신용정보를 동결하고, 비밀번호를 길게 만들고, 카드 명세서를 확인하는 조언은 여전히 맞다. 문제는 그것만으로는 부족해졌다는 점이다. 생성형 AI는 주민번호나 여권 사본 같은 "명백히 민감한 정보"뿐 아니라, 말투·사진·직장 이력·가족관계 같은 조각들을 이어 붙여 그럴듯한 한 사람을 만들어낸다.
최근 보도된 사례는 이 변화를 잘 보여준다. 한 기자의 이름, 생년월일, 주소, 사회보장번호가 도용돼 13건의 대학 지원과 학자금 대출 신청에 쓰였고, 잠재적으로 5만 달러 이상의 대출이 열릴 수 있었다.1 중요한 점은 단순한 문서 위조가 아니라, AI가 신원도용을 "수작업 범죄"에서 "자동화된 운영"으로 바꾸고 있다는 것이다.
내 신원은 더 이상 파일이 아니라 프롬프트다
예전의 신원도용은 주로 특정 데이터의 유출 문제로 이해됐다. 주민등록번호, 계좌번호, 여권 사진이 새면 위험하다는 식이다. 지금도 맞는 말이다. 하지만 생성형 AI 환경에서는 위험한 정보의 범위가 넓어졌다.
공개 SNS 사진은 얼굴 합성의 재료가 되고, 짧은 영상 속 목소리는 음성 복제의 샘플이 된다. 링크드인 이력은 맞춤형 피싱 문장의 배경이 되고, 가족 호칭이나 말버릇은 "엄마, 급해" 같은 메시지를 더 믿게 만든다.
보스턴 연방준비은행은 합성 신원 사기를 "여러 출처의 실제 개인정보 조각과 가짜 정보를 결합해 만든 신원"으로 설명한다. 이 유형의 손실은 2023년 350억 달러를 넘은 것으로 추정된다.2 해석하자면, 공격자는 더 이상 한 사람을 완벽히 훔칠 필요가 없다. 충분히 그럴듯한 사람을 조립하면 된다.
실무적으로는 "무엇을 숨길까"보다 "무엇이 조합되면 나를 흉내 낼 수 있을까"를 물어야 한다. 공개 프로필, 오래된 이력서 PDF, 가족 사진, 반복적으로 쓰는 이메일 문체까지 신원 공격의 재료가 될 수 있다.
AI가 잘하는 것은 위조보다 '연결'이다
AI 신원도용을 딥페이크 영상만으로 이해하면 방어가 좁아진다. 실제 위험은 더 넓다.
문서는 더 빨리 만들어진다. 온라인에 떠도는 신분증 템플릿과 유출된 이미지가 있으면, 생성형 AI는 은행 명세서, 재직증명서, 학생 서류처럼 보이는 자료를 대량 생산할 수 있다.
얼굴과 목소리는 인증 절차를 흔든다. 세계경제포럼은 2023년 딥페이크 기반 얼굴 바꿔치기 공격이 신원 확인 절차 우회 시도에서 704% 증가했다는 보고를 인용했다.3 비디오 통화나 셀피 인증이 "사람이 맞는지"를 확인하던 시절의 가정이 약해진 것이다.
관계와 행동 패턴도 공격 대상이다. AI는 이메일 문체를 흉내 내고, 회사 조직도를 읽고, 특정 부서가 결재를 어떻게 요청하는지 학습한다. 그래서 피싱은 더 이상 어색한 번역문이 아니다. 정상 업무 요청처럼 보이는 메시지가 된다.
여기서 확인된 사실은 AI 기반 위조와 자동화가 늘고 있다는 점이다. 해석은 이렇다. 앞으로의 신원도용은 "내 정보가 유출됐는가"보다 "내 정보가 검증 시스템을 통과할 만큼 일관된 이야기로 조립될 수 있는가"의 문제가 된다.
공격자의 경제성을 망가뜨리는 방어만 남겨라
모든 방어가 같은 가치를 갖지는 않는다. "딥페이크를 눈으로 구분하라"는 조언은 도움이 될 때도 있지만, 장기 전략으로는 약하다. 합성물이 좋아질수록 사람의 감각은 밀린다.
개인에게 효과가 큰 방어는 공격자의 자동화를 끊는 쪽이다.
주요 신용평가기관의 신용 동결
금융·이메일 계정의 패스키 또는 강한 다중인증
휴대폰 번호 기반 계정 복구 최소화
오래된 이메일, 클라우드, 쇼핑몰 계정 정리
가족 간 "송금·납치·긴급상황" 확인용 암구호 정하기
SNS 공개 범위 축소와 음성·영상 샘플 노출 줄이기
기업은 더 엄격해야 한다. 임원 음성으로 송금을 지시하거나, 화상회의에서 결재를 요구하는 상황은 이미 현실적 위협이다. 고액 송금, 계정 복구, 고객정보 변경은 반드시 별도 채널 확인과 지연 절차를 둬야 한다. "영상으로 봤다"는 인증 근거가 되어서는 안 된다.
신원 모니터링 서비스는 유출 사실을 빨리 알리는 데 유용할 수 있다. 다만 이미 유출된 데이터를 지워주지는 못한다. 돈을 쓴다면 "알림"보다 "복구 지원, 보험, 계정 잠금 기능, 신용 동결 보조"가 있는지 봐야 한다.
다음 인증 인프라는 편리함과 감시 사이에서 갈린다
정부와 기업은 디지털 신원 지갑, 생체 인증, 실시간 생존성 검사 같은 방식을 도입하고 있다. 유럽연합은 회원국별 디지털 신원 지갑을 2026년까지 추진 중이며, 관련 표준화를 진행하고 있다.3
이런 기술은 분명 필요하다. 비밀번호, 지식 기반 질문, 단순 셀피 인증만으로는 AI 공격을 막기 어렵다. 동시에 트레이드오프도 있다. 생체정보와 디지털 신원이 중앙화되면, 실패했을 때 피해 규모가 커지고 감시 인프라로 변질될 위험도 있다.
따라서 좋은 신원 시스템의 기준은 "얼마나 강하게 본인확인을 하느냐"만이 아니다. 사용자가 어떤 정보를 언제, 누구에게, 어느 범위까지 제공했는지 통제할 수 있어야 한다. 검증은 강해야 하지만, 노출은 최소화되어야 한다.
생성형 AI가 바꾼 것은 범죄자의 도구만이 아니다. 우리가 신원을 이해하는 방식이다. 개인은 공개 정보와 계정 복구 습관을 점검해야 하고, 기업은 사람의 눈과 목소리에 기대는 승인 절차를 버려야 한다. 앞으로 지켜봐야 할 핵심은 하나다. "진짜 사람"을 확인하는 기술이 강화될수록, 그 기술이 사용자를 보호하는지 아니면 더 많은 신원 데이터를 모으는지 구분하는 일이다.
참고
1Generative AI turns identity theft into an industrial-scale operation
2Gen AI is ramping up the threat of synthetic identity fraud - Federal Reserve Bank of Boston
3How AI-driven fraud challenges the global economy - and ways to combat it
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.