온라인 플랫폼, 통신사에 이어 금융권에서까지 개인정보가 유출되자 인공지능(AI)이 흩어진 개인정보를 결합해 특정인의 구체적인 상황을 종합하는 ‘AI 프로파일링’ 우려가 커지고 있다. 지금까지는 일부 플랫폼에서 사소한 개인정보가 유출되더라도 인간 해커가 종합하기엔 한계가 있었다. 그러나 AI가 24시간 정보를 수집해 한데 모으면 ‘초정밀 피싱’용 개인 프로필이 완성될 수 있다.
핵심은 흩어진 기록을 동일인 단위로 연결하는 AI의 능력이다. 인간 해커는 표기 방식이 다른 비정형 데이터를 정렬하고 포털·소셜미디어를 일일이 검색해 종합하는 데 물리적·시간적 한계가 존재한다.
그러나 생성형 AI와 AI 에이전트는 이 과정을 대규모로 자동화할 수 있다. 이름, 주소, 직장 정보, 소셜미디어 게시물과 같은 정보를 대규모로 읽어 들인 후 동일인일 가능성까지 계산해 정렬·조립하는 것이다. 이후 공격 성공 가능성이 높은 사람을 분류하고, 대상별로 다른 공격 방식과 대화법, 말투 등을 만드는 것도 가능하다.
이번에 유출된 대출 등 민감 정보가 더해지면 잠재적 피해 규모는 더 커진다. 가령 실제 직장과 소득 수준, 대출 만료 시기 등을 정확히 제시하면 대출 연장을 위한 금융회사의 정상적 연락으로 피해자가 오인할 가능성이 높아진다.
보안업계 관계자는 “기존 피싱은 불특정 다수에게 문자나 전화를 뿌린 뒤 일부가 걸려들기를 기다리는 방식이었다”며 “AI 프로파일링이 결합되면 대출을 알아본 사람에게는 대출 심사 결과를, 사업자에게는 법인 금융 및 세금 문제를 미끼로 사용하는 등의 초정밀 피싱이 가능해진다”고 우려했다.
유출된 개인정보를 이용한 피해 가능성도 이를 반영해 계산해야 한다는 지적이 나온다. 비교적 낮은 위험의 정보가 유출됐을 때도 다른 유출 정보와 결합했을 때의 잠재적 피해를 따져야 한다는 얘기다. AI 프로파일링 가능성을 고려해 피해자 통지도 강화해야 한다는 목소리가 많다. 연소득, 대출 한도 등이 유출된 고객에게는 대출을 빙자한 피싱을 특히 경계하도록 알리는 식이다.
박한신 기자 phs@hankyung.com