대규모 언어모델(LLM)의 발전이 사기 수법에 혁명적인 변화를 가져오고 있습니다. 과거에는 대량 발송형 스팸 사기와 고비용의 표적형 사기로 양분되었지만, LLM은 이 두 가지의 간극을 메우며 개인에게 최적화된 표적형 공격을 저렴한 비용으로 대규모화하고 있습니다. 채용 인터뷰, 가족 긴급 연락, 은행 이메일, 로맨스 등 다양한 개인별 구실을 만들어 신뢰를 얻은 뒤 계정을 탈취하고, 장기적인 감시와 후속 공격까지 이어지는 시나리오가 현실이 되고 있습니다.
LLM 기반의 스피어피싱(spear-phishing) 이메일은 이미 건당 약 4센트(약 50원)의 저렴한 비용으로 제작 가능하며, 2026년에는 더욱 발전된 LLM 성능으로 복잡한 채용 사기 시나리오도 경제성 있게 실행될 수 있다는 분석이 나옵니다. 예를 들어, 구직자는 링크드인(LinkedIn)에서 유명 기업의 매력적인 채용 제안을 받고, 인터뷰 전 법무 SaaS처럼 보이는 플랫폼에서 NDA(비밀유지협약) 서명을 위해 구글(Google)이나 아이클라우드(iCloud) 계정으로 로그인하게 됩니다. 이때 입력된 비밀번호와 2단계 인증(2FA) 정보는 공격자에게 실시간으로 중계되어 실제 계정 탈취에 사용되며, 피해자는 정상적인 로그인으로 착각하게 만듭니다. 공격자는 탈취한 계정에 장기간 접근하며 행동 패턴을 감시하고, 경고 이메일을 필터링하거나 클라우드 파일을 다운로드하며, 심지어 신용카드를 개설하거나 증권 계좌를 노리는 등 다양한 후속 공격을 시도할 수 있습니다.
이러한 변화는 기존의 사기 방어 휴리스틱(heuristics)을 무력화합니다. 과거에는 유창하고 개인화된 글, 탄탄한 웹 존재감, 전화·영상 통화 확인 등이 사기꾼이 쉽게 모방할 수 없는 '비용'과 '능력'의 지표였지만, LLM과 딥페이크 기술은 이 모든 것을 저렴하게 위조할 수 있게 만들었습니다. 이제 가족의 목소리를 복제하거나 실시간 딥페이크 영상 통화로 신뢰를 얻는 것이 가능해지면서, 단순히 '모든 메시지를 의심하는 것'만으로는 충분하지 않게 되었습니다. 개인은 물론 금융기관과 규제 당국도 새로운 방어 전략을 모색해야 할 시점입니다. 가족 간 구두 암호 설정, 별도 채널을 통한 교차 확인, 하드웨어 2단계 인증(2FA) 사용 등 새로운 보안 관행이 시급히 요구됩니다. 당분간 사기는 급증할 것으로 예상되므로, 개인과 기업 모두 이 변화의 의미를 이해하고 적극적으로 대응해야 합니다.