산업 규모의 자동화. 사기는 고가의 단일 타격에서 자동화된 대량 공격으로 전환되고 있습니다 . 사칭 사기는 2025년에만 1,400% 이상 증가했습니다 . 이러한 변화는 총 손실액이 정체된 지역에서도 피해자 수가 증가하고 있다는 사실에서 두드러지는데, 이는 규모에 최적화된 산업화된 AI 자동 사기의 특징입니다 .

합성 신원 사기. 이는 2024년에 약 220억 달러, 2025년에 310억 달러의 비용을 초래했으며, 2026년에는 400억 달러를 초과할 것으로 예상됩니다. 딥페이크 기술이 주요 동인입니다 . AI 생성 신원을 사용한 정교한 사기는 전년 대비 180% 증가했습니다 .

딥페이크는 이제 Vectra AI가 집계한 데이터에 따라 전 세계 사기 활동의 11% 를 차지합니다 . 딥페이크 신원 사기는 2025년 대비 2026년에 495% 증가할 궤도에 있습니다 . 금융 서비스 분야만 2022년 이후 딥페이크 사기 시도가 2,137% 증가했습니다 .

'보스 사기'가 AI 음성 복제와 합성 영상을 사용하는 방법

보스 사기에서 사기범은 최고 경영자(CEO), 전무이사(MD), CFO 등 고위 임원을 사칭하여 재무 팀을 속여 긴급 자금 이체를 승인하도록 합니다. 기술은 몇 가지 범주로 나뉩니다:

AI 음성 복제. 범죄자는 짧은 오디오 샘플(종종 공개 실적 발표회, 녹음된 회의 또는 소셜 미디어 클립에서 가져옴)을 사용하여 설득력 있는 목소리를 합성합니다 . 복제된 목소리는 전화 통화 또는 음성 메일에서 부하 직원에게 자금 이체를 지시하는 데 사용됩니다. 2026년 1월, 한 스위스 기업가는 신뢰하는 비즈니스 파트너를 사칭한 AI 복제 음성을 사용한 일련의 전화 통화 후 수백만 스위스 프랑을 잃었습니다 .

딥페이크 화상 통화. Arup 사건이 가장 유명한 예이지만, 고립된 사례는 아닙니다. 2025년 3월, 싱가포르의 한 재무 이사는 화상 통화 중 회사 CFO로 보이는 인물로부터 지시를 받은 후 약 4,200만 달러의 이체를 승인했습니다 . 공격자는 CFO 및 다른 임원의 AI 생성 영상 및 음성 복제본을 사용했습니다 .

가족 응급 상황 사칭. 평행 변형은 음성 복제를 사용하여 친척(종종 자녀 또는 손주)을 사칭하고 교통사고, 체포, 납치 또는 의료 응급 상황을 주장하며 긴급 지불을 요구합니다 . 가족 응급 상황 딥페이크 사기로 인한 문서화된 손실은 500만 달러를 초과합니다 .

다중 채널 전술. 사기범은 WhatsApp, 이메일, Microsoft Teams, 전화 통화를 사용하여 권위와 긴박감을 조성합니다. 그들은 종종 공개 정보를 조사하여 사칭을 더 설득력 있게 만들고, 가짜 긴박감과 기밀성을 이용해 피해자를 압박합니다 . 2026년 7월, 미국 연방 검사는 은행 직원과 가족 구성원을 사칭하여 1,200명 이상의 노인을 대상으로 한 4,700만 달러 규모의 딥페이크 사기 계획에 연루된 14명의 피고인을 기소했습니다 .

은행 신원 확인 시스템이 실패하는 이유

은행과 핀테크 회사는 지난 10년 동안 원격 신원 확인을 간단한 패턴(정부 발급 신분증 제시, 셀피 촬영, 짧은 라이브니스 검사)을 중심으로 구축했습니다. 2026년, 그 패턴은 측정 가능한 방식으로 실패하고 있습니다.

문서 + 셀피 KYC가 무력화되고 있습니다. 표준 문서+셀피 확인은 페이스 스왑 및 카메라 인젝션 도구에 의해 무너지고 있습니다. 인젝션 공격 — 공격자가 사전 녹화된 딥페이크 영상을 라이브 카메라 피드에 직접 주입하는 방식 — 은 2024년에만 783% 증가했습니다 . 딥페이크 페이스 스왑은 표준 라이브니스 검사를 58%의 확률로 우회합니다 .

합성 신원이 온보딩을 우회합니다. 사기범은 분실 또는 도난된 신분증의 사진을 변경하고 딥페이크를 사용하여 원격 확인 절차를 통과합니다. 그런 다음 대출, 신용 카드 사기, 자금 세탁에 사용되는 계좌를 개설합니다 . 이제 100번의 확인 시도 중 1번은 어떤 형태로든 딥페이크를 포함합니다 .

인젝션 및 리플레이 공격이 상품화되었습니다. 공격자는 OBS Virtual Camera 또는 사용자 지정 드라이버와 같은 도구를 사용하여 사전 녹화 또는 AI 생성 영상 스트림을 확인 세션으로 라우팅합니다 . 이 소프트웨어는 이제 상품 도구로 판매됩니다 .

규모가 압도적입니다. 미국의 딥페이크 사기 시도는 2025년 1분기에만 1,100% 증가했습니다 . 추정되는 신원 사기 사례의 85%가 생성형 AI 도구를 사용합니다 . Entrust의 2026년 신원 사기 보고서에 따르면 딥페이크는 생체 인식 사기 시도 5건 중 1건과 관련이 있으며, 딥페이크 셀피는 2025년에 58% 증가했습니다 .

SEBI의 보스 사기 경고 (2026년 7월)

인도 증권거래위원회(SEBI)는 2026년 7월 17일 공식 권고(Press Release No. 40/2026)를 발행하여 모든 상장 기업과 규제 대상 기관에 보스 사기에 대해 경고했습니다 . 권고의 주요 내용은 다음과 같습니다:

• SEBI는 사기범이 딥페이크 음성 복제 및 AI 생성 화상 통화를 사용하여 고위 임원을 사칭하고 재무 부서를 속여 자금을 이체하도록 한다고 밝혔습니다 .
• 이 권고는 인도 사이버 범죄 조정 센터(I4C)의 경고에 의해 촉발되었습니다 .
• SEBI는 모든 자금 이체에 대해 대역 외 확인(예: 알려진 독립적으로 확인된 번호로 다시 전화), 임계값 이상 지불에 대한 다중 승인을 포함한 더 엄격한 확인 절차를 시행할 것을 촉구했습니다 .
• 규제 당국은 사기범이 공개 정보를 조사하여 설득력 있는 사칭을 만들고 종종 가짜 긴박감과 기밀성을 이용해 피해자를 압박한다고 경고했습니다 .

SEBI의 권고는 더 넓은 추세의 일부입니다. 2025년 4분기, 미국 금융범죄단속네트워크(FinCEN)는 금융 기관에 딥페이크 사용에 대한 경고를 발행했습니다 . 유럽 의회, 인터폴 및 여러 국가 규제 기관도 유사한 경고를 발행했습니다 .

기업이 지금 당장 할 수 있는 일

규제 기관과 보안 전문가는 일관되게 동일한 제어 조치 세트를 권장합니다:

• 대역 외 확인. 전화 통화, 화상 통화 또는 이메일만으로 송금을 승인하지 마십시오. 알려진 독립적으로 확인된 번호로 다시 전화하십시오(귀하에게 전화한 번호가 아님) .
• 다중 승인. 특정 임계값 이상의 지불에 대해 최소 두 명의 승인을 요구하십시오 .
• 거래 한도. 에스컬레이션이 필요한 일일 또는 거래당 한도를 설정하십시오 .
• 직원 교육. 재무 팀은 전화 통화에서 익숙한 목소리나 얼굴이 더 이상 신뢰할 수 있는 신원 증거가 아님을 알아야 합니다 .
• 지속적인 KYC. '온보딩 시 한 번 확인'하는 기존 모델로는 충분하지 않습니다. 신원과 행동에 대한 지속적인 모니터링이 필요해지고 있습니다 .

한 업계 관찰자가 말했듯이, "신뢰는 디지털 시대에 무기화되고 있습니다. 음성 복제, 딥페이크 기술, 사기-서비스-플랫폼이 쉽게 접근 가능해짐에 따라, 조사관은 통합된 포렌식 플랫폼, 실시간 정보 공유 및 새로운 증거 프레임워크가 필요합니다" .

결론은 간단하지만 불편합니다. 우리가 대화 상대가 누구인지 알기 위해 항상 의존해 온 감각적 단서들 — 익숙한 목소리, 알아볼 수 있는 얼굴 — 은 더 이상 신뢰할 수 없습니다. 조직은 모든 통신 채널이 손상될 수 있다고 가정하는 확인 프로세스를 구축해야 합니다.

산업 규모의 자동화. 사기는 고가의 단일 타격에서 자동화된 대량 공격으로 전환되고 있습니다 . 사칭 사기는 2025년에만 1,400% 이상 증가했습니다 . 이러한 변화는 총 손실액이 정체된 지역에서도 피해자 수가 증가하고 있다는 사실에서 두드러지는데, 이는 규모에 최적화된 산업화된 AI 자동 사기의 특징입니다 .

합성 신원 사기. 이는 2024년에 약 220억 달러, 2025년에 310억 달러의 비용을 초래했으며, 2026년에는 400억 달러를 초과할 것으로 예상됩니다. 딥페이크 기술이 주요 동인입니다 . AI 생성 신원을 사용한 정교한 사기는 전년 대비 180% 증가했습니다 .

딥페이크는 이제 Vectra AI가 집계한 데이터에 따라 전 세계 사기 활동의 11% 를 차지합니다 . 딥페이크 신원 사기는 2025년 대비 2026년에 495% 증가할 궤도에 있습니다 . 금융 서비스 분야만 2022년 이후 딥페이크 사기 시도가 2,137% 증가했습니다 .

'보스 사기'가 AI 음성 복제와 합성 영상을 사용하는 방법

보스 사기에서 사기범은 최고 경영자(CEO), 전무이사(MD), CFO 등 고위 임원을 사칭하여 재무 팀을 속여 긴급 자금 이체를 승인하도록 합니다. 기술은 몇 가지 범주로 나뉩니다:

AI 음성 복제. 범죄자는 짧은 오디오 샘플(종종 공개 실적 발표회, 녹음된 회의 또는 소셜 미디어 클립에서 가져옴)을 사용하여 설득력 있는 목소리를 합성합니다 . 복제된 목소리는 전화 통화 또는 음성 메일에서 부하 직원에게 자금 이체를 지시하는 데 사용됩니다. 2026년 1월, 한 스위스 기업가는 신뢰하는 비즈니스 파트너를 사칭한 AI 복제 음성을 사용한 일련의 전화 통화 후 수백만 스위스 프랑을 잃었습니다 .

딥페이크 화상 통화. Arup 사건이 가장 유명한 예이지만, 고립된 사례는 아닙니다. 2025년 3월, 싱가포르의 한 재무 이사는 화상 통화 중 회사 CFO로 보이는 인물로부터 지시를 받은 후 약 4,200만 달러의 이체를 승인했습니다 . 공격자는 CFO 및 다른 임원의 AI 생성 영상 및 음성 복제본을 사용했습니다 .

가족 응급 상황 사칭. 평행 변형은 음성 복제를 사용하여 친척(종종 자녀 또는 손주)을 사칭하고 교통사고, 체포, 납치 또는 의료 응급 상황을 주장하며 긴급 지불을 요구합니다 . 가족 응급 상황 딥페이크 사기로 인한 문서화된 손실은 500만 달러를 초과합니다 .

다중 채널 전술. 사기범은 WhatsApp, 이메일, Microsoft Teams, 전화 통화를 사용하여 권위와 긴박감을 조성합니다. 그들은 종종 공개 정보를 조사하여 사칭을 더 설득력 있게 만들고, 가짜 긴박감과 기밀성을 이용해 피해자를 압박합니다 . 2026년 7월, 미국 연방 검사는 은행 직원과 가족 구성원을 사칭하여 1,200명 이상의 노인을 대상으로 한 4,700만 달러 규모의 딥페이크 사기 계획에 연루된 14명의 피고인을 기소했습니다 .

은행 신원 확인 시스템이 실패하는 이유

은행과 핀테크 회사는 지난 10년 동안 원격 신원 확인을 간단한 패턴(정부 발급 신분증 제시, 셀피 촬영, 짧은 라이브니스 검사)을 중심으로 구축했습니다. 2026년, 그 패턴은 측정 가능한 방식으로 실패하고 있습니다.

문서 + 셀피 KYC가 무력화되고 있습니다. 표준 문서+셀피 확인은 페이스 스왑 및 카메라 인젝션 도구에 의해 무너지고 있습니다. 인젝션 공격 — 공격자가 사전 녹화된 딥페이크 영상을 라이브 카메라 피드에 직접 주입하는 방식 — 은 2024년에만 783% 증가했습니다 . 딥페이크 페이스 스왑은 표준 라이브니스 검사를 58%의 확률로 우회합니다 .

합성 신원이 온보딩을 우회합니다. 사기범은 분실 또는 도난된 신분증의 사진을 변경하고 딥페이크를 사용하여 원격 확인 절차를 통과합니다. 그런 다음 대출, 신용 카드 사기, 자금 세탁에 사용되는 계좌를 개설합니다 . 이제 100번의 확인 시도 중 1번은 어떤 형태로든 딥페이크를 포함합니다 .

인젝션 및 리플레이 공격이 상품화되었습니다. 공격자는 OBS Virtual Camera 또는 사용자 지정 드라이버와 같은 도구를 사용하여 사전 녹화 또는 AI 생성 영상 스트림을 확인 세션으로 라우팅합니다 . 이 소프트웨어는 이제 상품 도구로 판매됩니다 .

규모가 압도적입니다. 미국의 딥페이크 사기 시도는 2025년 1분기에만 1,100% 증가했습니다 . 추정되는 신원 사기 사례의 85%가 생성형 AI 도구를 사용합니다 . Entrust의 2026년 신원 사기 보고서에 따르면 딥페이크는 생체 인식 사기 시도 5건 중 1건과 관련이 있으며, 딥페이크 셀피는 2025년에 58% 증가했습니다 .

SEBI의 보스 사기 경고 (2026년 7월)

인도 증권거래위원회(SEBI)는 2026년 7월 17일 공식 권고(Press Release No. 40/2026)를 발행하여 모든 상장 기업과 규제 대상 기관에 보스 사기에 대해 경고했습니다 . 권고의 주요 내용은 다음과 같습니다:

• SEBI는 사기범이 딥페이크 음성 복제 및 AI 생성 화상 통화를 사용하여 고위 임원을 사칭하고 재무 부서를 속여 자금을 이체하도록 한다고 밝혔습니다 .
• 이 권고는 인도 사이버 범죄 조정 센터(I4C)의 경고에 의해 촉발되었습니다 .
• SEBI는 모든 자금 이체에 대해 대역 외 확인(예: 알려진 독립적으로 확인된 번호로 다시 전화), 임계값 이상 지불에 대한 다중 승인을 포함한 더 엄격한 확인 절차를 시행할 것을 촉구했습니다 .
• 규제 당국은 사기범이 공개 정보를 조사하여 설득력 있는 사칭을 만들고 종종 가짜 긴박감과 기밀성을 이용해 피해자를 압박한다고 경고했습니다 .

SEBI의 권고는 더 넓은 추세의 일부입니다. 2025년 4분기, 미국 금융범죄단속네트워크(FinCEN)는 금융 기관에 딥페이크 사용에 대한 경고를 발행했습니다 . 유럽 의회, 인터폴 및 여러 국가 규제 기관도 유사한 경고를 발행했습니다 .

기업이 지금 당장 할 수 있는 일

규제 기관과 보안 전문가는 일관되게 동일한 제어 조치 세트를 권장합니다:

• 대역 외 확인. 전화 통화, 화상 통화 또는 이메일만으로 송금을 승인하지 마십시오. 알려진 독립적으로 확인된 번호로 다시 전화하십시오(귀하에게 전화한 번호가 아님) .
• 다중 승인. 특정 임계값 이상의 지불에 대해 최소 두 명의 승인을 요구하십시오 .
• 거래 한도. 에스컬레이션이 필요한 일일 또는 거래당 한도를 설정하십시오 .
• 직원 교육. 재무 팀은 전화 통화에서 익숙한 목소리나 얼굴이 더 이상 신뢰할 수 있는 신원 증거가 아님을 알아야 합니다 .
• 지속적인 KYC. '온보딩 시 한 번 확인'하는 기존 모델로는 충분하지 않습니다. 신원과 행동에 대한 지속적인 모니터링이 필요해지고 있습니다 .

한 업계 관찰자가 말했듯이, "신뢰는 디지털 시대에 무기화되고 있습니다. 음성 복제, 딥페이크 기술, 사기-서비스-플랫폼이 쉽게 접근 가능해짐에 따라, 조사관은 통합된 포렌식 플랫폼, 실시간 정보 공유 및 새로운 증거 프레임워크가 필요합니다" .

결론은 간단하지만 불편합니다. 우리가 대화 상대가 누구인지 알기 위해 항상 의존해 온 감각적 단서들 — 익숙한 목소리, 알아볼 수 있는 얼굴 — 은 더 이상 신뢰할 수 없습니다. 조직은 모든 통신 채널이 손상될 수 있다고 가정하는 확인 프로세스를 구축해야 합니다.