사기의 미래는 이미 도착했다: LLM이 바꾸는 '표적형 사기'의 경제학

한눈에 보는 핵심

LLM은 대량 발송형(싸고 허술)과 표적형(비싸고 정교) 사기 사이의 빈 공간을 메웁니다. 정교한 맞춤형 공격을 '저렴하게, 반복적으로' 돌릴 수 있게 된 것이 핵심 변화입니다.
2024년 한 논문은 LLM 기반 스피어피싱 이메일 비용을 약 4센트로 추정했습니다. 토큰 비용만 내면 for 루프처럼 수천 건을 동시에 운영할 수 있습니다.
'자연스러운 글', '탄탄한 웹 존재감', '영상 통화 확인' 같은 기존 신뢰 휴리스틱은 음성 복제와 실시간 딥페이크 앞에서 빠르게 무력화되고 있습니다.
방어는 '모든 메시지를 의심하기'만으로는 부족하며, 가족 간 구두 암호, 별도 채널 확인, 하드웨어 2FA 같은 새로운 관행이 필요합니다.

원제목이 인용한 윌리엄 깁슨의 문장처럼, "미래는 이미 와 있다. 다만 고르게 퍼져 있지 않을 뿐"입니다. 일부 사기꾼은 이미 이 능력을 쓰고 있지만, 아직 보편화되지 않아 우리의 경계심은 충분히 재조정되지 못했습니다.

시나리오: LLM이 설계한 채용 사기

어떻게 작동하는지 구체적인 흐름으로 따라가 보겠습니다.

미끼: LinkedIn에서 내 경력에 딱 맞는 유명 회사의 채용 제안이 옵니다. 조건도 좋고 절차도 그럴듯합니다.
함정: 인터뷰 전 NDA 서명을 위해 '법무 SaaS처럼 보이는' 플랫폼에 접속해 "Sign in with Google/iCloud"로 로그인합니다.
탈취: 로그인 화면은 진짜처럼 보이지만, 입력한 비밀번호와 "기기에서 '예' 누르기" 2FA 흐름이 공격자 쪽 실제 로그인에 그대로 중계됩니다.
은폐: 공격자는 세션 쿠키를 저장하고, 사용자에게는 정상 로그인처럼 보이게 합니다. 이어지는 인터뷰와 불합격 통보는 피해자가 의심하지 않게 만드는 '연극'입니다.
결과: 몇 달 뒤 피해자는 신원 도용, 본인 명의 신용카드 지출, 증권 계좌 유출, 이메일 계정 상실을 뒤늦게 깨닫습니다.

💡 포인트: 단순히 비밀번호만 털린 게 아닙니다. 세션 쿠키까지 넘어갔기 때문에 2FA도 우회됩니다. 로그인 경고 이메일은 공격자가 미리 필터링·삭제해 피해자에게 도달하지 않습니다.

탈취 이후, 공격자는 '인내심'을 발휘한다

계정 접근을 확보한 공격자는 서두르지 않습니다.

이메일과 계정에 지속 접근하며 행동 패턴을 감시합니다.
경고 알림을 미리 차단하고, 클라우드 파일을 내려받고, 다른 사이트 로그인에도 계정을 재사용합니다.
은행 송금은 KYC 규제와 로그인 알림 때문에 어렵지만, 증권 계좌처럼 자주 확인하지 않는 곳을 노립니다.
캘린더의 휴가 일정을 보고 '피해자가 알아차리기 어려운 시점'을 고르고, 소액 송금으로 정상 사용 패턴을 위장합니다.
발각이 임박하면 피해자를 계정에서 잠가버려 상황 파악 자체를 어렵게 만듭니다.

왜 '규모'가 게임을 바꾸는가

기존 사기는 둘로 나뉘었습니다. 스팸형이 일부러 허술해 보이는 이유는 똑똑한 사람을 초반에 걸러내 대응 비용을 줄이기 위해서였죠. 기술에 익숙한 사람은 "내가 표적이 될 리 없다"고 안심할 수 있었습니다. 하지만 LLM은 이 양극화 구조 자체를 무너뜨립니다. 규모는 세 가지 새로운 가능성을 엽니다.

1. 규모는 '인내심'을 만든다

인간 팀이 한 사람을 몇 년씩 기다리긴 어렵지만, 수천 명을 동시에 상대하면 작전을 한동안 잠복시켜도 됩니다.

2. 규모는 '조합'을 만든다

작은 사기로 자금 운반책을 모집한 뒤 더 큰 유출로 연결하는 식의 결합이 저렴해집니다. 영화 The Sting의 정교한 합동 사기가 훨씬 적은 비용으로 가능해지는 셈입니다.

3. 규모는 '새로운 표적'을 만든다

탈취된 1,000개 계정은 각 플랫폼 내부의 인증된 거점 1,000개가 됩니다. 플랫폼이 "가끔 발생하는 사기 비용은 감수할 만하다(The optimal amount of fraud is nonzero)"고 넘기던 작은 틈도, 1,000개 계정이 동시에 악용하면 즉시 막아야 할 큰 구멍이 됩니다.

재사용 가능한 공격 도구가 시장에서 팔리기 시작하면, '사기용 스크립트 키디(script kiddies)' 의 등장도 시간문제입니다.

기존 휴리스틱이 무너지는 이유

우리가 의지해온 신뢰 규칙들은 사실 두 가지 전제 위에 서 있었습니다.

비용의 대리 지표: 유창하고 개인화된 글, 강한 웹 존재감은 "누군가 시간과 돈을 들였다"는 신호였습니다. "설마 나 하나 때문에 그렇게까지"라는 판단이 작동했죠.
능력의 한계: 가족 목소리를 전화로 흉내 내기 어려웠고, 영상 통화 속 사람은 진짜라고 믿을 수 있었습니다.

LLM과 딥페이크는 이 두 기반을 동시에 흔듭니다. 이제는 사기를 '피하는' 노력뿐 아니라, 무엇이 '진짜인지 확신하는' 데도 더 많은 에너지가 듭니다.

제도도 흔들립니다. 미국 소비자 보호는 '누가 송금을 승인했는가'에 선을 긋습니다. 계정 탈취로 인한 송금은 은행이 보전하지만, 속아서 직접 보낸 돈은 그렇지 않습니다. 이 구분은 '비밀번호 탈취가 설득보다 쉽던 세계'에서나 말이 됩니다. 영국은 2024년 '속아서 송금한 고객도 은행이 보전'하는 법을 통과시켰지만, 이 경우 은행이 사기 위험이 높은 고객과의 거래를 기피할 수 있다는 부작용도 따라옵니다.

그래서, 무엇을 해야 하나

위키피디아를 과제에 못 쓰게 하던 시절처럼, 낡은 신뢰 규칙에 매달리는 건 잘못된 방향입니다. LLM 시대에 맞는 새 휴리스틱이 필요합니다.

사기의 공통 골격을 보세요. 문구가 정교해져도 긴급함 + 비밀 유지 + 평소와 다른 채널 요구라는 구조는 남습니다.
가족과 구두 암호를 정해두세요. 암호가 없다면, 공개 기록에 남지 않을 과거 사건을 확인용 질문으로 쓸 수 있습니다. 기술에 익숙하지 않은 가족에게는 "긴급하고 비밀스러운 내 전화가 오면 일단 끊고 다른 채널로 확인하라"고 미리 일러두세요.
'내가 발신하는 채널'을 우선 신뢰하세요. 수신 연락은 위조가 쉽지만, 내가 직접 건 번호·내가 직접 쓴 이메일 주소는 대체로 진짜 상대에게 닿습니다. 반면 이메일 from: 헤더와 발신자 번호는 손쉽게 위조됩니다.
하드웨어 2FA(FIDO2/WebAuthn)를 쓰세요. 인증 과정에 웹사이트 도메인이 포함되어, 피싱 사이트가 서명을 단순 중계하기 어렵습니다. SMS·인증 앱보다 훨씬 강력합니다.

방어자도 LLM을 쓴다

비관만 할 일은 아닙니다. Mozilla는 LLM 도구 'Mythos'로 Firefox를 레드팀한 뒤, 이런 도구로 보안 취약점을 실제로 찾아낼 가능성을 봤습니다. Android는 최근 통화 사칭 탐지(impersonated call detection)를 도입했습니다.

다만 제도와 시스템의 적응은 시간이 걸리고, 이는 결국 군비 경쟁이 됩니다. 당분간 사기는 급증할 것으로 보입니다. 완벽히 안 당하는 건 불가능하지만, '표적이 되기엔 너무 비싸고 까다로운 사람' 이 되는 것은 충분히 가능합니다. 나 자신뿐 아니라 기술에 덜 익숙한 친구와 가족에게 이 변화가 무엇을 뜻하는지 설명하고 돕는 것이, 지금 할 수 있는 가장 현실적인 방어입니다.

원문: https://news.hada.io/topic?id=30636