템

스미싱 문자나 큐싱 QR코드는 국번 없이 118 또는 카카오톡 보호나라 채널을 통해 상담·신고할 수 있습니다. KISA 118의 해킹·바이러스 긴급상담은 365일 24시간 운영되며, 개인정보 등 일반 상담은 평일 오전 9시부터 오후 6시까지 제공됩니다. KISA 118 상담 서비스

휴대전화에 원격 제어 앱이나 출처 불명의 앱을 설치했다면 네트워크 연결을 끊고 다른 기기로 금융회사와 회사 보안 담당자에게 연락합니다. 피해 기기에서 계속 비밀번호를 바꾸면 입력 정보가 다시 노출될 수 있습니다.

⚠️ AI 보안에서 자주 하는 실수

첫 번째 실수는 “영상통화까지 했으니 진짜”라고 판단하는 것입니다. 딥페이크 영상뿐 아니라 탈취된 계정과 미리 녹화된 영상도 사칭에 이용될 수 있습니다.

두 번째는 상대가 보내준 번호로 다시 전화하는 것입니다. 재확인은 본인이 이전부터 알고 있던 연락처나 공식 홈페이지, 사내 주소록을 이용해야 의미가 있습니다.

세 번째는 인증 앱 알림을 별생각 없이 승인하는 행동입니다. 본인이 로그인을 시도하지 않았다면 반복되는 승인 요청도 모두 거절하고 비밀번호를 변경해야 합니다.

네 번째는 딥페이크 탐지 앱 하나로 모든 문제를 해결하려는 태도입니다. 탐지 도구는 참고 자료일 뿐이며, 압축된 영상이나 짧은 통화에서는 오판할 수 있습니다.

다섯 번째는 피해 사실을 숨기는 것입니다. 회사 계정이나 업무 파일이 관련됐다면 혼자 해결하려 하지 말고 보안 담당자에게 즉시 알려야 피해 범위를 확인할 수 있습니다.

📈 체크리스트 적용 전후에 달라지는 점

AI 보안 체크리스트를 적용한다고 모든 딥페이크와 피싱을 정확히 구별하게 되는 것은 아닙니다. 대신 진짜처럼 보이는 연락도 정해진 절차로 검증하게 됩니다.

변화 전에는 발신자 이름, 목소리, 프로필 사진을 신뢰의 근거로 삼기 쉽습니다. 적용 후에는 요청 내용, 연락 경로, 송금 방식과 절차 위반 여부를 먼저 확인하게 됩니다.

예전에는 긴급 요청을 빠르게 처리하는 것이 업무 능력처럼 느껴질 수 있었습니다. 실제로는 잠깐 멈춰 다른 채널로 확인하는 습관이 본인과 조직을 함께 보호합니다.

이 방법은 금융 업무가 많은 직장인, 부모와 자녀가 떨어져 사는 가정, SNS에 영상과 음성을 자주 올리는 사람에게 특히 잘 맞습니다. 반면 체크리스트만 배포하고 실제 확인 창구나 승인 절차를 만들지 않는 조직에서는 효과가 제한적입니다.

개인적으로는 딥페이크의 흔적을 맞히는 연습보다 “송금·인증번호·앱 설치 요청은 일단 멈춘다”는 단순한 기준이 오래 유지하기 좋다고 봅니다. AI 기술이 더 자연스러워질수록 사람의 눈보다 반복 가능한 확인 절차가 중요해질 것입니다.

여러분은 가족 암구호나 회사의 2인 승인 절차를 사용하고 계신가요? 직접 적용하면서 가장 현실적으로 도움이 됐던 AI 보안 습관도 궁금합니다.

❓ Q&A

Q. 딥페이크 전화는 목소리만 듣고 구별할 수 있나요?

A. 정확히 구별하기 어렵습니다. 목소리의 어색함을 찾기보다 통화를 끊고 기존에 저장된 번호로 다시 연락하는 것이 안전합니다.

Q. 가족을 사칭한 보이스피싱을 막는 가장 쉬운 방법은 무엇인가요?

A. 가족끼리 외부에 공개하지 않은 암구호를 정하고, 송금 요청이 오면 다른 가족이나 저장된 번호를 통해 사실을 확인합니다.

Q. 회사 상사의 영상 통화 지시는 믿어도 되나요?

A. 얼굴과 목소리가 자연스러워도 송금이나 정보 제공은 기존 결재 절차로 재확인해야 합니다. 영상 통화 자체는 신원 확인 수단으로 충분하지 않습니다.

Q. 피싱 방지에는 문자 인증보다 패스키가 좋은가요?

A. 일반적으로 FIDO 기반 패스키와 보안 키가 피싱에 더 강합니다. 지원되지 않는 서비스에서는 인증 앱을 사용하고, 문자 인증은 더 강한 선택지가 없을 때 활용할 수 있습니다.

Q. 의심 링크를 이미 눌렀지만 정보를 입력하지 않았다면 괜찮나요?

A. 위험이 없다고 단정할 수 없습니다. 파일이나 앱이 설치됐는지 확인하고 운영체제와 보안 앱을 업데이트한 뒤, 이상 징후가 있으면 KISA 118에 상담하는 것이 좋습니다.

Q. 보이스피싱으로 이미 송금했다면 어디에 신고해야 하나요?

A. 즉시 금융회사와 경찰 112에 연락해 지급정지를 요청해야 합니다. 계좌번호, 송금 시각, 대화 캡처 등 관련 자료도 보존합니다.

Q. 스미싱 문자와 큐싱 QR코드는 어디에 신고하나요?

A. 국번 없이 118, 카카오톡 보호나라 채널 또는 전자통신금융사기 통합신고대응센터를 이용할 수 있습니다.

Q. 직장인이 매일 확인할 최소 보안 수칙은 무엇인가요?

A. 로그인 알림 확인, 의심 링크 미접속, 인증 요청 무단 승인 금지, 계좌 변경의 별도 확인만 꾸준히 지켜도 주요 피싱 위험을 줄이는 데 도움이 됩니다.

#딥페이크피싱 #AI보안체크리스트 #보이스피싱예방 #직장인보안 #스미싱예방 #피싱대응 #패스키 #개인정보보호 #사이버보안 #딥페이크예방