FBI·구글·블랙로터스랩, AI 기반 대규모 피싱 서비스 ‘아웃사이더 엔터프라이즈’ 제압

지난해 5월부터 활동한 AI 기반 피싱 서비스 ‘아웃사이더 엔터프라이즈’가 FBI와 구글, 블랙로터스랩의 공동 대응으로 사실상 중단됐다. 이 조직은 중국을 기반으로 하며, AI와 자동화된 피싱 키트를 활용해 AT&T, T-모바일, 버라이즌 사용자들을 상대로 대량의 스미싱(SMS 피싱) 공격을 펼쳤다. FBI는 법 집행과 기술적 조치를 병행해 관리 서버, 쇼피파이 기반 상점, 테스트 계정 등을 압수했으며, 테더(USDT) 약 10만 달러 상당의 가상자산도 회수했다. 또한 이 조직이 등록한 수천 개의 도메인이 FBI의 안내 페이지로 리다이렉트되도록 설정됐다.

이번 조치는 FBI의 ‘리프타이드 작전’의 일환으로, AI가 악용된 피싱 범죄 인프라를 근절하기 위한 광범위한 efforts의 일환이다. 구글은 아웃사이더 엔터프라이즈가 유포한 250만 건 이상의 스미싱 메시지를 확인했으며, 이 중 5만 5천 건이 안드로이드 사용자들에 의해 사기성으로 신고됐다. 이 조직은 구글과 기타 신뢰할 수 있는 브랜드를 사칭한 피싱 메시지를 대량 발송했으며, 수신자들이 입력한 로그인 정보와 결제 카드 정보를 탈취했다. 구글은 이 조직을 상대로 민사소송을 제기해 인프라를 대상으로 한 법적 제재를 추진하고 있으며, 통신사들과 협력해 사기 메시지가 사용자 단말기에 도달하지 못하도록 차단하는 시스템을 강화하고 있다.

AI와 자동화로 진화한 피싱 공격의 실체

아웃사이더 엔터프라이즈는 AI와 머신러닝 기술을 피싱 키트 개발에 적극 활용해 공격의 정교함과 규모를 극대화했다. 이 조직은 사용자 행동을 분석해 메시지 내용과 타이밍을 최적화하는 AI 모델을 구축했으며, 이는 기존의 수동적인 피싱 공격과는 차별화된 특징이다. 예를 들어, 특정 통신사 사용자들에게만 해당 통신사의 브랜드 이미지를 활용한 메시지를 발송하거나, 사용자의 최근 구매 패턴을 모방한 결제 알림을 위장하는 방식으로 진화했다. 이러한 AI 기반 접근 방식은 피싱 메시지의 신뢰성을 높여 수신자가 속아 넘어갈 확률을 크게 증가시켰다.

피싱 키트는 웹사이트와 메시지 템플릿, 자동화 도구 등으로 구성되어 있으며, 구매자들에게 ‘서비스’ 형태로 제공됐다. 구매자들은 간단한 설정만으로도 자신만의 피싱 캠페인을 즉시 시작할 수 있었으며, 결제 정보와 로그인 정보가 실시간으로 수집되어 아웃사이더 엔터프라이즈의 관리 서버로 전송됐다. 이 과정에서 사용자들은 자신이 신뢰하는 브랜드로부터 온 메시지라고 믿도록 속아 넘어갔으며, 입력한 정보는 곧바로 암호화되어 범죄 조직의 통제 하에 있는 서버로 전달됐다. 구글에 따르면, 이러한 AI 기반 피싱 키트는 수백만 명의 사용자에게 도달했으며, 전 세계적으로 수백만 건의 신용카드 정보가 탈취된 것으로 추정된다.

통신사와 기술 기업의 협력이 피싱 근절의 핵심

이번 제압 작전에서 구글을 비롯한 통신사들의 역할은 매우 중요했다. 구글은 아웃사이더 엔터프라이즈의 인프라를 대상으로 민사소송을 제기해 법적 제재를 가했으며, 동시에 자체 보안 시스템을 통해 피싱 메시지를 탐지하고 차단하는 시스템을 강화했다. 특히 안드로이드 플랫폼에서는 SMS 메시지 내 피싱 링크를 실시간으로 감지해 사용자에게 경고하는 기능이 도입됐다. 또한 구글은 통신사들과 협력해 피싱 메시지가 네트워크에 진입하기 전에 차단하는 시스템을 구축했으며, 이를 통해 millions of 사용자들이 사기 메시지를 받지 않도록 보호했다.

AT&T, T-모바일, 버라이즌 등 통신사들은 아웃사이더 엔터프라이즈가 사용한 전화번호와 도메인을 사전 차단했으며, 피싱 메시지의 발송 패턴을 분석해 유사한 공격을 사전에 방어하는 시스템을 도입했다. 이 같은 통신사와 기술 기업의 협력은 AI 기반 피싱 공격이 진화함에 따라 필수적인 대응책으로 자리잡고 있다. 특히 실시간 차단 시스템과 AI 기반 탐지 기술의 결합은 피싱 공격의 성공률을 낮추는 데 효과적이며, 사용자들의 안전한 디지털 환경을 유지하는 데 기여하고 있다.

FBI의 법 집행과 기술적 조치로 인한 인프라 붕괴

FBI는 아웃사이더 엔터프라이즈의 핵심 인프라를 대상으로 한 기술적 조치를 통해 조직의 활동을 중단시켰다. FBI는 관리 서버와 쇼피파이 기반 상점, 테스트 계정 등을 압수했으며, 이 조직이 사용한 텔레그램 봇도 장악해 고객 정보를 확보했다. 또한 이 조직이 등록한 수천 개의 도메인이 FBI의 안내 페이지로 리다이렉트되도록 설정해, 사용자들이 피싱 사이트에 접속하려 할 때 경각심을 높이는 역할을 했다. 이러한 조치는 조직의 운영 능력을 직접적으로 약화시키는 동시에, 사용자들에게 사기 위험을 알리는 효과적인 방법으로 작용했다.

FBI는 또한 이 조직이 사용한 테더(USDT) 약 10만 달러 상당의 가상자산을 회수했으며, 이는 조직의 재정 기반을 직접적으로 타격하는 조치였다. 가상자산은 피싱 범죄 조직이 수익을 관리하고 범죄 수익금을 세탁하는 데 흔히 사용되는 수단이므로, 이러한 자산 회수는 조직의 운영 능력을 크게 약화시키는 데 기여했다. FBI는 이번 조치를 통해 아웃사이더 엔터프라이즈가 더 이상 활동하지 못하도록 막았으며, 향후 유사한 범죄 조직에 대한 억제 효과도 기대하고 있다.

피해 규모와 전 세계적 파급력

아웃사이더 엔터프라이즈의 활동으로 인해 발생한 피해는 실로 어마어마하다. 구글에 따르면, 이 조직은 2023년 5월 이후 약 250만 건의 스미싱 메시지를 발송했으며, 이 중 5만 5천 건이 사용자들에 의해 사기성으로 신고됐다. 또한 이 조직이 유포한 피싱 사이트를 통해 380만 건 이상의 신용카드 정보가 탈취된 것으로 추정되며, 이로 인한 금전적 손실은 약 19억 달러에 달하는 것으로 추산된다. 이러한 피해는 전 세계적으로 확산되었으며, 특히 미국, 유럽, 아시아 지역 사용자들이 큰 타격을 입었다.

피해자들은 대부분 자신이 신뢰하는 브랜드로부터 온 메시지라고 믿어 피싱 사이트에 로그인 정보와 결제 정보를 입력했으며, 이후 해당 정보가 범죄 조직의 수중에 넘어갔다. 특히 신용카드 정보의 경우, 탈취된 정보가 암호화되어 범죄 조직의 서버로 전송되면서 즉각적인 금전적 피해로 이어졌다. 구글은 이 같은 피해가 발생한 사용자들에게 보안 경고 메시지를 발송했으며, 영향을 받은 계정의 비밀번호를 재설정할 것을 권고했다. 또한 통신사들은 피해자들이 신고할 수 있는 전용 채널을 마련해 즉각적인 대응을 지원했다.

AI 기반 사이버 범죄의 새로운 위협과 대응 전략

아웃사이더 엔터프라이즈의 제압은 AI가 사이버 범죄에 악용되는 새로운 위협에 대응하기 위한 첫걸음으로 볼 수 있다. AI는 피싱 메시지의 정교함과 자동화를 극대화해 범죄 조직이 더 적은 인력으로 더 많은 피해자를 발생시킬 수 있도록 만들었다. 이러한 AI 기반 공격은 전통적인 수동적 공격과는 달리, 실시간으로 메시지의 내용과 타이밍을 최적화할 수 있어 탐지 및 방어가 더욱 어려워졌다. 특히 AI를 활용한 피싱 키트는 사용자 행동을 분석해 메시지를 개인화하는 방식으로 진화했으며, 이는 기존의 보안 시스템으로는 탐지하기 어려운 새로운 위협으로 부상했다.

이에 대응하기 위해 기술 기업들과 통신사들은 AI 기반 탐지 시스템을 도입하고 있다. 구글은 자체 AI 모델을 활용해 피싱 메시지를 실시간으로 분석하고 차단하는 시스템을 강화했으며, 통신사들도 메시지 패턴을 분석해 사기성 메시지를 사전에 차단하는 시스템을 도입하고 있다. 또한 법 집행 기관들은 AI 기반 사이버 범죄에 대응하기 위한 국제적 협력을 강화하고 있으며, 이를 통해 범죄 인프라를 조기에 제압할 수 있는 시스템을 구축하고 있다. 이러한 노력은 AI가 악용되는 새로운 위협에 대응하기 위한 필수적인 조치로, 향후 사이버 보안 환경에서 중요한 역할을 할 것으로 예상된다.

사용자들에게 미치는 영향과 실천 가능한 보안 대책

아웃사이더 엔터프라이즈의 활동으로 인해 피해를 입은 사용자들은 물론, 모든 디지털 이용자들은 보안 의식을 높일 필요가 있다. 특히 스미싱과 피싱 공격은 점점 정교해지고 있으므로, 사용자들은 메시지나 이메일을 수신할 때 발신처와 내용의 신뢰성을 신중히 검토해야 한다. 구글과 같은 신뢰할 수 있는 브랜드를 사칭한 메시지라도, 링크를 클릭하기 전에 URL을 확인하고, 의심스러운 경우 공식 앱이나 웹사이트를 통해 직접 로그인하는 것이 중요하다.

또한 사용자들은 2단계 인증(2FA)을 활성화해 로그인 정보를 보호하고, 정기적으로 계정 활동을 모니터링해 이상 징후를 조기에 발견할 수 있도록 해야 한다. 결제 정보의 경우, 가상카드나 일회용 카드 번호를 사용하는 것도 보안성을 높이는 방법이다. 통신사들은 피싱 메시지를 신고할 수 있는 전용 채널을 제공하고 있으므로, 의심스러운 메시지를 수신한 경우 즉시 신고하는 것이 중요하다. 이러한 사용자 레벨의 보안 실천은 AI 기반 피싱 공격의 성공률을 낮추는 데 기여할 수 있다.

앞으로의 전망: AI 기반 사이버 범죄와 지속적인 방어 체계

아웃사이더 엔터프라이즈의 제압은 AI 기반 사이버 범죄에 대한 첫 번째 큰 승리이지만, 이는 끝이 아니라 시작에 불과하다. AI 기술은 끊임없이 발전하고 있으며, 범죄 조직들도 이를 악용하기 위한 새로운 방법을 모색할 것이다. 따라서 기술 기업, 통신사, 법 집행 기관들은 AI 기반 공격에 대응하기 위한 지속적인 방어 체계를 구축해야 한다. 특히 AI 모델 간의 경쟁 구도에서, 공격자 측 AI와 방어자 측 AI 간의 ‘AI 대 AI’ 대응이 사이버 보안의 새로운 패러다임으로 자리잡을 가능성이 높다.

구글과 같은 기술 기업들은 AI 기반 탐지 시스템을 지속적으로 개선하고 있으며, 통신사들도 메시지 패턴 분석과 실시간 차단 시스템을 강화하고 있다. 또한 법 집행 기관들은 국제적 협력을 통해 범죄 인프라를 조기에 제압할 수 있는 시스템을 구축하고 있다. 이러한 노력은 AI가 악용되는 새로운 위협에 대응하기 위한 필수적인 조치이며, 사용자들의 안전한 디지털 환경을 유지하는 데 기여할 것이다. 사용자들도 보안 의식을 높이고, 실천 가능한 보안 대책을 꾸준히 실천한다면, AI 기반 사이버 범죄의 위협을 줄이는 데 도움이 될 것이다.