결론부터 말씀드리면, 이제 "목소리를 들었으니 본인이 맞다"는 확인은 통하지 않습니다. 이탈리아 최대 은행 그룹의 자회사가 대표이사 사칭 메시지와 딥보이스로 만든 가짜 목소리 전화 한 통에 9,500만 유로를 보냈습니다. 큰 은행도 속았다면 작은 회사는 더 쉽게 당할 수 있습니다. 이 사건이 어떻게 벌어졌는지 짚고, 직원이 많지 않은 회사가 오늘 바로 정할 수 있는 AI 보이스피싱 예방 규칙을 정리했습니다.
딥보이스 대표이사 사칭, 무슨 일이 있었나
로이터 보도를 정리한 트렌딩토픽스 기사에 따르면, 2026년 2월 인테사 상파올로 그룹의 프라이빗뱅킹 자회사 피데우람의 당시 회장이 왓츠앱 메시지를 받았습니다. 그룹 최고경영자 카를로 메시나가 보낸 것처럼 보이는 메시지였고, 해외 거래를 급하게 도와 달라는 내용이었습니다. 곧이어 유명 로펌의 시니어 파트너라는 사람이 전화로 그 요청을 확인해 줬는데, 이 목소리가 AI로 복제한 딥보이스였습니다.
회장은 요청이 진짜라고 믿고 재무 부서에 송금을 지시했고, 돈은 주로 중국과 홍콩 계좌로 빠져나갔습니다. 은행이 이상을 빨리 알아채 여러 나라 수사기관과 협력한 덕분에 약 5,300만 유로를 되찾았지만, 약 3,600만 유로는 해외 계좌를 거쳐 암호화폐로 바뀐 뒤 행방이 묘연합니다. 바이오메트릭업데이트는 생성형 AI 때문에 미국의 사기 피해액이 2027년 400억 달러에 이를 수 있다는 딜로이트 전망도 함께 소개했습니다.
왜 똑똑한 사람도 속을까 — 목소리가 증거가 아니게 됐다
이 사건에서 눈여겨볼 점은 수법이 새롭지 않다는 것입니다. "윗사람이 급하게, 조용히 처리해 달라고 한다"는 대표이사 사칭은 오래된 수법입니다. 달라진 건 마지막 확인 단계입니다. 예전에는 의심이 들면 전화로 목소리를 듣고 안심했는데, 이제는 그 목소리까지 딥보이스로 만들 수 있습니다. 메시지로 요청하고 전화로 확인시켜 주니, 받는 사람은 "두 번 확인했다"고 느끼게 됩니다.
작은 회사는 오히려 더 취약합니다. 결재 단계가 짧고, 대표와 직원이 메신저로 바로 일을 주고받는 일이 많기 때문입니다. "대표님이 지금 미팅 중이라 전화를 못 받으니 이 계좌로 먼저 보내 달라"는 메시지는 평소 업무 대화와 거의 구분되지 않습니다.
작은 회사의 AI 보이스피싱 예방 체크리스트 5가지
거창한 보안 장비가 없어도 할 수 있는 AI 보이스피싱 예방 규칙입니다. 핵심은 "요청이 온 길로 확인하지 않는다" 하나입니다.
첫째, 돈이나 계좌 변경 요청은 내가 원래 알고 있는 번호로 다시 걸어 확인합니다. 메시지에 적힌 번호나 걸려 온 전화로 확인하면 사기꾼에게 다시 묻는 셈입니다. 둘째, 대표와 송금 담당자가 둘만 아는 확인 질문을 미리 정해 둡니다. 셋째, "급하다", "아무에게도 말하지 마라"는 말이 함께 나오면 그 자체를 멈춤 신호로 보고 정해 둔 시간만큼 기다립니다. 넷째, 처음 보는 계좌나 해외 계좌로 보내는 돈은 두 사람이 각자 확인한 뒤에만 보냅니다. 다섯째, 이미 보냈다면 바로 112나 거래 은행 고객센터에 지급정지를 요청합니다. 피데우람도 빨리 알아챈 덕분에 절반 넘게 되찾았습니다.
저희 회사가 실제로 정해 둔 규칙
저희는 둘이서 운영하는 작은 회사라 "결재 라인"이라고 부를 것도 없습니다. 그래서 오히려 규칙을 짧게 정해 뒀습니다. 최근 상점에 계좌이체 주문을 열었는데, 입금 확인은 사람이 은행 앱에서 직접 본 뒤에만 상품 메일이 나가도록 했습니다. 환불이나 결제 취소처럼 돈이 움직이는 버튼은 AI 비서에게 맡기지 않고, AI는 찾고 정리하는 데까지만 합니다.
이 원칙은 예전에 쓴 AI 에이전트 승인을 AI 화면에서 받으면 안 되는 이유와 같은 이야기입니다. 승인은 요청이 들어온 화면이 아니라 다른 길로 받아야 합니다. 딥보이스 대표이사 사칭도 결국 "요청한 쪽이 확인까지 해 주는" 구조를 노립니다. 업무 자동화를 설계할 때 돈이 나가는 단계에 사람 확인을 어떻게 넣을지 고민 중이라면 업무 자동화 소개 페이지에서 저희가 쓰는 방식을 보실 수 있습니다.
자주 묻는 질문
Q. 딥보이스는 목소리를 얼마나 들어야 만들 수 있나요?
정확한 기준은 도구마다 다르지만, 인터넷에 올린 영상이나 짧은 통화만으로도 흉내 낼 수 있다는 보도가 많습니다. 그래서 "목소리가 똑같다"는 이유만으로는 확인이 끝났다고 보지 않는 편이 안전합니다.
Q. AI 보이스피싱 예방, 직원이 없는 회사도 필요한가요?
필요합니다. 거래처나 가족을 사칭하는 경우도 많아서, 혼자 돈을 보내는 사람일수록 "다시 걸어 확인" 규칙 하나가 가장 큰 방어선이 됩니다.
Q. 대표이사 사칭 메시지를 받으면 어디에 알리나요?
돈을 보내지 않았다면 대표에게 원래 번호로 알리고 대화 내용을 남겨 두세요. 이미 보냈다면 바로 112나 은행 고객센터에 지급정지를 요청하는 것이 먼저입니다.