AI로 CEO 목소리 복제, 병원·은행서 1억2900만 달러 가로채

전화기 너머 목소리는 사장과 똑같았고, 뒤이어 걸려 온 전화의 변호사 목소리는 세계 최대 로펌 중 한 곳의 파트너처럼 들렸다. 맨해튼 연방 검찰에 따르면 둘 다 가짜였다. 검찰은 남성 세 명이 인공지능으로 최고경영자와 변호사를 흉내 내 병원과 은행 등 여러 기업의 회계 담당자들에게 존재하지도 않는 비밀 거래를 위해 돈을 송금하도록 했다고 밝혔다. 이들은 돈을 가상화폐로 바꾼 뒤 공모자들끼리 나눠 가졌다.

이번 사건의 파장은 돈을 잃은 기업에만 그치지 않는다. 컴퓨터를 해킹한 사람은 없었다. 이 수법은 거의 모든 직장인이 별생각 없이 하는 행동, 즉 익숙한 목소리로 도움을 청하는 사람을 믿는 심리를 이용했다. 최고경영자의 연설과 실적 발표 전화회의, 콘퍼런스 패널 토론은 공개돼 있고, 음성 복제 소프트웨어는 그런 음성 자료만으로도 작동할 수 있다. 사기범이 직속 상사의 목소리를 흉내 낼 수 있다면, 전화 통화만으로는 상대가 누구인지 더 이상 확인할 수 없다.

뉴욕 남부지방법원에 제출된 기소장에는 스페인 마르베야와 영국에 거주하는 제이콥 소올(Jacob Soall·41), 이스라엘 출신 샤론 하잔(Sharon Hazan·54), 이스라엘과 아랍에미리트에 거주하는 가이 쉬트릿(Guy Sheetrit·42)이 피고인으로 적시됐다. 이들은 각각 전신 사기 공모, 가중 신분 도용, 자금 세탁을 포함해 7개 혐의를 받고 있다. 검찰은 이들이 미국과 해외 기업들로부터 약 1억2900만 달러를 빼돌렸다고 밝혔다.

기소장에 따르면 사기 수법은 거의 바뀌지 않았다. 먼저 DocuSign 같은 전자서명 서비스를 통해 표적 기업의 최고경영자가 보낸 것처럼 꾸민 이메일을 보내 비밀 거래를 도와 달라고 요청하고, 비밀유지계약서를 첨부하는 경우가 많았다. 이어 전화가 걸려 왔고, 공모자들은 인공지능으로 최고경영자의 목소리를, 때로는 얼굴까지 흉내 낸 것으로 알려졌다. 가짜 CEO는 직원을 가짜 변호사에게 넘겼는데, 이들은 대개 세계 50대 로펌에 꼽히는 회사의 유럽 사무소에 실제로 근무하는 변호사의 이름을 도용했다. 검찰에 따르면 소올은 직원들이 동료와 이 사안을 이야기하지 못하도록 비밀 유지와 내부자 거래 규정을 내세운 ‘변호사 통화’라는 제목의 손글씨 대본을 갖고 있었다.

피해 기업의 이름은 공개되지 않았지만, 기소장에 적힌 피해액은 경제 전반을 아우른다. 미주리주의 병원 시스템은 482만9580달러를 송금했다. 로드아일랜드주의 은행은 268만4580달러, 캘리포니아주의 병원 시스템은 296만8497달러를 잃었다. 영국의 금융 기술 기업은 1157만8474달러, 매사추세츠주의 뮤추얼펀드 회사는 463만9918달러, 플로리다주의 반려동물 사료 회사는 524만2747달러의 피해를 입었다. 돈은 가상화폐로 바뀌기 전 미국, 스페인, 포르투갈, 그리스, 아랍에미리트, 싱가포르, 오스트리아, 슬로바키아, 중국에 있는 계좌로 흘러갔다.

한 곳은 피해를 면했다. 검찰에 따르면 뉴욕의 대형 투자은행에서 한 직원이 약 285만 달러의 송금을 승인했지만, 은행의 후선 업무 부서가 송금이 실행되기 전에 막았다. 효과를 발휘한 방어책은 딥페이크 탐지기가 아니라 사람 한 명이 더 확인하는 절차였다.

인공지능을 이용한 점은 범죄 수법 가운데 새로운 부분이다. 법무부 발표문은 해당 도구를 “초지능”이라고 표현했지만, 기소장에는 인공지능이라고 적혀 있다. 공개된 서류 어디에도 시중에서 구할 수 있는 음성·얼굴 복제 기술 이상의 도구가 쓰였다는 정황은 없다. 나머지는 오래된 수법이다. 가짜 임원 이메일을 보내고, 여러 나라의 계좌를 거쳐 돈을 옮긴 뒤 세탁하는 방식이다. 검찰은 같은 법원에서 2008년 은행 사기 공모 혐의로 유죄 판결을 받은 하잔이 3년 동안 4억 달러 이상을 세탁했다고 자랑하며 자신이 “전 세계에서 1등”이라고 말했다고 밝혔다. 이는 모두 혐의일 뿐 세 사람 가운데 유죄 판결을 받은 사람은 없으며, 검찰은 회수한 금액이나 사용된 복제 도구가 무엇인지 밝히지 않았다.

기업들은 이런 위험을 이미 경험했다. 엔지니어링 회사 Arup은 2024년 홍콩의 한 직원이 다른 참석자들이 딥페이크였던 화상회의에 참여한 뒤 약 2500만 달러를 잃었다. 기본적인 권고 사항은 달라지지 않았다. 이미 알고 있는 번호로 임원에게 다시 전화하고, 거액 송금에는 승인자를 한 명 더 두며, 비밀을 요구하는 말은 위험 신호로 받아들여야 한다. 제이미 맥도널드(Jamie McDonald) 미 연방검사는 “개인과 기업 관계자들이 SI 기반 범죄라는 새로운 위협으로부터 자신을 가장 잘 보호할 방법을 고민해 보길 권한다”고 말했다.

이 공모 범죄는 적어도 2024년 7월부터 2026년 2월까지 이어진 것으로 알려졌다. 소올은 6월 17일 스페인에서 체포됐고, 하잔은 8월 5일 스페인에서, 쉬트릿은 9월 7일 영국에서 각각 체포됐다. 기소장은 11월 첫째 주에 공개됐으며, 세 사람 모두에 대한 범죄인 인도 요청이 진행 중이다. 전신 사기와 자금 세탁 혐의는 각각 최고 징역 20년에 처할 수 있으며, FBI는 피해 가능성이 있는 다른 이들에게 제보 페이지를 통해 신고해 달라고 요청하고 있다.

돈을 지킨 은행에 더 뛰어난 인공지능이 있었던 건 아니다. 송금이 실행되기 전 이를 살펴본 후선 업무 담당자가 있었을 뿐이다.

태그: Folarin Balogun, Baker Mayfield, Meghan Markle, 사이버보안, 딥페이크, 미국 법무부, 음성 복제