딥페이크 피싱 구별하는 7가지방법, AI 음성·영상사칭 이렇게 확인 하세요

AI로 만든 얼굴과 목소리가 실제 사람과 구별하기 어려울 정도로 정교해지면서 피싱과 해킹 수법도 빠르게 변화하고 있습니다.

과거에는 맞춤법이 어색한 문자나 수상한 이메일 주소만 살펴봐도 피싱을 어느 정도 의심할 수 있었지만, 최근에는 생성형 AI를 이용해 자연스러운 메시지를 작성하거나 실제 사람처럼 보이는 얼굴과 목소리를 만들어 신뢰를 얻는 방식까지 등장하고 있습니다.

2026년 상반기 북한·중국·러시아 등 국가 배후 해킹 조직의 사이버 공격은 158건으로 집계됐으며, 이전 반기보다 7.5% 증가했습니다. 이 가운데 북한 배후 공격이 99건으로 가장 많았고, 북한 연계 공격의 국가별 표적에서는 한국이 가장 많은 19건으로 분석됐습니다. 생성형 AI와 딥페이크, 가짜 채용 등을 공격에 활용하는 움직임도 관찰됐습니다. 

중요한 것은 이러한 기술이 국가 단위 해킹에만 사용되는 것이 아니라는 점입니다. 일반인을 대상으로 하는 피싱 역시 AI와 결합하면서 더욱 정교해지고 있습니다. KISA도 최근 피싱 범죄가 AI와 결합해 사람 사이의 신뢰를 악용하는 사회공학적 방식으로 정교해지고 있다고 설명했습니다

AI·딥페이크 피싱이 위험해진 이유사람의 신뢰를 먼저 공격한다

보안 프로그램이 아무리 좋아도 사용자가 직접 비밀번호를 입력하거나 악성 앱을 설치하면 피해가 발생할 수 있습니다.

그래서 최근 피싱 공격은 컴퓨터 시스템 자체보다 사람의 판단을 흔드는 방법을 적극적으로 이용합니다.예를 들어 가족이나 지인처럼 접근해 급하게 돈을 요구하거나, 기업 관계자를 사칭해 업무용 파일을 보내는 식입니다.

여기에 생성형 AI가 결합하면 자연스러운 한국어 메시지를 대량으로 만들 수 있고, 공개된 사진이나 음성 자료가 악용될 경우 특정 인물을 사칭하는 시도 역시 더욱 정교해질 수 있습니다.

북한해킹에서도 AI·딥페이크활용

최근 국가 배후 해킹에서도 이런 변화가 나타나고 있습니다.2026년 상반기 북한 연계 공격은 암호화폐뿐 아니라 IT·소프트웨어 개발 생태계까지 공격 범위를 확대했고, 생성형 AI와 딥페이크, 가짜 채용 등을 활용하는 사례가 관찰됐습니다. 

따라서 앞으로는 “말투가자연스러우니까진짜다”, **“얼굴을 봤으니까 본인이다”**라는 판단만으로 상대방을 신뢰하기 어려워질 수 있습니다.

일상에서 주의해야 할 AI 피싱 유형

가족이나 지인의 목소리를 이용한 사칭

갑자기 가족에게 전화가 와서 사고가 났다거나 휴대전화가 고장 났다며 송금을 요구한다면 바로 돈을 보내지 않는 것이 중요합니다.

목소리가 비슷하다는 이유만으로 본인이라고 판단하기보다는 평소 사용하던 전화번호로 직접 다시 전화해 확인하는 것이 좋습니다.

특히 상대방이 계속 통화를 피하면서 문자나 메신저로만 대화하려 한다면 더욱 신중해야 합니다.

영상통화를 이용한 신원 사칭

영상통화 화면에 아는 사람의 얼굴이 보인다고 해서 중요한 금융 거래까지 바로 진행해서는 안 됩니다.

금전이나 중요한 개인정보를 요구한다면 영상의 진위 여부와 별개로 다른 연락수단을 이용해 다시 확인하는 것이 안전합니다.

AI 시대에는 한 가지 정보만으로 상대방의 신원을 확인하지 않는 습관이 중요해지고 있습니다.

택배·청첩장·부고 문자

일상생활과 밀접한 내용을 이용한 스미싱도 계속 주의해야 합니다.

KISA는 택배와 청첩장 등 일상적으로 접하는 내용을 사칭한 문자와 QR코드를 통해 악성 앱 감염이나 개인정보 유출로 이어지는 피해를 탐지·대응하고 있습니다.

배송 주소 오류, 모바일 청첩장, 부고 알림, 과태료 확인 등의 문구가 있다고 해서 문자 속 링크를 바로 누르지 않는 것이 좋습니다.

가짜 채용과 업무 제안

구직자와 개발자도 주의해야 합니다.

실제 기업의 채용 담당자처럼 접근한 뒤 업무 과제나 프로그램이라고 설명하며 파일 실행을 요구하는 방식이 사용될 수 있습니다.

최근 북한 연계 위협에서도 가짜 채용과 오픈소스·코드 저장소 생태계를 이용한 공격이 관찰됐습니다. 

딥페이크 피싱·해킹 구별하는 7가지 방법

1. 돈을 요구하면 다른 연락수단으로 다시 확인한다

가족이나 지인이 갑자기 송금을 요구한다면 현재 대화하고 있는 메신저에서 계속 확인하지 마세요.

기존에 저장해 둔 전화번호로 직접 전화를 걸어 확인하는 것이 좋습니다.

특히 “지금 당장 보내야 한다”, **“전화하면 안 된다”**처럼 판단할 시간을 주지 않는다면 의심할 필요가 있습니다.

2. 얼굴과 목소리만으로 신원을 판단하지 않는다

앞으로는 상대방의 얼굴이나 목소리가 익숙하다는 것만으로 중요한 결정을 내리지 않는 습관이 필요합니다.

큰 금액의 송금이나 중요한 개인정보 전달을 요구한다면 별도의 연락수단을 이용해 본인 여부를 다시 확인하세요.

3. 문자와 메신저의 링크를 바로 누르지 않는다

택배나 공공기관, 금융회사에서 보낸 것처럼 보이는 문자라도 링크를 바로 누르지 않는 것이 안전합니다.

해당 서비스의 공식 앱을 직접 실행하거나 브라우저에서 공식 홈페이지를 찾아 들어가는 방식이 좋습니다.

KISA 역시 출처가 불분명한 사이트 주소를 클릭하지 않고 의심되는 앱 다운로드를 피하도록 권고하고 있습니다. 

4. 앱 설치를 요구하면 일단 중단한다

보안 프로그램이나 인증 앱, 원격지원 프로그램 등의 설치를 요구한다면 먼저 해당 기관의 공식 고객센터에 확인하세요.

특히 문자나 메신저에서 보내준 링크를 통해 앱 설치를 요구한다면 주의해야 합니다.

5. 사이트마다 다른 비밀번호를 사용한다

같은 비밀번호를 여러 사이트에서 사용하면 한 곳의 계정 정보가 유출됐을 때 다른 서비스까지 공격받을 가능성이 커집니다.

특히 이메일, 금융, SNS 등 중요한 계정은 서로 다른 비밀번호를 사용하는 것이 좋습니다.

6. 2단계 인증을 켜둔다

비밀번호가 유출되더라도 추가 인증 절차가 있으면 계정 탈취 위험을 낮출 수 있습니다.

KISA 역시 피싱 예방 대책 가운데 하나로 계정에 2차 인증을 설정할 것을 권고한 바 있습니다.

7. 스마트폰과 PC의 업데이트를 미루지 않는다

운영체제와 앱의 보안 업데이트에는 새롭게 발견된 취약점을 수정하는 내용이 포함될 수 있습니다.

따라서 스마트폰과 PC, 브라우저, 자주 사용하는 앱을 최신 상태로 유지하는 것이 기본적인 보안 습관입니다.

30초 피싱 확인 체크리스트

의심스러운 전화나 메시지를 받았다면 아래 항목을 먼저 확인해보세요.

확인할내용	위험신호
갑자기 돈을 보내달라고 한다	⚠️
“지금 바로” 처리하라고 재촉한다	⚠️
문자에 있는 링크를 누르라고 한다	⚠️
새로운 앱을 설치하라고 한다	⚠️
인증번호나 비밀번호를 요구한다	⚠️
평소와 다른 계좌로 송금을 요구한다	⚠️
전화 확인을 피하고 메신저로만 대화한다	⚠️

두 가지 이상 해당한다면 송금·앱 설치·개인정보 입력을 중단하고 다른 방법으로 상대방의 신원을 확인하는 것이 좋습니다.

이 체크리스트의 핵심은 딥페이크 자체를 눈으로 완벽하게 판별하려는 것이 아닙니다.

상대방이 무엇을 요구하는지를 확인하는 것입니다.

이미 링크를 눌렀다면 어떻게 해야 할까?

링크만 눌렀다면 상황부터 확인

링크를 눌렀다고 해서 무조건 악성 앱에 감염됐다고 단정할 필요는 없습니다. 하지만

KISA 자료에서도 문자에 포함된 URL을 클릭한 것 자체와 링크를 통해 악성 앱을 실제 설치한 경우를 구분하고 있습니다. 악성 앱을 설치했다면 모바일 백신 점검이나 앱 삭제 등의 조치가 필요할 수 있습니다. 

따라서 공포 때문에 스마트폰을 바로 초기화하기보다 무엇을 눌렀고, 어떤 정보를 입력했으며, 앱까지 설치했는지부터 확인해야 합니다.

아이디와 비밀번호를 입력했다면

피싱 사이트에서 계정 정보를 입력했다면 해당 서비스의 비밀번호를 즉시 변경하는 것이 좋으며

같은 비밀번호를 다른 사이트에서도 사용했다면 함께 변경하고, 가능하면 2단계 인증도 활성화합니다.

악성 앱을 설치했다면

출처가 불분명한 앱을 설치했다면 실행을 중단하고 보안 점검을 진행해야 합니다. KISA는 악성 앱 설치 등이 의심되는 경우 모바일 백신 등을 이용한 점검과 악성 앱 삭제를 안내하고 있습니다.

가족끼리 미리 정해두면 좋은 ‘확인 규칙’

AI 피싱은 기술만으로 막는 것보다 사람 사이의 확인 절차를 만들어 두는 것도 중요합니다. 예를 들어 가족끼리 다음과 같은 규칙을 정할 수 있습니다.

“메신저로 돈을 요청하면 반드시 전화 확인 후 송금한다.”

또는 일정 금액 이상을 송금할 때는 다른 가족에게도 한 번 더 확인하는 방법이 있습니다.

가족끼리만 알고 있는 질문이나 표현을 하나 정해두는 것도 보조적인 확인 방법이 될 수 있습니다.

중요한 것은 특정한 암호 하나를 절대적으로 믿는 것이 아니라 여러 방법으로 상대방을 확인하는 습관입니다.

AI 시대의 가장 강력한 보안 습관은 ‘한 번 더 확인하기’

AI와 딥페이크 기술이 발전하면서 우리가 보고 듣는 정보만으로 상대방의 신원을 판단하기 어려운 환경이 만들어지고 있습니다.

그러나 모든 딥페이크를 기술적으로 구별할 수 있어야 피해를 예방하는 것은 아닙니다.

돈을 요구하면 다시 전화하고, 문자 링크 대신 공식 앱을 열고, 앱 설치 요구가 나오면 중단하고, 중요한 계정에는 2단계 인증을 사용하는 것만으로도 위험을 상당 부분 줄일 수 있습니다.

결국 AI 시대에 필요한 보안 습관은 복잡하지 않습니다.

급하게 결정하지 않기, 바로 클릭하지 않기, 다른 방법으로 한 번 더 확인하기.

기술이 발전할수록 오히려 이런 기본적인 원칙이 더욱 중요해지고 있습니다.

참고 자료 자료 참고: 국가정보원, 한국인터넷진흥원(KISA)