AI로 스미싱 걸러내기, 어디까지 믿어도 되나
대규모 개인정보 유출 뒤에는 이름과 번호를 악용한 표적 문자가 늘고, AI 챗봇에 문자 내용을 넣으면 의심 패턴을 빠르게 걸러낼 수 있다. 다만 AI는 링크의 실제 악성 여부나 발신자 신원까지는 확인하지 못하므로 최종 판정 도구가 아니다. 보호나라 스미싱 확인 서비스와 118, 공식 앱 직접 접속으로 반드시 교차 확인해야 한다.
유출 직후 왜 문자가 몰려오나
대규모 유출 사고가 나면 문제는 유출된 정보 자체보다 그 뒤에 오는 문자다. 티빙에서만 3,954만 개 계정이 새어 나갔다는 민관합동조사단 발표처럼 이름과 휴대폰 번호가 함께 노출되면, 공격자는 이 둘을 조합해 진짜 안내처럼 보이는 메시지를 만든다.
보안기업 SK쉴더스는 유출 뒤 흔한 소재로 '개인정보 유출 여부 확인', '보상금 지급 신청', '계정 일시 잠금 보호 조치' 사칭을 꼽는다. 사고가 실제로 있었으니 '보상 신청하라'는 문자를 받으면 의심이 무뎌진다. 공격자는 바로 그 틈을 노린다.
AI 챗봇에 문자를 넣어 1차로 거르기
Photo by Jonas Leupe on Unsplash
AI 챗봇은 이럴 때 빠른 1차 필터가 된다. 순서는 단순하다. 먼저 문자에서 링크만 지우고 텍스트만 복사한다. 링크를 그대로 붙여넣다 실수로 누르는 일을 막기 위해서다. 그다음 챗봇에 이렇게 묻는다. "이 문자가 스미싱일 가능성이 있는지, 어떤 근거로 그렇게 보는지 알려줘."
AI는 스미싱이 반복하는 패턴을 잘 짚는다. 지금 당장 처리하라는 긴급성, 보상이나 환급 같은 미끼, 미납·잠금 같은 위협, 카드번호나 인증번호를 요구하는 문구, 공식 기관과 어긋나는 발신 형식 같은 것들이다. 여러 신호가 겹칠수록 위험도가 높다는 판단을 근거와 함께 돌려준다.
AI가 확인해 주지 못하는 것
여기서 멈추면 안 된다. AI가 못 하는 일이 분명히 있기 때문이다.
첫째, 문자 속 단축 주소가 실제로 어떤 사이트로 연결되는지, 그 페이지가 악성인지는 챗봇이 실시간으로 열어 확인하지 못한다. 둘째, 발신 번호의 실제 소유주가 누구인지 검증할 방법이 없다. 셋째, AI는 그럴듯하게 틀린 답을 내놓는 환각을 일으킬 수 있어, "안전해 보인다"는 답을 단정으로 받아들이면 위험하다.
즉 AI의 판단은 참고용 소견이지 최종 판정이 아니다.
AI 판별 뒤 반드시 함께 볼 기준
챗봇이 의심된다고 했든 아니든, 공식 채널로 교차 확인하는 절차를 붙여야 한다.
- 링크를 누르기 전 문자 내용을 복사해 KISA 보호나라의 스미싱 확인 서비스에 조회한다. 결과까지 최대 10분 정도 걸린다.
- 이미 링크를 눌렀거나 앱을 깔았다면 추가 입력을 멈추고 국번 없이 118로 상담·신고한다.
- 보상·환급 안내라면 문자 링크가 아니라 해당 회사 공식 앱이나 홈페이지에 직접 접속해 같은 안내가 있는지 확인한다.
- 카드번호, 계좌번호, 주민등록번호, 일회용 인증번호를 요구하면 진위와 무관하게 응하지 않는다. 정상 기관은 문자로 이런 정보를 받지 않는다.
정리하면, AI는 수상한 문자를 빠르게 골라내는 데 유용하지만 신원과 링크의 실체를 확인하는 일은 사람의 몫으로 남는다. 유출 사고 직후일수록 '확인해 보라'는 문자 자체를 한 번 더 의심하는 편이 안전하다.