AI의 대중화, 새로운 피싱 표적을 낳다

2026년 2분기 가장 많이 사칭된 브랜드 Top 10

마이크로소프트가 여전히 압도적인 1위를 차지했지만, 이번 분기 최대 화제는 단연 AI 네이티브 브랜드인 ChatGPT의 등장입니다. 상위 5개 브랜드가 전체 브랜드 피싱 시도의 절반 이상을 차지했습니다 .

마이크로소프트는 여러 분기 연속 1위를 지켰으나, 링크드인이 2위로 급부상한 점은 전문직 크리덴셜 탈취 캠페인의 증가를 반영합니다 . ChatGPT의 진입이 가장 주목할 만한 변화로, 체크포인트가 브랜드 피싱을 추적하기 시작한 이후 AI 플랫폼이 Top 10에 진입한 것은 이번이 처음입니다 .

ChatGPT의 Top 10 진입이 중요한 이유

1. 공격자는 이용자 수를 쫓는다 — AI에는 막대한 이용자가 있다

이미 검증된 패턴입니다. 어떤 플랫폼이 수억 명의 사용자를 확보하면, 자연스럽게 고가치 피싱 표적이 됩니다. 마이크로소프트, 구글, 페이스북이 그랬고, 이제 ChatGPT도 예외가 아닙니다 . 다수의 사이버 보안 분석가들은 “ChatGPT는 수억 명의 사용자를 보유하고 있으며, 공격자들은 사용자 기반을 따라간다”고 지적합니다 .

2. '구독 불안'이 피싱의 새로운 동력이 되다

ChatGPT를 사칭한 가장 흔한 피싱 캠페인은 복잡한 기술적 용어를 사용하지 않습니다. 대신 ‘접속 차단’이라는 단순하면서도 강력한 공포심을 악용합니다. 공격자는 ‘ChatGPT Plus 결제 실패’ 또는 ‘구독 만료 임박’을 알리는 긴급 이메일을 보내고, 가짜 결제 페이지로 유도합니다 .

실제 적발된 사례는 다음과 같습니다.

• "결제 실패 / 결제 정보 업데이트" 이메일 (2026년 7월) – MailGuard가 발견한 이 캠페인은 ChatGPT Plus 마지막 결제가 실패했다며, 가짜 Stripe(스트라이프) 결제 페이지로 연결해 이메일 주소, 신용카드 번호, CVV 코드를 탈취했습니다 .
• "결제 수단 업데이트" 사기 (2026년 2월) – 최소한의 디자인으로 작성된 결제 알림 이메일을 보내, 2일 이내에 정보를 갱신하지 않으면 계정이 정지된다고 협박했습니다 .
• 남아프리카공화국 대상 4,500통 이메일 공격 (2026년 5월) – 마이크로소프트가 탐지한 이 캠페인은 수신자의 97%가 남아프리카공화국에 있었으며, 악성 URL을 통해 신용카드 및 개인정보를 탈취했습니다 .
• 악성 SVG 첨부파일을 동반한 가짜 구독 갱신 이메일 (2026년 3월) – 갱신 알림으로 위장한 이메일이 피싱 포털로 연결되거나, 실행 시 스크립트를 통해 가짜 로그인 페이지로 리디렉션하는 SVG 파일을 첨부했습니다 .

이 모든 사기의 심리적 갈고리는 동일합니다. “GPT-5, 나의 워크플로우, 유료 플랜에 접속하지 못하게 될 수도 있다”는 두려움입니다 .

3. AI 서비스는 무기이자 표적이다

여기에는 두 가지 수렴하는 추세가 있습니다. 첫째, 공격자들은 생성형 AI를 이용해 훨씬 더 설득력 있는 피싱 이메일을 작성합니다. 정확한 브랜드 로고와 문법적으로 완벽한 문장을 사용해 사용자들이 가짜를 식별하기 더 어렵게 만듭니다 . 둘째, 공격자들은 이제 AI 서비스 자체를 사칭하여 크리덴셜과 결제 정보를 탈취합니다 .

더욱 우려되는 점은 2026년 6월 Permiso Security가 공개한 ChatGPhish 취약점입니다. 이 취약점을 통해 ChatGPT가 요약하는 모든 공개 웹페이지는 간접 프롬프트 인젝션을 통해 사용자 인터페이스에 피싱 링크, 가짜 보안 알림, QR 코드를 직접 주입할 수 있습니다. OpenAI의 자체 인프라는 손상되지 않습니다 . 사용자가 공격자가 통제하는 페이지를 요약하도록 ChatGPT에 요청하면, 신뢰하는 ChatGPT UI 내에 사기성 ‘보안 경고’나 ‘결제 정보 업데이트’ 요청이 표시될 수 있습니다.

4. 추세는 급격히 가속화되고 있다

카스퍼스키(Kaspersky)는 2025년 첫 4개월 동안 ChatGPT를 사칭한 사이버 위협이 전년 동기 대비 115% 급증했다고 보고했습니다 . 2026년 2분기 순위는 보안 업계가 계속 경고해 온 바를 공식화한 것입니다. AI 서비스는 이제 사이버 범죄자들의 레이더에 확실히 포착되었으며, 공격 규모는 대부분의 사용자 예상보다 빠르게 증가하고 있습니다.

ChatGPT 표적 피싱으로부터 자신을 보호하는 방법

• 이메일 내 결제 링크를 절대 클릭하지 마세요. 항상 공식 사이트(chat.openai.com/account/billing)로 직접 접속해 구독 상태를 확인하세요 .
• 발신자 주소를 주의 깊게 확인하세요. 한 캠페인에서 발신자는 info@openai-support.com이었는데, 이는 OpenAI가 소유하거나 운영하지 않는 도메인입니다 .
• OpenAI 계정 및 기타 주요 플랫폼 계정에 다중 요소 인증(MFA)을 활성화하세요 .
• 긴급성을 강조하는 이메일을 의심하세요. AI 서비스 접속 차단에 대한 인위적인 긴박감을 조성하는 이메일은 사기입니다. 그 긴박감이 바로 사기의 심장입니다 .
• ChatGPhish 공격 벡터를 인지하세요. 완전히 신뢰할 수 없는 웹페이지를 요약하도록 ChatGPT에 요청할 경우, 응답에 포함된 링크나 알림을 주의하고 출처 페이지에서 독립적으로 확인하세요 .