보이스피싱 건당 2244만원, 4.6배 급증…3초면 복제되는 목소리

추석 연휴 피해액 237억→703억, 5년 새 3배 통신 3사 온디바이스 탐지 95%대…감정 섞인 음성은 사각지대

보이스피싱 한 건당 피해액이 2021년 487만원에서 2024년 2천244만원으로 4.6배 늘었다. 금융감독원이 지난해 10월 국회 정무위원회 김현정 의원실에 제출한 자료를 분석한 결과다. 전체 피해 건수는 줄어드는데 한 건에서 뜯기는 돈만 커졌다. 3초짜리 음성 샘플로 자녀 목소리를 복제하는 신종 딥보이스 보이스피싱이 그 사이에 끼어들었다.

◆ 발생은 46% 줄었는데 건당 피해는 4.6배

경찰청이 지난달 내놓은 집계를 보면 올해 1~7월 보이스피싱 피해액은 3천614억원이다. 지난해 같은 기간 7천766억원의 절반 아래로 떨어졌다. 발생 건수도 1만4천707건에서 7천940건으로 46% 줄었다. 7월 한 달 피해액 337억원은 올해 최저치다.

총량이 꺾인 배경에는 차단 속도가 있다. 정부는 범행 전화번호를 끊는 데 걸리던 2~3일을 10분 이내로 줄였다. 이 방식으로 7월까지 11만5천88건의 번호가 막혔다.

문제는 남은 한 건의 무게다. 추석 연휴 기간 피해액은 2020년 237억원에서 2024년 703억원으로 3배 가까이 불었다. 지난해 10월 같은 의원실이 국정감사에 제출한 분석자료에 담긴 수치다.

◆ 3초 녹음이면 말투와 억양까지 베낀다

민주연구원의 2024년 8월 정책브리핑을 보면 복제 속도는 위협적이다. 생성형 AI는 원본 목소리 3초 분량만 확보해도 똑같은 음성을 구현한다. SNS에 올린 짧은 영상, 스팸 전화에 응답한 몇 마디면 재료가 된다. 미국 보안업체 맥아피가 9개국 7천명을 조사한 2023년 보고서에서는 응답자의 10%가 AI 음성 복제 사기를 직접 겪었다고 답했다.

표적은 부모 세대다. 금융감독원이 지난해 10월 허영 의원실에 낸 자료를 보면 고령층 피해가 두드러진다. 2020년 이후 누적 피해구제 신청 중 60대 이상이 37.6%(2만9천688건)로 가장 많았고, 50대 이상을 합치면 약 70%에 달했다. 60대 이상 피해 건수는 2016년 1천261건에서 지난해 5천801건으로 약 5배가 됐다.

번호를 믿기도 어렵다. 한국인터넷진흥원이 지난해 10월 조인철 의원실에 제출한 국감 자료로는 발신번호 변작 신고가 2021년 3만9천건에서 2024년 5만9천건으로 늘었다.

◆ 탐지망은 서버가 아니라 스마트폰 안으로

통신 3사와 삼성전자는 통화 음성을 외부 서버로 보내지 않고 단말기에서 분석하는 온디바이스 방식으로 방어선을 옮겼다. 과학기술정보통신부가 지난 2월 안내한 내용을 보면 갤럭시는 원 UI 8.0 이상 기기에서 '의심'과 '감지' 2단계 경고를 기본 제공한다. 이용자가 끄지 않는 한 켜져 있는 구조다.

SK텔레콤은 에이닷 전화에 국립과학수사연구원 성문 데이터 분석을 결합해 탐지 정확도 약 96%를 기록했다고 지난 3월 밝혔다. LG유플러스 익시오는 국과수 음성 데이터 2만5천건을 학습해 5초 이내에 95% 정확도로 피싱을 가려낸다. KT 후후는 문맥 탐지와 화자 인식, 딥보이스 탐지를 묶어 운영하며 상용화 초기 1천528건 통화 분석에서 90.3% 정확도를 보였다. 한국인터넷정보학회에 지난해 5월 발표된 논문은 스마트폰용 경량 탐지 모델의 판별 시간을 150ms로 제시했다.

제도도 따라붙었다. 과기정통부는 지난 7월 30일 사기범 본인 동의 없이 음성 성문을 AI 탐지에 쓰도록 규제샌드박스 실증특례를 지정했다. 지난달 4일 시행된 개정 통신사기피해환급법으로 금융·통신·수사기관의 의심정보 공유와 즉시 차단에 법적 근거가 생겼다.

◆ 663억원 막았지만, 판별률은 91.54%

금융위원회가 지난달 20일 제2차 협의회에서 공개한 자료에는 성과가 담겼다. 보이스피싱 AI 플랫폼은 가동 9개월간 의심정보 46만3천건을 공유해 663억6천만원의 편취를 사전에 막았다. 피해가 나기 전에 지급정지된 계좌는 7천9개였다.

탐지 기술의 한계는 수치로 드러난다. 경찰청이 지난해 10월 국회에 제출한 국감 자료를 보면 경찰 딥페이크 탐지 소프트웨어의 딥보이스 판별 정확도는 91.54%에 머물렀다. 경찰청은 고도화 연구개발에 지난해 27억원을 배정해 정확도 95% 이상을 목표로 잡았다. 완성 목표 시점은 2027년이다.

◆ 울음소리 앞에서는 기계도 흔들린다

서울의 한 정보통신전자공학부 관계자는 기술적 사각지대를 짚었다. 온디바이스 탐지가 고도화돼도 울음이나 비명처럼 감정 표현이 섞인 합성음은 판별 오류 가능성이 남는다는 지적이다. 사기범이 "사고 났다"며 울부짖는 목소리를 쓰는 이유다.

피해자가 속아 직접 송금한 경우의 구제는 아직 논의 단계다. 금융위원회는 지난해 8월 종합방안에서 금융사가 일부를 배상하는 무과실 배상책임 법제화를 추진하겠다고 밝혔지만 입법은 마무리되지 않았다. 의심정보와 금융권 이상거래탐지시스템을 연동한 실시간 지급정지 확대는 다음 달 시행이 예정돼 있다.

마지막 장치는 이용자 쪽에 남는다. 단말기 통화 경고 알림을 켜두고, 급전 요구 전화는 끊은 뒤 다시 걸어야 한다. 가족끼리만 아는 확인용 문답을 미리 정해 두는 대처도 필수다. 과기정통부는 지난해 8월 간담회에서 AI가 디지털 범죄에 맞서는 강력한 방패라고 밝힌 바 있다. 하지만 현장에서는 그 방패가 통화를 끊을 몇 초를 벌어 줄 뿐이라는 평가가 나온다.