[카테고리:] 가이드

안경 렌즈 옆에 렌즈보다 작은 카메라 하나. 그것만으로 옆자리 사람 신경이 곤두선다. 메타의 레이밴 스마트 글래스가 퍼지면서 카페든 헬스장이든, 안경 쓴 사람을 은근히 곁눈질하는 분위기가 생겼다. 여기에 애플까지 스마트 글래스 시장에 뛰어든다는 소식이 나왔다. 카메라 달린 안경이 일상의 사생활을 어디까지 건드릴지, 논쟁이 다시 불붙는 중이다. 스마트 글래스 프라이버시 문제가 왜 매번 반복되는지, 그리고 사용자와 주변 사람 모두 알아둬야 할 대처법을 정리했다.

스마트 글래스가 유독 사생활 논란에 휘말리는 이유

스마트폰으로 사진 찍을 때는 상대가 눈치챌 수밖에 없다. 팔을 들어 화면을 보고, 셔터음이 울리고, 렌즈가 특정 방향을 겨눈다. 스마트 글래스는 다르다. 그냥 얼굴을 마주 보고 있는 것처럼 보여도, 실제로는 녹화 중일 수 있다. 이 비대칭이 논란의 뿌리다. 찍히는 쪽은 촬영 사실조차 알기 어렵고, 동의할 기회도 없다. 스마트폰 카메라는 주로 착용자 본인의 프라이버시가 걸린 문제였다면, 스마트 글래스는 정반대다. 주변 사람들의 사생활을 침해할 소지가 훨씬 크다는 점에서, 문제의 구조 자체가 다르다.

레이밴 메타로 본 전형적인 문제들

메타의 레이밴 스마트 글래스는 녹화 중이라는 걸 알리려고 렌즈 옆에 작은 LED를 달았다. 그런데 출시 직후부터 이 LED를 손가락이나 테이프로 가리고 몰래 찍는 사례가 쏟아졌다. 하버드 학생 두 명은 한술 더 떴다. 이 안경에 얼굴 인식 프로그램을 연동해서, 스쳐 지나가는 사람의 이름과 개인정보를 실시간으로 띄우는 실험을 공개해버린 것이다. 대표적으로 지적되는 문제는 이렇다.

• 녹화 표시등을 가리거나 무력화하는 방법이 이미 퍼져 있다
• 탈의실, 헬스장 샤워실처럼 촬영 금지 공간에서 착용 여부 구분이 안 된다
• 얼굴 인식·개인정보 검색 앱과 엮이면 스토킹 도구로 둔갑할 여지가 있다

애플 안경이 짊어진 숙제, 아이폰과는 다르다

애플은 그동안 ‘프라이버시는 인권’이라는 문구를 앞세워 아이폰을 팔아왔다. 다만 아이폰의 프라이버시는 사용자 본인의 데이터를 지키는 문제에 가까웠다. 스마트 글래스는 얘기가 다르다. 착용자가 아니라 카메라 앞을 지나가는 불특정 다수의 데이터를 다룬다. 동의를 구할 방법조차 마땅치 않은 사람들의 얼굴, 표정, 대화까지 그대로 기록되는 셈. 그래서 애플이 내놓을 제품은 꺼지지 않는 녹화 표시등, 소리로 알려주는 촬영 알림, 클라우드에 올리기 전 온디바이스로 처리하는 장치를 지금보다 훨씬 촘촘히 준비해야 한다는 관측이 나온다. 아이폰에서 쌓은 신뢰를 그대로 옮겨오기엔, 안경이라는 형태 자체가 던지는 숙제가 훨씬 까다롭다.

스마트 글래스, 법으로는 어디까지 보호될까

국내에서는 카메라 등을 이용한 촬영죄, 흔히 말하는 몰카 방지법이 동의 없는 촬영과 유포를 엄하게 처벌한다. 스마트 글래스로 찍었다고 예외가 되지는 않는다. 유럽 쪽은 좀 더 발 빠르다. 이탈리아 데이터보호청이 메타 스마트 글래스의 얼굴 인식 연동 가능성을 문제 삼아 조사에 들어갔고, GDPR 기준으로는 생체정보 수집 자체가 엄격한 규제 대상이다. 미국도 마찬가지. 일리노이주의 생체정보 프라이버시법(BIPA)처럼 얼굴 데이터 수집에 별도 동의를 요구하는 주가 늘어나는 추세다. 법이 기기보다 느리게 움직이는 사이, 실제 처벌이나 규제는 사건이 터지고 나서야 뒤늦게 따라붙는 경우가 많다.

내 프라이버시를 지키는 방법 3가지

쓰는 사람도, 그 옆에 있는 사람도 알아두면 쓸모 있는 대응법이 있다.

• 녹화 표시등 확인하는 습관 들이기: 상대방 안경에 작은 불빛이 있는지 살펴보는 것만으로도 어느 정도 경계가 된다
• 촬영 금지 구역에서는 명확히 요청하기: 탈의실, 병원, 회의실 같은 곳에서는 안경을 벗어달라고 직접 말하는 편이 낫다
• 앱 권한과 클라우드 설정 점검하기: 착용자라면 자동 업로드, 얼굴 인식 연동 기능을 꺼두는 것만으로 불필요한 정보 유출을 줄이는 효과가 있다

구글 글래스부터 스냅까지, 제조사별 대응 비교

스마트 글래스의 프라이버시 논란, 이번이 처음은 아니다. 2013년 구글 글래스는 착용자를 ‘글래스홀(Glasshole)’이라 부르는 조롱까지 낳으며 술집과 극장에서 착용 금지 대상이 됐다. 결국 소비자용 제품은 단종 수순을 밟았다. 스냅의 스펙터클스는 촬영 중 렌즈 테두리에 눈에 띄는 링 라이트를 켜는 방식으로 최소한의 경고 장치를 마련해뒀다. 삼성이나 엑스리얼 같은 AR 글래스 진영은 아직 카메라 상시 촬영보다 디스플레이 기능에 무게를 두면서 논란을 슬쩍 비켜가는 모양새다. 결국 관건은 카메라 성능이 아니다. 촬영 중임을 얼마나 확실하게 알리느냐, 거기에 달려 있다는 공통점이 드러난다.

이것도 궁금하죠?

Q. 스마트 글래스로 몰래 찍힌 사진, 삭제 요청이 가능한가?
A. 국내법상 동의 없는 촬영·유포는 처벌 대상이다. 경찰 신고와 함께 삭제 요청도 가능하다.

Q. 녹화 표시등을 없앤 안경은 그 자체로 불법인가?
A. 제품 자체는 불법이 아니다. 다만 표시등을 가리고 몰래 촬영한 행위는 별개로 처벌 대상이 된다.

Q. 애플 스마트 글래스는 언제 나오나?
A. 정식 출시 시점은 여전히 유동적이다. 정확한 시기보다 어떤 프라이버시 장치를 갖추고 나올지가 더 중요한 관전 포인트다.

테크크런치 보도를 참고해 정리했다: TechCrunch

스마트글래스를 쓴 사람과 마주치면 나도 모르게 렌즈부터 확인하게 된다. 메타 레이밴 스마트글래스가 흔해지면서 생긴 반응이다. 저 사람, 지금 나를 찍고 있나. 확인할 방법이 마땅치 않다는 불안감. 이게 스마트글래스 프라이버시 논쟁의 본질이다.

정확히 뭐가 문제인가

일반 안경과 거의 구분이 안 되는 외형에 카메라와 마이크를 심어둔 게 스마트글래스다. 촬영 중이라고 알려주는 장치는 대부분 LED 표시등 하나뿐이다. 햇빛이 쨍쨍하거나 몇 걸음만 떨어져도 켜졌는지 꺼졌는지 구분이 안 간다. 술집, 탈의실, 회의실처럼 사적인 공간에서 특히 골치 아픈 이유다. 여기에 촬영 영상을 실시간으로 클라우드에 올리고 AI가 얼굴까지 알아보는 기능까지 붙었다. 동의 없는 촬영, 신원 노출 걱정이 한꺼번에 겹치는 구조다.

메타 레이밴이 논란 한복판에 선 이유

판매량만 놓고 보면 메타 레이밴이 시장을 사실상 끌고 간다. 문제는 출시 초기부터 몰래카메라 용도로 쓰일 수 있다는 지적이 따라다녔다는 점이다. 실제로 착용자가 LED를 손가락으로 가리거나 테이프로 덮고 촬영한 사례가 SNS에 여러 번 올라왔다. 메타 쪽 설명은 이렇다. 촬영을 시작하면 LED가 켜지고 소리도 난다고. 근데 손가락 하나로 가릴 수 있는 장치라면, 사실 있으나 마나 아닌가. 하드웨어를 살짝만 손보면 이 장치가 무력화된다는 지적, 여전히 나온다.

애플은 왜 프라이버시를 앞세우나

애플은 스마트글래스 시장에 늦게 뛰어드는 만큼 프라이버시를 차별점으로 삼겠다는 쪽으로 방향을 잡았다. 아이폰 시절부터 해온 개인정보 보호 마케팅을 웨어러블로 그대로 옮기는 셈. 구체적으로 거론되는 건 세 가지다. 촬영 상태를 더 확실하게 드러내는 하드웨어 설계, 얼굴 인식 같은 민감한 기능은 기기 안에서만 처리하는 온디바이스 방식, 클라우드에 올릴 때 사용자 동의 절차를 까다롭게 만드는 것. 완성도를 끌어올리느라 출시일이 자꾸 밀리는 것도 이런 사정과 무관하지 않다.

살 때 짚어볼 프라이버시 체크리스트

• 촬영 표시등 밝기와 위치: 정면에서 바로 보이는지, 손으로 가리기 쉬운 구조는 아닌지 확인한다
• 영상 저장 방식: 기기 안에만 저장되는지, 자동으로 클라우드에 올라가는지 설정 메뉴에서 짚어본다
• 얼굴 인식·AI 분석 기능: 기본값으로 켜져 있는지, 끄고도 쓸 수 있는지 살펴본다
• 제조사 데이터 정책: 촬영 영상을 광고나 AI 학습에 쓰는지 약관을 뒤져본다
• 공개 장소 촬영 규정: 나라마다 몰래 촬영 처벌 수위가 다르니 미리 알아둔다

마주쳤을 때 할 수 있는 것

스마트글래스 착용자를 마주쳤을 때 LED 표시등 유무만 보고 안심하긴 어렵다. 카페나 회의실처럼 사적인 얘기가 오가는 자리라면, 착용자한테 직접 촬영 여부를 물어보는 게 제일 확실하다. 기업들도 손을 쓰고 있다. 회의실 반입을 아예 막거나, 방문객에게 착용 사실을 미리 알리도록 규정을 두는 곳이 늘었다. 개인정보보호법이나 초상권 관련 규정은 나라마다 다르게 적용된다. 해외 출장이나 여행 때는 현지 규정을 미리 확인해두는 편이 낫다.

시장은 결국 두 갈래로 갈릴까

디스플레이와 AI 비서 기능을 앞세운 메타·구글 쪽과, 프라이버시와 보안을 강조하는 애플 쪽. 시장이 이렇게 나뉠 가능성이 있다. 솔직히 여기서 갈린다. 편리함이냐, 안심이냐. 결국 소비자가 어느 쪽을 고를지는 카메라와 마이크가 늘 몸에 붙어 있는 기기를 얼마나 믿을 수 있느냐에 달렸다. 웨어러블 카메라가 스마트폰만큼 흔해지는 날이 오면, 지금 이 논쟁도 스마트폰 초창기 카메라폰 규제 논의와 비슷한 방식으로 정리되지 않을까.

궁금한 것 몇 가지 더

Q. 스마트글래스로 몰래 촬영하면 불법인가?
동의 없는 촬영은 대부분 나라에서 초상권·개인정보보호법 위반 소지가 있다. 사적인 공간이라면 처벌로 이어지기도 하니 주의가 필요하다.

Q. LED 표시등을 가리면 어떻게 되나?
제조사 약관 위반이고, 상황에 따라 불법 촬영으로 몰릴 수도 있다. 실제로 표시등을 가린 채 찍은 영상이 논란이 된 사례, 한두 번이 아니었다.

Q. 회사에서 스마트글래스 착용을 막을 수 있나?
사내 보안 정책으로 특정 구역 반입을 제한하는 건 가능하다. 금융권이나 R&D 부서 중에는 이미 카메라 달린 웨어러블 반입을 제한하는 곳도 있다.

출처: The Verge

구글, 메타, 마이크로소프트, 아마존. 이 네 회사가 한 해 AI에 쏟아붓는 돈만 수백조 원 단위다. 문제는 이 돈이 매출로 돌아오는 속도, 투자 속도를 못 따라간다는 거다. 실적 발표 시즌마다 빅테크 주가가 출렁이는 이유, 바로 여기 있다. AI 관련주 담기 전에 꼭 봐야 할 지표, 버블 신호 구별법을 정리해봤다.

AI 설비투자(CAPEX)가 눈덩이처럼 불어나는 이유

대형 언어모델 하나 학습시키고 서비스하려면 GPU 클러스터, 데이터센터, 전력 인프라까지 다 필요하다. 엔비디아 최신 GPU 한 대가 수천만 원. 이걸 수만 대씩 묶어야 파운데이션 모델 하나가 겨우 돌아간다. 여기에 데이터센터 부지, 전력 계약, 냉각 설비까지 얹으면? 기업 하나가 분기당 수십조 원을 태우는 구조가 나온다. 구글, 마이크로소프트, 메타, 아마존은 실적 발표 때마다 CAPEX 가이던스를 계속 올려잡았고, 테슬라도 자율주행·로보틱스용 AI 컴퓨팅에 돈을 쏟아붓는 중이다.

실적 발표 때마다 주가가 흔들리는 이유

투자자들이 보는 숫자는 딱 두 개다. AI 관련 매출 성장률, 그리고 그 매출 만드느라 쓴 CAPEX 규모. 이 둘 사이 격차가 벌어지면 시장은 바로 반응한다. 매출 성장은 둔화됐는데 설비투자 가이던스는 오히려 늘었다? ‘이 돈, 정말 회수되나’라는 의문이 곧장 주가에 꽂힌다. 반대로 CAPEX가 늘어도 클라우드·AI 매출이 그 이상으로 붙으면 안도 랠리가 나온다. 결국 핵심은 투자 규모 자체가 아니다. 투자 대비 매출 전환 속도, 이게 다다.

버블 신호와 정상 투자, 구별하는 3가지 기준

• 매출 성장률 대비 CAPEX 증가율: CAPEX가 매출 성장률의 2~3배 이상 빠르게 늘면, 경고등이다.
• 감가상각 기간 논쟁: GPU 수명을 3년으로 잡느냐 6년으로 잡느냐. 이 차이 하나로 회계상 이익이 크게 갈린다. 감가상각 기간 늘려서 이익 부풀리는 회사는 아닌지, 확인해볼 일이다.
• 잉여현금흐름(FCF) 추이: 영업이익은 느는데 FCF는 계속 마이너스? 그 투자, 아직 현금을 못 만들고 있다는 뜻이다.

실적 발표에서 체크할 핵심 지표

분기 실적 볼 때 순서대로 확인하면 효율적이다.

• 클라우드 부문(구글 클라우드, 애저, AWS) 매출 성장률과 영업이익률
• 경영진이 내놓는 다음 분기·연간 CAPEX 가이던스
• AI 관련 매출을 따로 공개하는지, 뭉뚱그려 발표하는지
• 부채비율과 회사채 발행 규모 변화

가이던스를 올렸는데 주가가 오히려 빠진다? 시장이 ‘그만큼 수익 못 낸다’고 의심하는 신호로 읽으면 된다.

2000년 닷컴버블과 뭐가 다른가

2000년 닷컴버블 때 통신사들은 수요 예측도 없이 광케이블망부터 깔았다. 트래픽이 안 따라오면서 감가상각 폭탄과 부실이 한꺼번에 터졌다. 지금 AI 투자는 다르다. 실사용 수요가 이미 있다는 점에서. 챗봇, 코드 생성, 이미지·영상 생성 도구 쓰는 기업과 개인, 급격히 늘었고 실제 매출로도 일부 확인된다. 다만 수요가 투자 속도를 따라잡을 수 있을지는 여전히 물음표다. 감가상각 부담에 전력 비용까지 계속 늘어나는 와중에, 토큰 단가 경쟁으로 마진 눌리는 회사도 하나둘 나오고 있다. 이건 좀 불안한 대목이다.

개인 투자자를 위한 AI 관련주 체크리스트

• CAPEX 증가율과 매출 성장률, 분기별로 비교해 격차 추이를 기록한다
• FCF 마진이 전년 대비 좋아지는지 나빠지는지 확인한다
• 경영진이 AI 투자 회수 시점을 구체적 숫자로 제시하는지 본다
• 구글, 메타, MS, 아마존, 테슬라 등 동종 기업 CAPEX 가이던스를 나란히 놓고 이상치를 찾는다
• 주가 조정이 실적 악화 때문인지, 단순 밸류에이션 부담 때문인지 구분한다

이것도 궁금하죠?

Q. CAPEX가 늘어나는 게 무조건 나쁜 신호인가?
아니다. 매출 성장이 CAPEX 증가를 앞서면 오히려 좋은 신호다. 문제는 격차가 벌어질 때, 그때뿐이다.

Q. GPU 감가상각 기간을 늘리면 회계상 이익이 왜 늘어나나?
같은 장비값을 더 긴 기간에 나눠 비용 처리하니 분기별 비용 부담이 줄고, 이익은 커 보이는 착시가 생긴다. 실제 현금흐름과는 별개 얘기다.

Q. 자율주행·로보틱스 투자도 같은 잣대로 보면 되나?
기본 원칙은 같다. 다만 자율주행은 규제 승인, 로보틱스는 양산 시점이라는 변수가 하나씩 더 붙는다는 점, 감안해야 한다.

출처: BBC Tech

문자 한 통이 온다. 발신번호는 낯설다. “죄송해요, 다른 분인 줄 알았어요.” 어색한 사과 한마디로 시작된 대화. 몇 달 뒤엔 전 재산을 날리는 결말로 끝나기도 한다. 이런 일, 요즘 생각보다 자주 벌어진다. 이 수법엔 이름부터 섬뜩하다. ‘피그 부처링(Pig Butchering)’. 돼지를 정성껏 살찌운 뒤 한 번에 도축하듯, 오랜 시간 공들여 신뢰부터 쌓고 마지막에 목돈을 통째로 가져간다는 뜻이다.

피그 부처링이란 – 이름의 유래와 정의

피그 부처링은 로맨스 스캠과 투자 사기가 붙어버린 형태다. 예전 로맨스 스캠은 애정을 미끼로 돈을 요구하는 게 전부였다면, 이건 다르다. 가짜 코인 거래소나 주식 투자 플랫폼으로 피해자를 끌고 가서, 실제 계좌에 돈을 입금하게 만든다. 짧으면 몇 주, 길면 반 년 넘게 대화를 이어가며 상대를 안심시킨다. 급하게 돈부터 요구하지 않는다. 오히려 처음엔 소액 수익을 실제로 돌려주면서 신뢰를 쌓는 쪽에 가깝다.

대화는 이렇게 시작된다 – 문자 한 통의 위력

잘못 걸려온 듯한 문자, 데이팅 앱 매칭, SNS 팔로우 요청. 접근 경로는 여러 가지지만 패턴은 비슷하다. 처음엔 사업 이야기, 여행 사진, 시시콜콜한 안부. 이렇게 대화를 이어가며 호감부터 쌓는다. 이 단계에서 상대는 절대 서두르지 않는다. 몇 주에 걸쳐 문자를 주고받다 보면 직업, 취미, 가족 이야기까지 나누게 되고, 그쯤 되면 피해자는 이미 상대를 믿을 만한 사람으로 여긴다. 영상통화를 요청하면 어떻게 될까. 카메라가 고장났다, 통신 상태가 안 좋다는 핑계로 계속 미룬다. 여기서 의심해야 한다. 실존 인물인지부터.

신뢰를 쌓는 단계 – 로맨스와 투자가 만나는 지점

관계가 어느 정도 무르익으면 투자 이야기가 자연스럽게 나온다. “내가 아는 플랫폼에서 수익 좀 봤어”라는 식으로 슬쩍 운을 띄운다. 처음엔 소액만 넣어보라고 권한다. 가짜 거래 화면은 실제 수익률보다 훨씬 높은 그래프를 보여주고, 초반 출금 요청은 순순히 처리해준다. 이 성공 경험이 미끼다. 그러다 보면 점점 더 큰 금액을 넣게 되고, 큰돈을 넣은 뒤 출금을 시도하면 세금이나 수수료 명목으로 추가 입금을 요구한다. 결국 계정 자체가 사라지거나, 연락이 뚝 끊긴다.

사기 뒤의 조직 – 강제노동 스캠 단지의 실체

이 사기, 개인 한 명이 밤새 붙잡고 운영한다고 생각하면 오산이다. 동남아시아 국경 지역엔 수백, 수천 명이 하루 종일 채팅창을 붙잡고 스캠 대본을 실행하는 대형 단지가 실제로 존재한다. 문제는 여기서 일하는 사람들 상당수가 자발적으로 온 게 아니라는 점이다. “해외 고수익 사무직”, “중국어·영어 가능자 우대” 같은 구인 광고에 속아 비행기를 탔다가 여권을 압수당하고 감금된 채 강제로 채팅 노동을 하는 사람이 셀 수 없이 많다. 위성사진으로 확인된 시설 규모만 봐도 이 산업이 얼마나 조직적으로 굴러가는지 짐작이 간다. 결국 피그 부처링의 피해자는 돈을 잃은 쪽만이 아니다. 사기를 강요당한 쪽에도 있다.

의심해야 할 신호 체크리스트

아래 항목 중 두세 개만 걸려도 경계 태세로 바꿔야 한다.

• 영상통화나 실제 만남을 계속 피하거나 핑계를 댄다
• 만난 지 얼마 안 됐는데 애정 표현이 지나치게 빠르다
• 대화 도중 투자나 재테크 이야기를 자연스럽게 꺼낸다
• 추천하는 앱이 공식 앱스토어가 아니라 링크로만 설치된다
• 출금할 때마다 세금, 보증금, 수수료 명목의 추가 입금을 요구한다
• 직업이 해외 근무, 원양어선, 무역업처럼 확인이 어려운 일이다

피해를 막는 법 – 예방과 대처

가장 확실한 예방책은 온라인에서 만난 사람과 돈 거래를 아예 하지 않는 것이다. 이미 보냈다면? 지체 없이 다음 순서로 움직여야 한다.

• 추가 송금 즉시 중단
• 대화 내용과 계좌 정보 스크린샷으로 증거 확보
• 은행 콜센터에 지급정지 신청
• 경찰청 사이버수사대(112) 또는 금융감독원에 신고
• 해외 취업 제안을 받았다면 채용 공고와 회사 정보를 별도로 검증

수법 자체는 해마다 조금씩 진화한다. 딥페이크 영상통화, AI가 쓴 것처럼 자연스러운 대화까지 등장하는 추세다. 그럴수록 기준은 단순하게 잡는 게 낫다. 만난 적 없는 사람이 돈 이야기를 꺼내는 순간, 일단 의심부터. 그 습관 하나가 결국 지갑을 지키는 가장 확실한 방법이다.

출처: Wired

회사 대표 이름으로 날아온 메일, 첨부된 견적서 파일 하나 열었다가 계좌 정보가 통째로 빠져나가는 사고. 이제 남 이야기가 아니다. 예전 피싱 메일은 티가 났다. 문법도 어색하고 번역체 냄새가 났다. 그런데 요즘 스피어피싱 메일은 다르다. 실제 동료가 보낸 것처럼 자연스럽다. AI가 문장을 매끈하게 다듬어주는 탓이다.

스피어피싱, 일반 피싱과 뭐가 다른가

일반 피싱은 수백만 명에게 똑같은 메일을 뿌리는 방식이다. 스팸 필터에 걸리기 십상이다. 스피어피싱은 다르다. 특정 인물, 특정 회사 하나를 콕 집어 노린다. 공격자는 링크드인, 회사 홈페이지, SNS 게시물을 뒤져 정보를 긁어모은다. 그렇게 모은 조각들로 실제 업무 맥락에 딱 맞는 메일을 짠다. 거래처 이름, 진행 중인 프로젝트명, 심지어 상사의 말투까지 흉내 낸 사례도 있다.

이 정도로 정교해지면 기존 스팸 필터나 키워드 차단은 무용지물이다. 최근 보안 스타트업들이 사람처럼 메일을 읽는 AI 에이전트를 내놓는 이유도 여기 있다. 문맥과 어조, 발신 패턴까지 통째로 뜯어본다.

AI가 쓴 피싱 메일, 사람은 어떻게 잡아낼까

가장 먼저 볼 건 발신자 표시 이름과 실제 이메일 주소가 일치하는지다. “김대표”라는 이름 뒤에 숨은 실제 주소가 회사 도메인과 전혀 딴판인 경우가 적지 않다. 메일 클라이언트에서 발신자 이름을 클릭하거나 마우스를 올려보면 실제 주소가 뜬다.

• 회신 주소(Reply-To)가 표시된 발신자와 다른 경우
• 도메인 철자가 미묘하게 다른 경우 (예: naver.com → naverr.com, m 대신 rn 사용)
• 평소와 다른 시간대(새벽, 주말)에 급하게 처리해달라는 요청
• 결제·송금·비밀번호 변경 등 되돌리기 힘든 행동을 재촉하는 문구

AI가 쓴 메일은 문법은 매끈한데 업무 맥락이 미묘하게 어긋나는 경우가 있다. 담당자가 이미 알고 있을 세부사항을 빠뜨리거나, 최근 대화와 안 어울리는 화제를 불쑥 꺼내는 식이다. 평소 주고받던 메일 스타일과 견줘보는 습관, 생각보다 효과가 크다.

이메일 헤더 까보면 답 나온다

의심스러운 메일은 원본 헤더를 열어보면 답이 나온다. 지메일 기준으로는 메일 우측 상단 점 세 개 메뉴에서 원본 보기를 누르면 된다. 확인할 항목은 세 가지다.

• SPF: 발신 서버가 해당 도메인이 등록한 서버인지 확인
• DKIM: 메일 내용이 중간에 변조되지 않았는지 확인하는 서명
• DMARC: SPF와 DKIM 결과를 종합해 인증 여부를 판단

셋 중 하나라도 “fail”이나 “softfail”로 뜬다면 발신지부터 의심해야 한다. 다만 이 과정, 솔직히 매번 하기엔 번거롭다. 그래서 헤더 분석과 문맥 분석을 자동으로 처리해주는 AI 기반 이메일 보안 서비스를 들여놓는 회사가 늘고 있다.

링크·첨부파일, 열기 전에 한 번 더

메일 본문이 멀쩡해 보여도 링크와 첨부파일은 항상 따로 검증하는 습관을 들이는 게 안전하다.

• 링크에 마우스를 올려 실제 주소를 미리보기로 확인한다
• 단축 URL은 미리보기 서비스로 원래 주소를 확인한 뒤 클릭한다
• 압축파일(zip), 매크로가 포함된 문서(docm, xlsm)는 실행 전 반드시 백신 검사부터 한다
• PDF나 문서 파일도 뷰어에서 바로 열지 말고 검사 후 연다
• 로그인 페이지로 연결되면 주소창의 도메인부터 확인한다

매크로 포함 문서는 열자마자 백그라운드에서 악성코드를 내려받는 경우가 많다. 목록 중에서도 위험도가 제일 높다.

회사 차원 대응은 결국 AI 탐지 도구

개인이 아무리 조심해도 매일 대량의 메일을 처리하는 조직에서는 실수가 나오게 돼 있다. 그래서 규칙 기반 필터 대신, 메일 하나하나를 사람처럼 읽고 판단하는 AI 에이전트 방식 보안 솔루션이 늘어나는 추세다. 발신자의 평소 문체, 결제 요청 패턴, 조직 내 보고 체계까지 학습해서 “이 담당자가 이런 식으로 송금을 요청할 리 없다”는 이상 징후를 잡아내는 방식이다.

구글 출신 보안 엔지니어들이 차린 스타트업들이 이런 접근으로 대규모 투자를 유치하는 사례가 이어지고 있다. 기존 체크리스트형 필터가 놓치는 미세한 이상 신호까지 잡아낸다는 점, 투자자들 눈에는 이게 매력 포인트다. 중소기업이라면 구글 워크스페이스나 마이크로소프트 365에 기본 내장된 고급 위협 방지 기능부터 켜두는 게 출발점이다.

이미 클릭했다면, 지금 해야 할 일

링크를 누르거나 첨부파일을 열어버렸다면? 당황하지 말고 순서대로 움직이는 게 낫다.

• 기기를 즉시 네트워크에서 분리한다 (와이파이 끄기, 랜선 뽑기)
• 같은 비밀번호를 쓰는 다른 계정이 있다면 전부 변경한다
• 회사 계정이라면 IT 보안팀에 즉시 신고한다 (숨기지 않는 것이 핵심)
• 은행 계좌나 카드 정보가 노출됐다면 해당 기관에 바로 연락한다
• 백신 프로그램으로 전체 검사를 돌린다

여기서 시간을 끌수록 피해가 커진다. 실수를 숨기려다 대응이 늦어져 피해가 눈덩이처럼 불어나는 경우, 실무에서 심심찮게 본다. 개인적으로는 초기 대응 속도가 피해 규모를 가르는 결정적 변수라고 본다.

핵심만 3줄 요약

발신자 주소와 도메인 철자부터 확인한다. 급하게 재촉하는 메일일수록 한 박자 쉬어간다. 링크와 첨부파일은 클릭 전에 반드시 따로 검증한다. 조직 단위라면 AI 기반 이상 탐지 솔루션 도입을 검토할 시점이다.

출처: TechCrunch