피싱의 산업화: 5개 부서가 움직이는 범죄 공장

구글의 소장에 따르면, 아웃사이더 엔터프라이즈는 단순한 개인 해커가 아니라 마치 하나의 중소기업처럼 유기적으로 연결된 전문 조직이었다. 이들은 대규모 사기 행각을 위해 5가지 역할로 분업화된 파이프라인을 운영하며 훔친 데이터를 현금으로 바꾸는 정교한 시스템을 구축했다 :

• 개발자(Developer): 범죄의 핵심 제품인 '아웃사이더(Outsider)' 피싱 키트(PhaaS)를 만들고 유지보수했다. AI로 가짜 사이트를 만드는 생성기부터 고객 상담용 텔레그램 봇, 캠페인 성과 대시보드와 피해자의 키보드 입력을 실시간으로 탈취하는 로깅 시스템까지 모두 이들의 작품이었다 .
• 데이터 중개인(Data Broker): 공격의 원료를 공급하는 역할로, 대량의 유출된 소비자 데이터(전화번호와 개인정보)를 사고팔아 공격자들이 표적형 스미싱(Smishing, 문자 피싱)을 펼칠 수 있도록 했다 .
• 스패머(Spammer): 유통 담당 조직으로, 대규모 SMS 발송 인프라를 운영하며 미국인 전화번호로 수백만 건의 피싱 문자를 무차별 살포했다. 특히 안드로이드 사용자가 주요 표적이었다 .
• 탈취(Theft): 이 조직의 '재무팀'으로, 피해자들로부터 수확한 로그인 정보와 신용카드 번호를 받아 분류하고 최종적으로 현금화하는 백엔드 시스템을 총괄했다 .
• 텔레그램 운영(Telegram): 불법 서비스의 영업 및 고객지원을 전담했다. 전용 텔레그램 봇을 통해 구축한 셀프 서비스 플랫폼은 마치 합법적인 이커머스 사이트처럼 작동하며, 범죄자들이 손쉽게 '피싱 도구'를 주문하고 이용할 수 있는 창구였다 .

AI가 만든 가짜 사이트, '정상적인 코딩 질문'처럼 위장하다

이번 사건에서 기술적으로 가장 충격적인 부분은 생성형 AI의 조직적인 악용이다. 이제 범죄자는 코딩을 몰라도 된다. 그저 '질문하는 법'만 알면 됐다. 조직은 회원들에게 제미나이와 같은 AI 챗봇을 이용해 피싱용 웹사이트의 HTML, CSS, 자바스크립트 코드를 생성하도록 지시했다. 이때 프롬프트를 무해한 일반 프로그래밍 요청처럼 위장하는 교묘함을 보였다 . 예를 들어, "기술 회사 로그인 페이지를 만들어줘" 또는 "고객 지원 포털 사이트를 디자인해줘"라는 식으로 겉보기에는 전혀 문제없는 지시를 내렸다. AI가 생성한 코드는 가짜 도메인에 그대로 적용되어 구글, 유튜브, 정부 기관 등 신뢰도 높은 브랜드를 교묘하게 사칭하는 피싱 페이지로 탈바꿈했다 . 이러한 수법은 범죄의 기술적 진입 장벽을 극적으로 낮추며 사기 행각을 전례 없는 속도로 확장할 수 있게 만들었다.

범죄도 '구독 시대': 텔레그램으로 유통된 88달러짜리 사기 키트

아웃사이더 엔터프라이즈는 서비스형 소프트웨어(SaaS) 비즈니스 모델을 그대로 베껴 범죄를 구독 경제에 접목시켰다. 모든 판매와 유통은 완전 자동화된 텔레그램 봇을 통해 이루어졌다. 이 셀프 서비스 주문 플랫폼 덕분에, 마치 넷플릭스에 가입하듯이 정교한 피싱 공격을 시작할 수 있었던 것이다 . '아웃사이더' 키트의 주요 판매 항목은 다음과 같다:

• 구독 라이선스: 피싱 도구 풀 패키지 이용료는 주당 88달러(약 12만 원) 부터 시작했다 .
• 사전 제작 템플릿: 유명 은행, 정부 기관, 이동통신사 등 290개 이상의 사칭용 템플릿을 제공해 누구나 즉시 캠페인을 시작할 수 있었다 .
• 키 입력 탈취 기능 내장: 피싱 페이지에 심어진 코드가 모든 키보드 입력을 기록해 피해자의 개인정보를 실시간으로 빼냈다 .
• 성과 대시보드: 고객들은 발송된 문자 수, 링크 클릭 수, 탈취된 계정 정보 수 등 캠페인 성과 지표를 실시간으로 확인할 수 있었다 .

눈덩이처럼 불어난 피해: 숫자로 보는 충격

구글의 조사와 소장에서 드러난 사기 규모는 상상을 초월한다. 아웃사이더 엔터프라이즈가 초래한 피해는 다음과 같이 집계된다:

• 10만 명 이상의 피해자가 직접적으로 금전 사기를 당했다 .
• 재정적 손실은 수백만 달러(수백억 원대) 로 추정된다 .
• 신뢰할 수 있는 브랜드를 사칭한 9,000개 이상의 가짜 웹사이트를 생성했다 .
• 159만 개가 넘는 사기성 URL을 만들어 유포했다 .
• 단 2주 동안 안드로이드 사용자에게만 250만 건의 악성 스미싱 문자를 발송했다 . 훔친 결제 카드 수는 95개국 금융 기관에 걸쳐 약 36,000장에 달하는 것으로 추정된다 .

민관 합동 반격: 구글, 이통 3사, 그리고 FBI의 공조

아웃사이더 엔터프라이즈에 대한 대응은 민사 소송, 네트워크 차단, 연방 수사가 결합된 다각적인 반격 작전으로 이루어졌다.

• 소송: 2026년 6월 12일 제기된 구글의 민사 소송은 조직의 인프라를 해체하기 위한 금지 명령을 구하며, 공갈 및 부패 조직에 관한 법(RICO), 상표법(란햄법), 컴퓨터 사기 및 남용 방지법(CFAA)에 근거해 진행된다 . 이는 구글이 자사 AI 제품의 악용과 관련해 처음으로 제기한 소송이라는 점에서 큰 의미를 가진다 .
• 이동통신사 차원의 방어: 구글은 AT&T, T-모바일, 버라이즌과 직접 협력하여 가짜 문자 메시지가 사용자에게 도달하기 전 네트워크 단계에서 이를 식별하고 차단했다 .
• 연방 수사 당국의 개입: FBI는 별도의 형사 집행 조치를 진행했다. **'오퍼레이션 고스트 훅(Operation Ghost Hook)'**이라는 작전명 아래 사기용 도메인을 압수하고 10만 달러 이상의 범죄 수익을 환수했다 . 구글은 공식 블로그를 통해 "FBI와 협력했으며, 그들이 법 집행 조치를 취할 것"이라고 밝혔다 .

구글의 이번 공격적인 법적 대응은 조쉬 하더 하원의원이 발의한 '사기 방지법(Stop SCAMS Act)'과 같은 연방 차원의 최신 입법안 지지와 맞물려 있다. 이는 AI를 무기로 한 범죄가 기업과 정부의 대응이 필요할 만큼 중대한 분수령에 접어들었음을 상징적으로 보여준다 .

피싱의 산업화: 5개 부서가 움직이는 범죄 공장

구글의 소장에 따르면, 아웃사이더 엔터프라이즈는 단순한 개인 해커가 아니라 마치 하나의 중소기업처럼 유기적으로 연결된 전문 조직이었다. 이들은 대규모 사기 행각을 위해 5가지 역할로 분업화된 파이프라인을 운영하며 훔친 데이터를 현금으로 바꾸는 정교한 시스템을 구축했다 :

• 개발자(Developer): 범죄의 핵심 제품인 '아웃사이더(Outsider)' 피싱 키트(PhaaS)를 만들고 유지보수했다. AI로 가짜 사이트를 만드는 생성기부터 고객 상담용 텔레그램 봇, 캠페인 성과 대시보드와 피해자의 키보드 입력을 실시간으로 탈취하는 로깅 시스템까지 모두 이들의 작품이었다 .
• 데이터 중개인(Data Broker): 공격의 원료를 공급하는 역할로, 대량의 유출된 소비자 데이터(전화번호와 개인정보)를 사고팔아 공격자들이 표적형 스미싱(Smishing, 문자 피싱)을 펼칠 수 있도록 했다 .
• 스패머(Spammer): 유통 담당 조직으로, 대규모 SMS 발송 인프라를 운영하며 미국인 전화번호로 수백만 건의 피싱 문자를 무차별 살포했다. 특히 안드로이드 사용자가 주요 표적이었다 .
• 탈취(Theft): 이 조직의 '재무팀'으로, 피해자들로부터 수확한 로그인 정보와 신용카드 번호를 받아 분류하고 최종적으로 현금화하는 백엔드 시스템을 총괄했다 .
• 텔레그램 운영(Telegram): 불법 서비스의 영업 및 고객지원을 전담했다. 전용 텔레그램 봇을 통해 구축한 셀프 서비스 플랫폼은 마치 합법적인 이커머스 사이트처럼 작동하며, 범죄자들이 손쉽게 '피싱 도구'를 주문하고 이용할 수 있는 창구였다 .

AI가 만든 가짜 사이트, '정상적인 코딩 질문'처럼 위장하다

이번 사건에서 기술적으로 가장 충격적인 부분은 생성형 AI의 조직적인 악용이다. 이제 범죄자는 코딩을 몰라도 된다. 그저 '질문하는 법'만 알면 됐다. 조직은 회원들에게 제미나이와 같은 AI 챗봇을 이용해 피싱용 웹사이트의 HTML, CSS, 자바스크립트 코드를 생성하도록 지시했다. 이때 프롬프트를 무해한 일반 프로그래밍 요청처럼 위장하는 교묘함을 보였다 . 예를 들어, "기술 회사 로그인 페이지를 만들어줘" 또는 "고객 지원 포털 사이트를 디자인해줘"라는 식으로 겉보기에는 전혀 문제없는 지시를 내렸다. AI가 생성한 코드는 가짜 도메인에 그대로 적용되어 구글, 유튜브, 정부 기관 등 신뢰도 높은 브랜드를 교묘하게 사칭하는 피싱 페이지로 탈바꿈했다 . 이러한 수법은 범죄의 기술적 진입 장벽을 극적으로 낮추며 사기 행각을 전례 없는 속도로 확장할 수 있게 만들었다.

범죄도 '구독 시대': 텔레그램으로 유통된 88달러짜리 사기 키트

아웃사이더 엔터프라이즈는 서비스형 소프트웨어(SaaS) 비즈니스 모델을 그대로 베껴 범죄를 구독 경제에 접목시켰다. 모든 판매와 유통은 완전 자동화된 텔레그램 봇을 통해 이루어졌다. 이 셀프 서비스 주문 플랫폼 덕분에, 마치 넷플릭스에 가입하듯이 정교한 피싱 공격을 시작할 수 있었던 것이다 . '아웃사이더' 키트의 주요 판매 항목은 다음과 같다:

• 구독 라이선스: 피싱 도구 풀 패키지 이용료는 주당 88달러(약 12만 원) 부터 시작했다 .
• 사전 제작 템플릿: 유명 은행, 정부 기관, 이동통신사 등 290개 이상의 사칭용 템플릿을 제공해 누구나 즉시 캠페인을 시작할 수 있었다 .
• 키 입력 탈취 기능 내장: 피싱 페이지에 심어진 코드가 모든 키보드 입력을 기록해 피해자의 개인정보를 실시간으로 빼냈다 .
• 성과 대시보드: 고객들은 발송된 문자 수, 링크 클릭 수, 탈취된 계정 정보 수 등 캠페인 성과 지표를 실시간으로 확인할 수 있었다 .

눈덩이처럼 불어난 피해: 숫자로 보는 충격

구글의 조사와 소장에서 드러난 사기 규모는 상상을 초월한다. 아웃사이더 엔터프라이즈가 초래한 피해는 다음과 같이 집계된다:

• 10만 명 이상의 피해자가 직접적으로 금전 사기를 당했다 .
• 재정적 손실은 수백만 달러(수백억 원대) 로 추정된다 .
• 신뢰할 수 있는 브랜드를 사칭한 9,000개 이상의 가짜 웹사이트를 생성했다 .
• 159만 개가 넘는 사기성 URL을 만들어 유포했다 .
• 단 2주 동안 안드로이드 사용자에게만 250만 건의 악성 스미싱 문자를 발송했다 . 훔친 결제 카드 수는 95개국 금융 기관에 걸쳐 약 36,000장에 달하는 것으로 추정된다 .

민관 합동 반격: 구글, 이통 3사, 그리고 FBI의 공조

아웃사이더 엔터프라이즈에 대한 대응은 민사 소송, 네트워크 차단, 연방 수사가 결합된 다각적인 반격 작전으로 이루어졌다.

• 소송: 2026년 6월 12일 제기된 구글의 민사 소송은 조직의 인프라를 해체하기 위한 금지 명령을 구하며, 공갈 및 부패 조직에 관한 법(RICO), 상표법(란햄법), 컴퓨터 사기 및 남용 방지법(CFAA)에 근거해 진행된다 . 이는 구글이 자사 AI 제품의 악용과 관련해 처음으로 제기한 소송이라는 점에서 큰 의미를 가진다 .
• 이동통신사 차원의 방어: 구글은 AT&T, T-모바일, 버라이즌과 직접 협력하여 가짜 문자 메시지가 사용자에게 도달하기 전 네트워크 단계에서 이를 식별하고 차단했다 .
• 연방 수사 당국의 개입: FBI는 별도의 형사 집행 조치를 진행했다. **'오퍼레이션 고스트 훅(Operation Ghost Hook)'**이라는 작전명 아래 사기용 도메인을 압수하고 10만 달러 이상의 범죄 수익을 환수했다 . 구글은 공식 블로그를 통해 "FBI와 협력했으며, 그들이 법 집행 조치를 취할 것"이라고 밝혔다 .

구글의 이번 공격적인 법적 대응은 조쉬 하더 하원의원이 발의한 '사기 방지법(Stop SCAMS Act)'과 같은 연방 차원의 최신 입법안 지지와 맞물려 있다. 이는 AI를 무기로 한 범죄가 기업과 정부의 대응이 필요할 만큼 중대한 분수령에 접어들었음을 상징적으로 보여준다 .