보이스피싱, 그게 뭔데 — 이젠 AI가 목소리까지 복제한다

화상회의에 나온 상사가, 전부 가짜였다

2024년 초 홍콩. 한 다국적 엔지니어링 회사(시드니 오페라하우스를 설계한 그 아럽입니다)의 재무 담당 직원이 화상회의에 들어갔습니다. 영국 본사 CFO도 있고, 낯익은 동료도 여럿 있었죠. 회의에서 송금 지시가 떨어졌고, 직원은 시키는 대로 열다섯 번에 걸쳐 돈을 보냈습니다. 합계 약 2,560만 달러, 우리 돈 약 350억원.

문제는, 그 화상회의에서 진짜 사람은 직원 본인 하나뿐이었다는 겁니다. CFO도 동료도 전부 AI로 만든 딥페이크였어요. 임원들이 공개 석상에서 한 발언 영상만 긁어모으면 얼굴과 목소리를 그럴듯하게 복제할 수 있었던 거죠. (홍콩경찰과 회사가 직접 공개한 사건입니다.)

목소리만 훔치는 버전도 있습니다. 캐나다의 한 부부는 아들에게서 전화를 받았습니다. "교통사고를 냈고 유치장에 있다, 보석금이 필요하다." 틀림없는 아들 목소리였고, 부부는 약 2천만원을 비트코인으로 바꿔 보냈습니다. 그 목소리도 AI 복제였습니다.

남 얘기 같으신가요. 2024년 11월, 경찰청 국가수사본부가 공식 주의보를 냈습니다. 자녀 목소리를 복제해 부모에게 전화를 걸어, 납치된 것처럼 흐느끼며 돈을 요구하는 딥보이스·딥페이크 수법이 국내에 들어왔다고요. 실제로 한국을 여행 중인 딸을 둔 외국 거주 부부가, 딸이 감금돼 우는 합성 영상과 함께 8억원을 요구받은 사례도 공개됐습니다. (다행히 딸은 안전했고, 영상은 딥페이크로 판명됐습니다.)

이게 바로 딥보이스·딥페이크 보이스피싱입니다. 그동안의 "저 검찰인데요"가 어설픈 연기였다면, 이제는 내가 아는 사람의 진짜 목소리와 얼굴로 걸려오는 겁니다.

근데 목소리를 대체 어떻게 훔쳐?

여기서 좀 서늘한 대목. 목소리를 복제하는 데 필요한 재료가 생각보다 너무 적습니다.

몇 초에서 몇십 초짜리 음성이면 충분하다.

보안업계 설명으로는 30초에서 1분 정도 음성이면 톤과 말투까지 복제할 수 있고, 최신 기술은 단 몇 초짜리 샘플로도 됩니다(마이크로소프트가 공개한 한 모델은 3초 클립을 기준으로 삼습니다). SNS에 올린 영상, 유튜브 몇 마디, 심지어 "여보세요?" 하고 받은 전화 한 통이면 재료가 모이는 셈이죠.

복제한 목소리는 크게 세 군데 쓰입니다. 가족을 사칭해 "급하게 돈이 필요하다"고 하거나, 검찰·은행 같은 기관을 사칭해 겁을 주거나, 아예 홍콩 사건처럼 영상통화에 가짜 얼굴로 등장하거나.

그리고 돈이 넘어가면, 그 돈은 대포통장을 거쳐 현금으로 인출되거나 가상자산으로 바뀌어 흩어집니다. 여러 계좌와 사람을 거치도록 설계돼서, 뒤쫓기 어렵게 만들어 두는 거죠.

원리가 왜 성립하는지까지가 우리가 알 몫입니다. 목소리를 실제로 어떻게 복제하고 대포통장을 어떻게 만드는지, 그 실행 디테일은 여기서 다루지 않습니다. 그 자체가 범죄니까요.

그럼 나라는 뭐 하고 있는데?

숫자를 보면 수법의 무게중심이 옮겨가는 게 보입니다. 경찰청 통계에서, 예전 주력이던 '대출 사기형'(저금리로 대출해줄게)은 2019년 30,448건으로 정점을 찍고 2025년 10,037건까지 뚝 떨어졌습니다. 반대로 '기관 사칭형'(검찰·금감원입니다)은 2016년 3,384건에서 2025년 13,323건으로, 약 네 배 늘어 역대 최고를 찍었죠.

딥보이스가 파고드는 자리가 바로 이 '사칭'입니다. 어설픈 억양 대신 진짜 목소리를 들려줄 수 있게 됐으니까요.

정부도 손 놓고 있진 않습니다. 금융위원회는 2025년 8월, 딥페이크·AI 음성 기술을 공식적인 사기 수법으로 못 박았습니다. 그리고 2025년 10월에는 은행·통신사·수사기관 정보를 AI로 실시간 분석해 의심 계좌를 미리 묶어버리는 'ASAP'라는 플랫폼을 가동했는데, 다섯 달 동안 약 419억원을 사전에 막았다고 밝혔습니다. 경찰청도 2027년까지 91억원을 들여 딥페이크·딥보이스를 잡아내는 탐지 기술을 개발 중이고요.

그런데 한계도 분명합니다. 전체 보이스피싱 중 AI가 얼마나 쓰이는지 정확한 집계조차 아직 없고, 통화 도중 실시간으로 가짜 목소리를 걸러내는 기술은 개발 단계입니다. 무엇보다 만든 사람은 해외에 있고 돈 빼는 사람은 대포통장 명의자라, 정작 몸통까지 닿기가 어렵죠. 방패를 만드는 속도보다 창을 바꾸는 속도가 빠릅니다.

그래서, 나는 어떻게 안 당하나?

기술로 못 막는 구멍은 결국 습관으로 메웁니다. 경찰청과 금융감독원이 권하는 방어법은 의외로 단순합니다.

• 급하게 돈을 요구하면, 일단 멈춘다. 딥보이스든 아니든, 사기의 공통점은 '지금 당장'이라는 조급함입니다. 그 압박이 느껴지는 순간이 오히려 신호예요.
• 아는 사람이면, 아는 걸 물어라. 목소리는 복제해도 둘만 아는 기억은 복제 못 합니다. "우리 강아지 이름 뭐였지?" 한마디면 갈립니다. 가족끼리 미리 암호를 정해 두는 것도 좋고요.
• 끊고, 내가 직접 다시 건다. 걸려온 번호 말고 원래 알던 번호로 직접 전화해 확인하세요. 진짜 자녀라면 몇 분 늦게 통화해도 아무 일 없습니다.
• 기관은 전화로 돈을 옮기라고 하지 않는다. 검찰·경찰·금감원이 전화해서 "안전한 계좌로 이체하라"고 하면 100% 사기입니다. 예외 없어요.

그래도 당했다면, 속도가 전부입니다. 곧바로 경찰 112와 금융감독원 1332, 그리고 돈을 보낸 금융회사 고객센터에 전화해 계좌 지급정지를 신청하세요. 피싱·스미싱 상담은 KISA 118입니다(국번 없이). 한 시간이 아니라 몇 분 차이로 돈이 남느냐 사라지느냐가 갈립니다.

목소리가 아무리 진짜 같아도, '돈'과 '급하게'가 같이 나오면 일단 의심하세요. 요즘은 귀도 속는 시대니까요.

🔎 대신 파봄, 이런 것도 파봤어요

▸ 이 시리즈 더 보기 — 그게 뭔데

▸ 비하인드 스토리 — 그 기업·그 사람의 뒷얘기

▸ 데이터로 까본다 — 숫자로 궁금증 해소

▸ 직업탐방 — 그 직업, 실제로 어떻게 벌어먹나

🔔 새 글이 올라오면 받아보고 싶다면 — 이 블로그 상단의 '구독' 버튼을 눌러 팔로우해 주세요.