직원들이 가짜 음성 및 화상 통화를 인식하는지 테스트하는 방법

조직의 준비 상태를 딥페이크(deepfake) 오디오 및 비디오 공격에 대비하여 테스트하기 위한 실용적인 프레임워크 개요로, 결제 사기나 인증 프로토콜과 같은 사기 시나리오를 다룹니다.

위협은 단순히 가짜 결제 지시에 국한되지 않습니다. 누군가가 임원인 척하며 지원팀에게 직원의 접근 권한을 복구해 달라고 요청하거나, 관리자에게 광범위한 권한으로 계정을 생성해 달라고 요청할 수도 있습니다.

2025년 Gartner가 실시한 사이버 보안 리더 302명을 대상으로 한 설문조사에서 응답자의 62%는 지난 12개월 동안 최소 한 번의 그러한 공격을 경험했다고 답했습니다. 43%는 스푸핑(spoofing) 음성 통화와 관련된 사건을, 37%는 화상 통화와 관련된 사건을 보고했습니다. 2026년 1월 설문조사에서는 미국 보안 및 IT 리더 128명 중 60%가 이미 받은 교육에도 불구하고 그러한 공격에 대처할 자신이 없다고 답했습니다.

먼저, 누가 표적이 될 수 있는지 목록을 작성하세요.

두 개의 목록을 만드세요. 첫 번째 목록에는 사기꾼이 사칭할 수 있는 모든 사람(고위 임원뿐만 아니라 재무, IT, 인사 관리자 등)을 포함합니다. 또한 주요 공급업체와 같이 결제를 승인하거나 접근 권한 변경을 할 수 있는 외부 파트너도 추가하세요.

두 번째 목록에는 그러한 요청을 받아들일 가능성이 높은 사람(결제, 급여, 지원팀 직원 및 접근 권한 부여 또는 변경이 가능한 사람)을 기록하세요. 예를 들어, 임원의 가짜 음성은 새 전화기로의 접근 권한 이전을 요청하거나 새로운 관리자 계정을 생성해 달라고 할 수 있습니다.

읽어보기
Chrome과 Google 계정에서 무엇을 기록하는지 제어하는 방법

첫 번째 목록에 있는 개인들의 녹화되거나 비디오 영상 자료가 얼마나 공개적으로 이용 가능한지도 기록하세요. 연설, 온라인 프레젠테이션 및 소셜 미디어의 비디오는 그들의 목소리나 이미지를 복사하는 데 사용될 수 있습니다. 기사에 따르면 몇 분의 발표만으로도 충분할 수 있습니다.

테스트 전에 규칙에 합의하세요

직원들이 돈을 보내거나, 은행 계좌 정보를 변경하거나, 로그인 세부 정보를 공유하거나, 접근 권한을 복구하거나, 권한을 변경해 달라는 요청을 받았을 때 무엇을 해야 하는지 문서화하세요.

기본적인 규칙은 두 번째의 독립적인 채널을 통한 확인입니다. 즉, 직원이 의심스러운 요청에 제시된 번호가 아닌 회사 내부 디렉토리나 공급업체 파일에서 번호를 불러 전화하는 방식입니다. 또한 어떤 행동은 항상 확인이 필요하고, 어떤 행동은 두 사람의 승인이 필요한지 정의해야 합니다. 표적이 될 가능성이 높은 임원들을 위해서는 정기적으로 변경되는 '확인 문구'를 합의할 수 있습니다.

요청이 아무리 긴급하거나 상사로부터 온 것처럼 보여도 직원이 프로세스를 멈추고 다시 전화하는 것이 허용된다는 점을 명확히 해야 합니다. 만약 누군가가 이미 의심스러운 요청에 따라 행동했다는 사실을 깨닫게 된다면, 보복의 두려움 없이 즉시 보고해야 합니다.

현실적인 시나리오를 안전하게 테스트하기

임원의 목소리나 이미지를 사용하기 전에 반드시 해당 임원뿐만 아니라 법무팀과 인사팀의 승인을 받아야 합니다. 이 테스트는 임원의 동의 하에, 명확히 인공적인 음성으로, 또는 서면 스크립트를 따르는 배우를 통해 진행할 수 있습니다.

네 가지 시나리오가 주요 위험을 다룹니다: CFO로부터 온 것처럼 보이는 긴급 결제 요청, Microsoft Teams 통화에서 확인된 공급업체 은행 정보 변경, 접근 권한 복구를 위한 영업 임원의 요청, 그리고 광범위한 권한을 가진 계정에 외부 파트너를 추가하라는 요청을 숨긴 것으로 추정되는 권리 검토입니다.

직원들이 각 단계에서 어떻게 행동할지 설명할 수 있도록 원탁 토론으로 시작합니다. 그런 다음 소규모 그룹을 대상으로 실제 테스트로 진행합니다. 제한된 수의 관리자들에게 이 훈련이 진행 중임을 알려서, 테스트 전화를 실제 사고와 혼동하지 않도록 합니다. 오직 테스트 계정과 돈이 지출되기 전에 멈추는 결제 요청만 사용해야 합니다. 만약 누군가가 화를 내거나 훈련이 일상 업무에 방해가 된다면 즉시 중단합니다. 참여자들에게 나중에 이것이 테스트였다는 점을 항상 설명해야 합니다.

프로세스가 작동하지 않은 지점을 측정하기

단순히 누군가가 통과했는지 또는 차단되었는지에만 초점을 맞추지 마세요. 의도된 확인 절차가 이루어졌는지, 요청이 얼마나 빨리 보고되었는지, 그리고 그 보고가 보안팀에 도달했는지를 기록하세요. 프로세스가 정확히 어느 지점에서 막혔는지 자세히 기록하세요. 올바른 번호가 빠졌었나요, 규칙이 불분명했나요, 아니면 해당 임원이 직원에게 확인 절차를 건너뛰도록 압력을 가했나요?

권한 변경 시나리오에서는 참가자들이 그렇지 않은 논리적인 작업 속에 숨겨진 의심스러운 요청을 알아챘는지 고려하세요. 사후 토론에서 그들을 설득한 것이 무엇이었는지 물어보세요. 목소리였나요, 이전 메시지였나요, 아니면 긴급함이라는 느낌이었나요? 이러한 답변은 규칙이나 교육에서 무엇이 변경되어야 하는지를 나타냅니다.

비난을 할애하지 않고, 가능하다면 당일에 토론을 진행하세요. 무엇이 거짓이었고 어떤 확인 절차가 그 요청을 밝혀낼 수 있었는지 설명하세요. 작동하지 않은 부분을 수정하고 최소한 2년에 한 번, 그리고 임원이나 위험도를 높이는 조건이 변경될 때마다 이 연습을 반복하세요. 직원들이 이전 테스트에서 단순히 인식하는 것이 아니도록 시나리오를 변경하세요.

FBI는 2025년 5월에 복제된 목소리가 실제와 거의 동일하게 보일 수 있다고 경고하며, 독립적으로 확인된 전화번호를 통한 검증을 권장했습니다. FinCEN은 가짜 이미지 및 음성 사기에 대한 경고에서 대화 중간에 통화가 전환되는 경우를 경고 신호로 지적하며 기술적인 어려움을 언급합니다. 이러한 경우, 알려진 번호로 다시 전화를 거는 것이 주장을 확인하는 간단한 방법입니다.

비정상적인 메시지나 통화를 확인하는 도구들은 또 다른 보호 계층을 추가할 수 있지만, 테스트는 먼저 사람들이 합의된 규칙을 따르고 있는지 검증해야 합니다. IRONSCALES는 Microsoft Teams 회의에 대한 보호 기능이 오디오 녹음이나 스크립트를 유지하지 않으면서 음성과 얼굴 특징을 비교한다고 밝힙니다. 이 회사는 그러한 도구가 어떤 데이터를 기록하거나 보관하는지 신중하게 검토할 것을 권장합니다.

G

Hacks.gr on Google

사이버 보안 업데이트를 위한 선호 출처로 설정하세요.

선호되는 출처

원문 영어 기사 보기