AI 보안개념·기술

AI 피싱

생성형 AI가 피싱 문구와 가짜 사이트를 어떻게 바꿔 놓았는지, 어색한 문장으로 걸러내던 방식이 왜 통하지 않게 됐는지와 새로운 판단 기준을 정리했습니다.

내용 확인일 2026-09-10 · 추가 검토 필요문서 수정일 2026-09-10 · 최초 작성 2026-08-19

지금 할 일

문장이 자연스럽거나 내 정보를 안다고 믿지 마세요. 돈·인증·앱 설치 요구를 멈추고, 메시지 밖의 공식 앱이나 기존 연락처로 요청 사실을 확인하세요.

검토 상태 · 추가 검토 필요

FBI의 생성형 AI 사칭 경고와 대응 원칙을 대조했습니다. 미국 기관의 관찰을 국내 발생 통계로 일반화하지 않으며, 표현의 품질만으로 AI 사용이나 사기를 확정할 수 없습니다. 피해 수단별 상담이 필요합니다.

공식 출처와 출처별 확인일 보기 ↓

이번 수정 내용 · 2026-09-10

과거·현재를 품질로 단정한 비교를 고치고 결제·전달 수단별 대응을 나눴습니다.

출처별 확인일은 문서 하단에 별도로 표시합니다. 문서 수정일이 모든 출처의 재확인일을 뜻하지는 않습니다.

개념

미국 FBI의 공개 경고는 생성형 AI의 문구·음성·영상 사칭 악용을 설명합니다. 국내 발생 비율이나 특정 사건의 입증 자료로 해석하지 않습니다.

AI 피싱은 생성형 AI를 문구·이미지·음성·가짜 사이트 제작 등에 악용하는 사칭입니다. 자연스러운 표현은 발신자의 신원을 보장하지 않습니다.

그런데 이 변화가 실질적으로 중요한 이유가 있습니다. 그동안 사람들이 피싱을 걸러 온 가장 흔한 기준이 바로 문장의 어색함이었기 때문입니다.

"맞춤법이 틀렸으면 사기다"

맞춤법 오류는 의심할 단서일 수 있지만, 과거에도 신뢰할 수 있는 판별법은 아니었습니다. FBI 경고문은 범죄자들이 AI로 만든 문구를 사회공학·스피어피싱·금융사기에 쓴다고 현재형으로 적습니다. 앞으로 그럴 수 있다는 예측이 아니라 이미 쓰이고 있다는 서술입니다.

다만 그 경고문은 미국 기관의 관찰입니다. 국내에서 얼마나 쓰이는지, 내가 받은 문자가 AI로 만들어졌는지에 대한 자료가 아닙니다.

이제 문장만 보고는 구별할 수 없습니다. 이 문서는 그래서 무엇을 대신 봐야 하는지를 다룹니다.

작동 원리

무엇이 바뀌었나

아래 표는 편집자가 정리한 대비입니다. 특정 조사 결과를 옮긴 것이 아닙니다.

악용될 수 있는 기능	판단할 때의 한계
자연스러운 문구 작성	자연스럽다고 진짜가 아니며, 어색하다고 반드시 사기도 아니다
공개 정보를 이용한 맞춤 문구	내 정보를 아는 것만으로 신원을 확인할 수 없다
가짜 인물·자료 제작	이미지나 문구만으로 AI 사용 여부를 확정할 수 없다

이전의 사기에도 자연스러운 문장과 정교한 사칭이 있었습니다. 모든 과거·현재 메시지를 품질로 구분하는 표가 아닙니다.

표적 맞춤이 쉬워졌다

공개된 정보를 조합하면 그 사람에게 맞는 문장을 만들 수 있습니다. 회사 홈페이지의 조직도, SNS의 근황, 뉴스 기사 정도면 충분한 경우가 있습니다.

그래서 "내 상황을 정확히 알고 있다"는 사실이 더 이상 진짜라는 근거가 되지 못합니다. 공개·유출 정보가 쓰일 수 있기 때문입니다.

하지만 바뀌지 않은 것

문장은 정교해졌지만 사기의 목적과 구조는 그대로입니다.

결국 돈이나 정보를 받아야 합니다
시간을 압박하기도 합니다
다른 사람과 상의하지 못하게 막기도 합니다
마지막에는 돌이키기 어려운 방식을 요구합니다

이 항목이 모두 나타나야 사기인 것은 아닙니다. 판단 기준을 여기로 옮겨야 합니다.

어디에 쓰이는가

문자와 메신저

스미싱과 메신저 피싱의 문구가 자연스러워졌습니다. 가족을 사칭할 때 말투까지 흉내 내는 경우가 있습니다.

메일

업무 메일 형식을 정확히 갖춘 사칭 메일이 옵니다. 부서명과 진행 중인 사업이 정확히 들어가 있어도 진짜라는 뜻은 아닙니다.

가짜 사이트

로그인 화면을 정교하게 복제한 사이트를 빠르게 만들 수 있습니다. 화면만 보고 구별하기 어려우므로 주소를 확인하거나 직접 접속하는 방식이 필요합니다.

QR코드와 결합

KISA는 정부기관과 싱크탱크를 사칭해 QR코드를 메일·메시지로 보내는 사례를 공지했습니다. 이 KISA 공지는 QR 사칭의 근거이며, 해당 공격에 AI가 사용됐다는 증거는 아닙니다. 대응은 QR코드 사기에 있습니다.

음성과 영상

문장뿐 아니라 목소리와 얼굴도 만들어집니다. AI 음성 사칭 사기와 딥페이크에서 따로 다룹니다.

오해와 주의점

맞춤법으로 거르는 습관을 버려야 합니다

가장 중요한 변화입니다. 문장이 자연스럽다는 것은 이제 아무 근거도 되지 못합니다. 어색한 문장이 남아 있다면 여전히 의심할 이유가 됩니다. 다만 그것 하나로 진짜와 가짜를 가르지는 마세요. 해외 기업의 기계 번역 안내문처럼 정상적인데도 문장이 어색한 경우가 있습니다. 이 기준은 이제 "걸리면 의심, 안 걸려도 안전하지 않음"입니다.

내 정보를 정확히 안다는 것도 근거가 아닙니다

이름, 소속, 최근 구매 내역까지 맞히더라도 마찬가지입니다. 유출된 정보와 공개 정보를 조합하면 가능합니다.

AI 탐지 도구에 의존하지 마세요

글이나 이미지가 AI로 만들어졌는지 판별해 준다는 도구가 있지만 오판할 수 있습니다. 진짜를 가짜로, 가짜를 진짜로 판정할 수 있어 판단 근거로 삼기 어렵습니다.

눈에 띄는 결함은 단서일 뿐, 없다고 진짜가 아닙니다

FBI 경고문은 스스로를 지키는 방법으로 이미지와 영상의 미세한 결함을 살피고, 말투와 단어 선택을 주의 깊게 들으라고 안내합니다. 쓸모 있는 단서입니다.

다만 방향이 한쪽입니다. 결함을 찾으면 의심할 근거가 되지만, 찾지 못했다는 것은 진짜라는 근거가 되지 못합니다. 품질이 좋아지고 있고 전화·영상은 원래 화질과 음질이 나쁩니다. 반대로 어색한 곳이 있다고 곧바로 사기로 단정할 일도 아닙니다. 기계 번역 안내문이나 급하게 쓴 실제 메일도 어색합니다.

결론은 같습니다. 결함의 유무로 진위를 가르지 말고, 아래 요구의 구조를 보세요.

대신 봐야 할 것

문장 대신 요구의 구조를 보세요.

확인할 것	사기에서 나타나는 모습
시간	오늘까지, 지금 당장, 마감 임박
확인	가족·은행·동료에게 말하지 말라
경로	이 링크로, 이 번호로만 연락하라
방식	계좌 이체, 현금, 상품권, 가상자산
요구	인증번호, 비밀번호, 원격제어 허용

하나라도 걸리면 문장이 아무리 자연스러워도 멈추는 것이 맞습니다. 피싱 체크리스트가 이 기준을 질문으로 만들어 둔 도구입니다.

기존 대응 방법은 여전히 유효합니다

원리가 바뀐 것이 아니므로 지금까지의 대응이 무력해진 것은 아닙니다.

링크 대신 공식 앱이나 직접 검색으로 접속
확인 전화는 내가 직접 찾은 번호로
2단계 인증으로 비밀번호 유출에 대비하되 코드 탈취·세션 도용에도 주의하기
알 수 없는 앱 설치 차단

이 네 가지는 문장이 정교해져도 그대로 작동합니다.

이미 응했다면 — 무엇을 했는지로 갈립니다

무엇을 했는지에 따라 다음 절차가 갈립니다. 문장이 자연스러웠다는 사실은 대응에 아무 영향을 주지 않습니다.

무엇을 했나	어디로
링크를 열기만 했다	스미싱 대처의 열람·입력·설치 구분
비밀번호·인증번호를 입력했다	계정 해킹 대응
앱을 설치하거나 원격제어를 허용했다	악성앱 확인과 삭제 · 원격제어 사기
계좌로 돈을 보냈다	은행에 사고 신고 → 거래 경위에 따라 적용 여부 확인 — 피해금 환급 절차
카드·간편결제로 결제했다	카드사·사업자에 신고 — 카드 도용 · 간편결제
현금·상품권·가상자산을 건넸다	경찰 신고와 함께 발행사·거래소 등에 가능한 조치를 문의 — 보이스피싱

여러 가지가 겹쳤다면 상황별 첫 대응 안내에서 순서를 확인하세요. 긴급 신고나 기기 격리를 미루면서 설문을 마칠 필요는 없습니다.

신고 기관

아래 기관은 무료입니다. 피해가 진행 중이라면 순서대로 연락하세요.

118 상담센터 (한국인터넷진흥원)
📞 118
이용 목적 해킹·악성코드에 감염된 것 같을 때, 불법 스팸을 받았을 때, 개인정보가 침해된 정황이 있을 때 상담하는 곳입니다.
준비할 정보
- 무슨 일이 언제 일어났는지 (설치·클릭·수신 시각)
- 화면 사진 — 문자 원문, 앱 목록, 오류 화면
- 쓰는 기기 종류와 운영체제
국번없이 118. 공식 안내 기준으로 1번 해킹/바이러스, 2번 보이스피싱/스미싱, 3번 개인정보, 4번 불법 스팸, 5번 ICT 분쟁조정입니다. 2번을 고르면 경찰청(전기통신금융사기 통합신고대응센터)으로 연결됩니다.
공식 누리집 열기 ↗
2026-09-09 확인 · 상담 범위와 메뉴 번호를 공식 안내와 대조했습니다. 운영 시간은 공식 안내에 적혀 있지 않아 이 사이트에도 싣지 않습니다.
제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.
경찰청 (112)
📞 112
이용 목적 사기 피해가 실제로 발생했을 때 가장 먼저. 긴급 상황은 112, 보이스피싱 등 전기통신금융사기의 피해 신고·상담은 경찰청 전기통신금융사기 통합대응단 1394. 온라인은 경찰청 ECRM(사이버범죄 신고시스템).
준비할 정보
- 이체·결제 내역과 금액, 시각
- 상대 계좌번호 또는 전화번호
- 주고받은 문자·메신저 대화 화면
- 신분증
공식 누리집 열기 ↗
2026-09-10 확인 · ECRM 의 접수 안내와 준비 서류, 1394 대표번호와 접수 범위를 공식 페이지에서 확인했습니다.
제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.
금융감독원 보이스피싱지킴이 (1332)
📞 1332
이용 목적 금융사기 상담, 사기에 쓰인 계좌 신고, 피해금 환급(채권소멸) 절차를 확인하는 곳입니다.
준비할 정보
- 피해 발생 시각과 금액
- 송금한 계좌와 받는 계좌 정보
- 은행에 지급정지를 요청한 사실과 접수 내용
누리집에 '보이스피싱을 당했다면'(피해 시 대처방법·주요 연락처)과 '피해금 환급 등 관련 조회'(채권소멸절차) 항목이 있습니다.
공식 누리집 열기 ↗
2026-09-09 확인 · 보이스피싱지킴이 누리집의 메뉴 구성을 확인했습니다. 상담 분야별 안내와 운영 시간은 전화 연결 후 안내를 따르세요.
제도와 연락처는 바뀔 수 있으니 최신 정보는 공식 사이트에서 확인하세요.

다른 신고·상담 창구도 보기 →

자주 묻는 질문

그럼 이제 어떻게 구별하나요?

문장의 어색함 대신 요구의 구조를 보세요. 시간을 압박하는가, 확인을 막는가, 돌이키기 어려운 방식을 요구하는가. 이 세 가지는 AI가 문장을 다듬어도 바뀌지 않습니다.

AI가 만든 글인지 알 수 있나요?

확실하게 판별하기 어렵습니다. AI가 썼는지 알려 준다는 도구들이 있지만 결과를 그대로 믿을 수 없습니다. 글의 출처를 판별하려 하기보다, 그 글이 무엇을 요구하는지로 판단하는 편이 현실적입니다.

예전보다 위험해진 건가요?

FBI는 생성형 AI가 사칭 문구 작성 등에 악용된다고 경고합니다. 국내 발생량 증가를 입증하는 통계는 아닙니다. 문장의 자연스러움이나 어색함만으로 판단하지 말고 공식 경로로 요청을 확인하세요.

회사 메일로 오는 피싱도 늘었나요?

공개된 정보를 조합해 그 조직에 맞춘 문장을 만들기 쉬워졌습니다. 부서명, 진행 중인 사업, 상사 이름이 정확히 들어간 메일이 올 수 있습니다. 내용이 정확하다는 것이 진짜라는 근거가 되지 못합니다.

링크가 진짜인지 확인하는 방법은요?

링크를 누르지 말고 해당 기관의 공식 앱이나 검색으로 직접 들어가세요. 주소가 정교하게 흉내 낸 도메인일 수 있으므로 눈으로 비교하는 것보다 직접 접속이 확실합니다.

출처

이 문서는 아래 1차 출처를 확인해 작성했습니다. 제도와 화면은 바뀔 수 있으니 최종 확인은 각 기관의 공식 안내를 따라 주세요. 문서 상단의 내용 확인일(2026-09-10)은 문서 전체를 읽고 근거를 대조한 회차의 날짜입니다. 모든 근거가 확인됐다는 뜻은 아니며, 확인하지 못한 범위는 검토 상태에 적어 두었습니다.

생성형 AI를 악용한 금융 사기 주의 — 2024-12-03미국 연방수사국(FBI) IC3 · 2026-09-10 확인
정부기관·싱크탱크 사칭 큐싱(Quishing) 유포 주의 권고한국인터넷진흥원(KISA) KrCERT/CC · 2026-08-19 확인
보이스피싱지킴이금융감독원 · 2026-08-19 확인

안내가 실제와 다른가요?

화면 이름이 바뀌었거나 연결되지 않는 주소, 없어진 창구를 발견하면 알려 주세요. 확인한 뒤 이 문서와 신고·상담 목록에 함께 반영하고, 내용 확인일을 갱신합니다.

정보 오류 제보하기 →신고·상담 및 공식 서비스 →

이 문서를 참조하는 문서

딥페이크