딥페이크(Deepfake)란 무엇일까요?

딥페이크란?

딥페이크(Deepfake)는 생성적 적대 신경망(GAN)이나 최신 생성형 AI 모델이 실존 인물의 사진·음성·영상 데이터를 학습해, 그 사람이 실제로 하지 않은 말이나 행동을 진짜처럼 합성해내는 기술입니다. 처음에는 연예인 얼굴을 다른 영상에 합성하는 수준이었지만, 지금은 음성 몇 초만으로 목소리를 복제하고 실시간 화상통화 중에도 얼굴과 목소리를 동시에 바꿔치기할 수 있는 수준까지 발전했습니다.

문제는 그동안 우리가 '본인 확인'의 근거로 삼아온 것들이 바로 얼굴과 목소리였다는 점입니다. 가족의 목소리를 듣고, 화상통화로 얼굴을 보고 안심하던 확인 방식이 딥페이크 앞에서는 더 이상 신뢰할 수 없는 증거가 됩니다.

딥페이크 범죄, 얼마나 늘었나

2024년 1~4월, 딥페이크 범죄자 163명이 전 세계 피해자에게서 갈취한 금액만 약 2억 달러(약 2,780억 원)에 달합니다. 유형별로 보면 다음과 같습니다.

피해 대상은 정치인·유명인이 41%, 평범한 일반인이 34%로 나타나 더 이상 유명인만의 문제가 아닙니다. 2023년 북미 지역의 딥페이크 범죄는 전년 대비 1,740% 증가했고, 이 추세가 이어지면 2027년까지 미국에서만 약 400억 달러(약 55조 6천억 원)의 경제적 손실이 발생할 것으로 전망됩니다.TokenPost

대표 사례 — Arup 딥페이크 화상회의 사기(2024)

영국 엔지니어링 기업 Arup의 홍콩 지사 직원이 겪은 사건은 딥페이크 사기가 이론이 아니라는 것을 보여준 대표 사례입니다. 공격자는 CFO를 사칭한 스피어 피싱 이메일로 먼저 접근한 뒤, 공개된 링크드인 영상·사내 컨퍼런스 녹화본에서 뽑아낸 CFO와 여러 임원의 얼굴·음성으로 딥페이크 화상회의를 열었습니다. 여러 임원이 참석한 것처럼 보이는 이 가짜 회의에서 송금 지시가 내려졌고, 피해 직원은 하루 만에 15건의 송금을 실행해 총 2,560만 달러(약 200억 홍콩달러)가 빠져나갔습니다.

홍콩 경찰은 2024년 2월 이 사건을 공개 수사로 발표했고, Arup은 2024년 5월에야 자사가 피해 기업임을 공식 인정했습니다. 2025년 초 기준 범인 검거나 자금 회수 소식은 없는 상태입니다.PurpleSec

한국의 대응 — 2024년 딥페이크 처벌법 개정

국내에서는 기존에 배포나 영리 목적이 입증되지 않으면 단순 소지·제작 의뢰를 처벌하기 어려웠습니다. 2024년 개정 논의를 거치며 규제 범위가 크게 넓어졌습니다.

• 처벌 대상 확대 — 불법 합성물임을 알면서도 저장·전송받아 보관하는 행위까지 규제 대상에 포함됩니다.
• 시청·소지 처벌 — 유통 플랫폼에서 불법 영상물을 단순 다운로드·저장·시청하는 행위까지 규제 대상으로 논의되고 있습니다.
• 플랫폼 의무 — 플랫폼에 불법 영상물 감시·기술적 필터링, 신고 시 지체 없는 삭제, 디지털 워터마크 표시가 의무화됩니다.
• 과징금 — 의무를 이행하지 않으면 관련 매출액의 일정 비율에 달하는 과징금이 부과될 수 있습니다.

딥페이크 예방·대응 방안

개인 — 가족 안전 문구 만들기

단 30초의 음성 샘플만으로 목소리를 복제할 수 있는 시대입니다. "엄마, 나 핸드폰 액정 깨져서 친구 폰으로 전화해. 지금 당장 돈 좀 보내줘" 같은 전화가 실제 자녀의 목소리처럼 들릴 수 있습니다.

• 가족만 아는 안전 문구 — 첫 반려동물 이름, 부모 고향, 어릴 적 별명처럼 SNS에 공개되지 않은 정보로 암호를 정합니다.
• 일상 대화처럼 확인 — 질문 형태로 캐묻기보다 자연스러운 대화 중에 암호를 끼워 넣어 확인합니다.
• 낯선 번호는 재확인 — 목소리가 익숙해도, 낯선 번호로 걸려온 돈 요구는 일단 끊고 원래 번호로 직접 걸어 확인합니다.
• 지연이체 서비스 설정 — 급하게 재촉하는 상황일수록 송금에 시간적 여유를 두는 장치가 필요합니다.

기업 — 화상통화를 최종 승인 근거로 삼지 않기

• 송금·결재 이중 확인 — 화상회의나 통화로 받은 송금·결재 지시는 반드시 사내 메신저·직통 전화 등 별도 채널로 재확인합니다.
• 문서 기반 승인 체계 유지 — "얼굴을 봤다", "목소리를 들었다"가 아니라 정해진 결재 문서와 절차를 최종 근거로 삼습니다.
• 임원 공개 영상·음성 관리 — 대외 발표 영상, 사내 컨퍼런스 녹화본은 딥페이크의 원재료가 될 수 있어 노출 범위를 점검합니다.
• 임직원 교육 — Arup 사례처럼 여러 명이 등장하는 화상회의도 위조될 수 있다는 것을 정기적으로 교육합니다.

딥페이크의 재료는 결국 유출된 얼굴 사진·음성 파일·신분증 같은 개인정보입니다. 오피스키퍼는 정보유출방지로 임직원의 개인정보와 영상·음성 자료가 외부로 새어나가는 경로를 통제하고, 문서중앙화로 결재·승인 문서를 중앙에서 관리해 화상통화 한 번으로 거액이 송금되는 사고를 막는 데 도움을 줍니다.

자주 묻는 질문