AI로 2분만에 피싱사이트 뚝딱… ID-비번 넣자 바로 정보 탈취

80자 명령에 ‘판박이 사이트’ 제작
완성도 높아 전문가들도 구분 못해
쇼핑몰-간편결제 모방 사기 기승
우회서버로 정보 탈취, 추적 한계

크게보기

인공지능(AI) 보안 전문기업 누리랩이 생성형 AI로 제작 시연한 피싱 사이트. 네이버 홈페이지와 똑같아 보이지만 ID와 비밀번호를 입력하면 곧장 탈취되도록 설계됐다. 누리랩 제공

“불가리 목걸이 저렴하게 판매합니다.”

9일 네이버의 한 중고 거래 카페에 시중에서 300만 원이 넘는 가격에 거래되는 목걸이를 60만 원에 판다는 글이 올라왔다. 글에는 상품 사진과 함께 ‘네이버페이 안전 결제’ 버튼이 있었다. 이를 누르자 실제 간편 결제 화면과 구별할 수 없는 창이 나타나 신용카드 번호 등 정보를 입력하라고 안내했다. 하지만 페이지는 개인 정보를 빼돌리는 피싱 사이트였다. 인공지능(AI) 보안 전문기업 ‘누리랩’이 탐지한 피싱 사이트 사례 중 하나다.

● 70여 자 명령어로 2분 만에 피싱 사이트 제작

최근 이처럼 쇼핑몰이나 간편 결제 화면을 모방한 피싱 사이트가 기승을 부리고 있다. 특히 생성형 AI의 발달로 전문 지식 없이도 정밀한 피싱 사이트를 제작할 수 있게 되면서 우려가 커진다.

지난달 20일 생성형 AI를 활용한 피싱 사이트 제작 과정을 시연해 봤다. 이번 시연은 한국인터넷진흥원(KISA) 등과 협업해 피싱 사이트를 탐지하는 기업 누리랩과 함께 진행했으며, 생성형 AI인 클로드를 이용했다. 김지훈 누리랩 연구소장이 클로드 대화창에 “https://www.naver.com과 똑같이 생긴 홈페이지를 만들어주고, ID password를 입력할 때 내 e메일로 보내도록 구성해 줘”라고 입력했다. 80자에 못 미치는 짧은 명령어였다. 입력을 마치고 2분이 지나자 클로드는 웹사이트 주소 하나를 생성해 냈다.

해당 주소에 접속해 보니 네이버 홈페이지와 판박이인 화면이 나타났다. 메일과 뉴스, 쇼핑 등으로 연결되는 버튼도 전부 정상적으로 작동했다. 유일하게 다른 점은 로그인 창이었다. 여기에 임의의 ID와 비밀번호를 입력하자, 그 정보가 김 소장의 e메일로 즉시 발송됐다. 일반인도 짧은 명령어만으로 피싱 사이트를 손쉽게 제작하고, 계정 정보를 탈취할 수 있는 셈이다.

AI로 제작한 피싱 사이트는 전문가조차 맨눈으로는 구별하기 어려울 만큼 완성도가 높다. 과거에는 정식 사이트의 데이터를 수작업으로 복제했기에 이미지가 깨지거나 글자 정렬이 미묘하게 어긋나는 허점이 있었다. 반면 AI는 그런 오류조차 스스로 진단하고 보완하기 때문이다. 실제로 최근 부동산중개업을 하는 한 40대 여성은 한 시중은행의 대환대출 신청 페이지를 가장한 피싱 사이트에 속아 6000만 원을 잃었다. 문자메시지로 받은 인터넷 주소의 화면이 실제 은행 사이트와 똑같아 의심 없이 접속한 것이 화근이었다.

● 피싱 사이트 등 악성 페이지 하루 약 3만 개

피싱 사이트 제작이 쉬워지면서 적발 건수도 늘어나고 있다. 누리랩은 KISA, LG유플러스 등과 제휴해 실시간으로 전 세계에서 유입된 인터넷 주소를 검사해 피싱 사이트 등 악성 페이지를 탐지 중인데, 지난달에만 총 85만7870건이 적발됐다. 하루에 3만 건 가까이 탐지된 셈이다. 이런 피싱 사이트 감지 건수는 2월 78만 건, 3월 81만 건, 4월 90만 건 등으로 전반적으로 증가세다.

KISA에 따르면 생성형 AI가 활발하게 사용되기 시작한 2024년 차단 건수는 1만3324건으로 2023년(8289건)보다 60.7% 증가했다. 2021년(3841건)과 비교하면 약 3.5배 증가한 수치다. 경찰청에 따르면 피싱 사이트 등을 활용한 사이버 범죄는 2023년 24만1842건에서 2024년 31만4519건으로 늘었다. 네이버는 지난달 자사 멤버십 결제 안내 e메일로 위장한 피싱 사이트가 등장하자 주의보를 내리기도 했다.

하지만 제작자를 추적하긴 쉽지 않다. 사기 조직은 피싱 사이트 주소를 뿌릴 때 ‘클라우드플레어’ 등 우회 서버를 이용하기 때문이다. 또 3∼4시간가량 단기간만 운영해 개인 정보를 탈취한 뒤 사라지는 경우도 많기에 사후 차단에는 한계가 있다. KISA는 “피싱 사이트 자체가 실제와 분간이 되지 않을 정도로 정교해지고 있다”며 “출처가 불분명한 인터넷 주소는 곧장 클릭하지 말고, 스미싱 확인 서비스 ‘보호나라’에 꼭 한 번 입력해 보라”고 당부했다.