인터폴 보고서: 아프리카 사이버범죄 절반 이상에 AI가 쓰이고 있어요

인터폴이 내놓은 숫자의 무게

인터폴이 아프리카 지역 사이버범죄 실태 보고서를 냈는데요, 핵심 수치가 꽤 충격적이에요. 아프리카에서 벌어지는 사이버범죄의 절반 이상에 AI가 활용되고 있다는 거예요. '해커들도 AI를 쓴다더라' 수준의 막연한 이야기가 아니라, 국제 수사기관이 실제 사건 데이터를 바탕으로 절반이 넘는다고 집계한 거라 무게가 달라요. 왜 하필 아프리카에서 이런 일이 벌어지고 있는지, 그리고 이게 우리와 무슨 상관인지를 짚어볼게요.

AI가 사기의 '규모의 경제'를 만들었어요

전통적인 온라인 사기의 병목은 사람이었어요. 피싱 메일을 그럴듯하게 쓰려면 그 언어를 잘하는 사람이 필요했고, 피해자 한 명 한 명과 대화를 이어가는 로맨스 스캠은 인력이 많이 드는 노동집약적 범죄였거든요. 그래서 어색한 번역투 메일은 걸러내면 됐고, 사기 조직의 규모에도 한계가 있었어요.

그런데 생성형 AI가 이 병목을 전부 없애버렸어요. LLM은 어떤 언어로든 원어민 수준의 자연스러운 메일을 무한정 뽑아내요. 이게 뭐냐면, 예전엔 '문법이 이상하면 피싱'이라는 필터가 통했는데 이제는 그 신호 자체가 사라졌다는 뜻이에요. 챗봇이 피해자 수백 명과 동시에 몇 주씩 친밀한 대화를 이어가는 로맨스 스캠도 가능해졌고요. 여기에 딥페이크가 더해지면 상황이 더 심각해져요. 몇 초 분량의 음성 샘플만 있으면 가족이나 회사 임원의 목소리를 복제할 수 있고, 화상회의에 딥페이크 얼굴로 등장해 송금을 지시하는 사건은 이미 실제로 벌어졌어요. 홍콩에서 딥페이크 화상회의에 속아 수백억 원을 송금한 사건이 대표적이죠.

왜 아프리카가 먼저, 그리고 크게 당하고 있나

아프리카는 모바일 결제와 인터넷 보급이 폭발적으로 성장한 지역이에요. 케냐의 M-Pesa처럼 은행 계좌 없이 휴대폰으로 금융 생활을 하는 인구가 많죠. 디지털 전환 속도에 비해 보안 인프라와 사이버 수사 역량, 시민들의 보안 인식 교육이 따라가지 못한 틈을 범죄 조직이 파고든 거예요. 비즈니스 이메일 침해(BEC, 회사 거래처나 임원을 사칭해 송금을 유도하는 사기), 사기성 투자 권유, 디지털 협박 같은 유형이 특히 빠르게 늘고 있다고 해요. 중요한 건 이게 아프리카만의 이야기가 아니라는 거예요. 공격 도구는 국경이 없고, 한 지역에서 검증된 수법은 그대로 다른 지역으로 수출되거든요.

방어도 AI로, 그리고 설계로

이 흐름이 개발자에게 던지는 과제는 두 갈래예요. 하나는 탐지의 문제예요. 사람 눈으로 피싱을 거르는 시대는 끝났으니, 이메일 필터링이나 이상 거래 탐지 시스템(FDS)도 AI 기반으로 고도화될 수밖에 없어요. 다른 하나는 설계의 문제인데, 이게 더 근본적이에요. 목소리로 본인 확인을 하는 서비스라면 음성 복제 시대에 그 인증이 여전히 유효한지 다시 물어야 하고, 송금이나 권한 변경 같은 민감한 동작에는 딥페이크로 뚫을 수 없는 별도 채널 검증(전화 확인이 아니라 사내 시스템의 승인 절차 같은)을 설계 단계에서 박아넣어야 해요.

한국 개발자에게 주는 시사점

한국은 이미 보이스피싱 피해가 연간 수천억 원 규모인 나라예요. 여기에 음성 복제와 LLM이 결합되면 지금까지의 '어눌한 말투로 구별하기' 같은 대응은 무력해져요. 금융, 커머스, 메신저 서비스를 만드는 분이라면 '우리 서비스의 인증과 승인 플로우 중에서 생성형 AI로 위조 가능한 단계가 어디인가'를 지금 점검해볼 가치가 있어요. 그리고 가족들에게 딥페이크 음성 사기 유형을 미리 알려드리는 것도, 개발자가 할 수 있는 아주 현실적인 보안 조치고요.

한줄 정리: AI가 사이버범죄의 언어 장벽과 인력 한계를 없애면서 사기가 산업화되고 있어요. 방어하는 쪽도 탐지 기술과 서비스 설계, 두 층위에서 함께 대응해야 해요.

여러분 서비스에는 딥페이크나 LLM으로 뚫릴 수 있는 인증 단계가 없나요? 실무에서 고민해본 대응책이 있다면 나눠주세요.