Outsider Enterprise: AI가 만든 새 사기가 아니라, 사기의 공장화

Outsider Enterprise 사건의 핵심은 “AI로 새로운 사기가 등장했다”는 데 있지 않습니다. 더 중요한 변화는 피싱이 소프트웨어 상품처럼 포장되고, 텔레그램을 통해 조직적으로 유통됐다는 점입니다.¹

구글은 Outsider Enterprise를 피싱 키트를 배포하는 조직형 사이버범죄 네트워크로 규정했습니다.¹ 피싱 키트는 범죄자가 구글 같은 신뢰받는 브랜드처럼 보이는 가짜 문자 캠페인과 웹사이트를 대량으로 만들도록 돕는 도구입니다.¹

피싱이 ‘도구화’되면 무엇이 달라지나

과거에는 피싱을 실행하려면 웹사이트 제작, 문자 발송, 도메인 운영, 결제정보 탈취 인프라를 직접 마련해야 했습니다. 하지만 피싱 키트가 유통되면 진입 장벽은 낮아집니다. 범죄자는 처음부터 시스템을 만들지 않고, 이미 준비된 템플릿과 자동화 도구를 구매해 사용할 수 있습니다.

구글에 따르면 Outsider 관련 활동은 2주 동안 가짜 웹사이트 9,000개, 사기성 웹 도메인 100만 개, 안드로이드 사용자 대상 문자 250만 건 규모로 나타났습니다.¹ 같은 기간 안드로이드 이용자가 신고한 스팸 문자는 5만5,000건이었습니다.¹

구글은 Outsider 소프트웨어가 주당 88달러 또는 월 200달러에 판매됐고, 합법 웹사이트를 모방한 사전 제작 템플릿을 290개 이상 제공했다고 밝혔습니다.¹ 이 숫자가 보여주는 것은 단순한 “사기 증가”가 아니라 사기의 제품화입니다. 피싱은 더 이상 개별 범죄자의 수작업에만 의존하지 않고, 반복 판매 가능한 패키지로 운영됩니다.

문제는 더 그럴듯하고 더 빠른 사기다

Outsider Enterprise 사례에서 AI를 과장해 볼 필요는 없습니다. 핵심은 AI가 사기를 갑자기 만들어냈다는 것이 아니라, 기존 사기의 제작비와 실행 시간을 낮추고 확산 속도를 높인다는 점입니다.

피싱 키트가 브랜드 로고, 로그인 화면, 결제 입력 페이지를 미리 갖추고 있다면 사용자는 더 쉽게 속을 수 있습니다. 범죄자는 짧은 시간에 많은 도메인과 문자를 바꿔가며 차단을 회피할 수 있습니다. 결국 피해자는 “이 문자가 진짜처럼 보이는가”가 아니라 “내가 지금 공식 경로에서 확인하고 있는가”를 기준으로 판단해야 합니다.

FBI 대변인은 2023년 7월 이후 Outsider Enterprise의 피싱 플랫폼으로 도난 신용카드 약 387만 장과 약 19억 달러의 손실이 발생했다고 밝혔습니다.¹ 이 규모는 피싱을 개인의 부주의 문제로만 보기 어렵게 만듭니다. 조직화된 공급망, 대량 발송 인프라, 브랜드 사칭 템플릿이 결합된 산업형 범죄에 가깝습니다.

방어도 여러 층으로 움직여야 한다

구글은 Outsider Enterprise를 상대로 소송을 제기했고, FBI의 법 집행 조치가 병행될 것이라고 밝혔습니다.¹ 또 AT&T, T-Mobile, Verizon과 협력해 사기 문자가 이용자에게 도달하기 전에 차단하고 있다고 설명했습니다.¹

이 대목이 중요합니다. 피싱은 문자 발송망, 도메인, 웹호스팅, 메신저, 결제정보 탈취 페이지, 브랜드 사칭 요소가 연결된 문제입니다. 한 회사의 필터나 한 개인의 주의만으로 전체 경로를 막기 어렵습니다.

따라서 방어는 세 층에서 작동해야 합니다.

• 플랫폼과 통신사는 대량 발송과 악성 링크를 조기에 차단해야 합니다.

• 법 집행기관은 피싱 키트 유통망과 운영 조직을 끊어야 합니다.

• 사용자는 문자 속 링크를 누르기 전에 공식 앱이나 공식 웹사이트로 직접 이동해 확인해야 합니다.

사용자가 바로 적용할 수 있는 기준

문자에 포함된 링크는 가장 약한 고리입니다. 배송 지연, 계정 정지, 포인트 만료, 결제 오류처럼 급하게 행동하게 만드는 메시지는 먼저 의심해야 합니다.

브랜드 로고나 문구보다 주소를 확인해야 합니다. 특히 로그인, 카드 입력, 본인인증을 요구한다면 문자 링크를 통해 들어가지 말고 앱이나 공식 웹사이트를 직접 열어 확인하는 편이 안전합니다.

Outsider Enterprise 사건이 보여주는 결론은 분명합니다. AI 시대의 사기는 더 그럴듯해지고, 더 빠르게 확산되며, 더 쉽게 복제됩니다. 그만큼 방어도 개인의 주의, 플랫폼의 차단, 통신사의 협력, 법 집행이 함께 움직이는 방식으로 바뀌어야 합니다.

참고

¹How we're combatting AI scams with security, legislation and more