ChatGPT, Gemini 등 AI 챗봇 광고를 사칭하는 고도화된 피싱 공격이 확산 중입니다. ‘브라우저 인 더 브라우저(BitB)’ 트릭과 휴먼 오퍼레이션을 통해 사용자 계정 정보와 다단계 인증 코드를 탈취하며, 이는 한국 기업과 직장인들에게도 심각한 위협이 됩니다. 피싱 저항성 MFA 도입과 철저한 보안 교육으로 대비해야 합니다.
전문가 통찰 및 한줄평 (Insight)
최근 AI 챗봇 피싱 공격 방어 전략이 그 어느 때보다 중요해졌다.
고도화된 공격은 단순한 경고만으로는 막기 어렵다.
이제는 사용자 교육과 함께, 시스템 차원의 다층적 보안 장치를 마련하는 것이 생존의 필수 조건이다.
생성형 AI 시대가 도래하며 우리의 디지털 환경은 전에 없이 확장되고 있습니다.
ChatGPT, Gemini, Claude와 같은 AI 챗봇들은 업무 효율성을 극대화하는 강력한 도구로 자리매김했지만, 동시에 사이버 범죄자들의 새로운 먹잇감이 되고 있습니다.
특히 AI 광고 포털을 위장한 피싱 공격은 정교함과 실시간성을 무기로 우리의 민감한 정보를 노리고 있어 각별한 주의가 필요합니다.
핵심 이슈 및 배경
최근 보안 연구기관 Island의 보고서에 따르면, Google Gemini, Anthropic Claude, OpenAI ChatGPT 등 주요 AI 챗봇들의 광고 제품을 사칭하는 ‘휴먼 오퍼레이티드 피싱 플랫폼’이 확산하고 있는 것으로 드러났습니다.
이들 가짜 광고 포털은 캠페인 최적화, 지출 감사, 비즈니스 계정 연결 등 매력적인 기능을 내세우며 사용자들을 유혹합니다.
그러나 그 이면에는 오직 계정 정보와 다단계 인증(MFA) 코드를 탈취하려는 악의적인 목적만이 숨어있습니다.
이 공격의 핵심은 바로 ‘브라우저 인 더 브라우저(Browser-in-the-Browser, BitB)’ 트릭입니다.
사용자가 가짜 광고 포털의 ‘연결(Connect)’ 버튼을 클릭하면, 실제 브라우저 안에 또 다른 가짜 브라우저 창이 뜨는 방식입니다.
이 가짜 창의 주소창에는 accounts.google.com과 같은 신뢰할 수 있는 도메인이 표시되지만, 실제로는 여전히 피싱 도메인에 머물러 있습니다.
이처럼 정교하게 위장된 로그인 창을 통해 사용자가 입력하는 모든 정보와 MFA 코드가 실시간으로 공격자에게 넘어갑니다.
공격자는 탈취한 정보를 바탕으로 즉시 해당 계정에 로그인 시도하며, 피해자가 다음 어떤 MFA 인증 절차를 겪을지까지 제어하는 등 실제 사람에 의해 조종되는 치밀함을 보입니다.
이는 기존의 정형화된 피싱 공격과는 차원이 다른 위협입니다.
상세 비교 분석
이처럼 진화된 피싱 공격은 기존 방식과 어떤 차이를 보이며, 왜 더 위험한지 비교 분석해볼 필요가 있습니다.
| 특징 | 일반적인 피싱 공격 | 휴먼 오퍼레이티드 BitB 피싱 |
|---|---|---|
| 공격 방식 | 스팸 메일, 악성 링크 전파 | 가짜 광고 포털, 초대 이메일, BitB 트릭 |
| 타겟 | 불특정 다수, 민감 정보 보유자 | AI 챗봇 이용 기업, 광고 대행사 직원, 미디어 바이어 |
| 목표 | 계정 정보 탈취, 금융 사기 | 계정/MFA 코드 탈취, 광고 계정 무단 사용/판매 |
| 자동화 여부 | 높은 자동화 | 공격자 개입(Human-operated), 실시간 조작 |
| 탐지 난이도 | 비교적 낮음 (주소창, 오타 등) | 높음 (정교한 위장, 합법적 도메인 위장) |
| 방어 난이도 | 보안 솔루션, 사용자 교육 | 강화된 MFA, 심층적인 사용자 교육, 제로 트러스트 |
이 표에서 볼 수 있듯이, 휴먼 오퍼레이티드 BitB 피싱은 타겟이 명확하고 공격이 실시간으로 이뤄지며, 일반 사용자가 육안으로 탐지하기 매우 어렵다는 점에서 기존 공격보다 훨씬 치명적입니다.
특히 광고 계정 관리자나 미디어 바이어 등 특정 전문가 집단을 노린다는 점이 특징입니다.
시장 파급 효과 및 전망
이러한 AI 챗봇 피싱 공격 방어 전략의 부재는 전 세계 디지털 광고 시장에 상당한 파급 효과를 미칠 것으로 예상됩니다.
공격자들은 탈취한 광고 계정을 통해 자체 광고 캠페인을 운영하거나, 깨끗한 지출 이력이 있는 계정을 암시장에서 고가에 판매하여 수익을 창출합니다.
Mimecast 보고서에 따르면 VietCredCare, DuckTail, NodeStealer, PXA Stealer와 같은 악성코드들이 이미 대규모 광고 계정 탈취를 야기하여 ‘광고 생태계의 만연한 범죄’로 자리 잡았다고 합니다.
피해 기업 입장에서는 광고 예산이 무단으로 소진되는 것은 물론, 계정을 되찾는 데 수 주에서 수 개월이 소요될 수 있으며, 그 사이에도 광고는 계속 집행되어 추가적인 피해가 발생할 수 있습니다.
특히 관리자 계정(MCC)이 탈취될 경우, 피해는 해당 대행사의 모든 고객사에 연쇄적으로 미쳐 막대한 손실을 야기할 수 있습니다.
이러한 공격의 배후에는 Next.js와 Socket.IO를 사용하는 동일한 기술 스택과 특정 GitHub 레포지토리를 통해 노출된 이전 버전의 소스 코드를 공유하는 광범위한 피싱 플랫폼이 존재하는 것으로 파악되었습니다.
이는 단순한 개별 공격이 아닌, 조직적이고 고도화된 사이버 범죄 집단에 의한 광범위한 위협임을 시사합니다.
한국 시장에서의 시사점
국내 상황도 예외는 아닙니다.
한국은 세계적인 IT 강국이자 디지털 광고 시장 규모가 매우 큰 국가입니다.
네이버, 카카오, 삼성, LG 등 대기업은 물론 수많은 스타트업과 중소기업들이 AI 챗봇을 업무에 적극적으로 활용하고 있으며, 디지털 마케팅 에이전시들 역시 활발하게 활동하고 있습니다.
이러한 환경은 공격자들에게 매력적인 표적이 될 수밖에 없습니다.
필자가 만난 한 국내 스타트업 마케팅 담당자는 최근 팀원 중 한 명이 해외 컨퍼런스 초청 메일로 위장한 피싱 링크를 클릭할 뻔했던 경험을 이야기했습니다.
다행히 실제 계정 정보가 유출되지는 않았지만, 갈수록 교묘해지는 공격 방식에 대한 우려를 표했습니다.
실제로 국내에서도 유사한 형태의 피싱 시도가 점차 증가하고 있으며, 특히 생성형 AI 관련 정보를 빠르게 습득하려는 직장인들의 심리를 악용한 공격이 늘어날 가능성이 큽니다.
한국 직장인, 개발자, 투자자에게 미치는 실질적인 영향은 다음과 같습니다.
- 직장인 및 마케터: 광고 계정 탈취로 인한 예산 손실, 업무 마비, 기업 이미지 실추 위험이 커집니다. AI 챗봇을 통한 업무 자동화의 이점을 누리려다 오히려 더 큰 손해를 입을 수 있습니다.
- 개발자 및 보안 전문가: 더욱 복잡해지는 피싱 공격 방어를 위한 기술적 역량 강화와 선제적 대응이 요구됩니다. BitB와 같은 신종 공격 기법에 대한 이해와 방어 솔루션 개발이 필수적입니다.
- 투자자: 사이버 보안 관련 기업들의 중요성이 부각될 수 있으며, AI 서비스 제공 기업들의 보안 투자 역량이 기업 가치 평가에 중요한 요소로 작용할 것입니다.
지금 당장 한국에서 활용하거나 대응할 수 있는 실질적 전략은 다음과 같습니다.
- 사내 보안 교육 강화: BitB 공격의 원리와 특징을 명확히 설명하고, 의심스러운 링크나 로그인 페이지에 대한 경각심을 높이는 정기적인 교육이 필요합니다. 특히 로그인 전 URL과 인증서 정보를 꼼꼼히 확인하는 습관을 강조해야 합니다.
- 피싱 방지 다단계 인증(MFA) 도입: SMS 기반 MFA는 탈취 위험이 있으므로, 하드웨어 보안 키(FIDO2/WebAuthn)나 TOTP(시간 기반 일회용 비밀번호) 앱과 같이 피싱 저항성이 높은 MFA 솔루션을 적극적으로 도입해야 합니다. 이는 AI 챗봇 피싱 공격 방어 전략의 핵심입니다.
- 광고 계정 접근 권한 최소화 및 모니터링: 꼭 필요한 인원에게만 최소한의 광고 계정 접근 권한을 부여하고, 모든 광고 캠페인 변경 사항 및 예산 집행 내역을 실시간으로 모니터링하는 시스템을 구축해야 합니다. 이상 징후 발생 시 즉각적인 경보 및 대응 체계를 마련하는 것이 중요합니다.
- 제로 트러스트 아키텍처 도입 검토: 모든 접근을 신뢰하지 않고 지속적으로 검증하는 제로 트러스트 보안 모델을 도입하여, 내부 네트워크나 시스템에 대한 무단 접근을 원천적으로 차단하는 것을 고려해볼 수 있습니다. 관련 기술 트렌드 더 보기
결론
AI 기술의 발전은 우리에게 무한한 기회를 제공하지만, 동시에 새로운 위협의 가능성도 열어줍니다.
특히 AI 챗봇을 사칭한 고도화된 피싱 공격은 개인과 기업 모두에게 심각한 피해를 초래할 수 있습니다.
단순한 경고를 넘어, BitB와 같은 신종 공격 기법에 대한 이해를 바탕으로 사용자 교육을 강화하고, 피싱 저항성 MFA 도입, 계정 접근 권한 관리, 그리고 상시 모니터링 체계를 구축하는 것이 중요합니다.
선제적인 AI 챗봇 피싱 공격 방어 전략만이 안전하고 생산적인 디지털 환경을 유지하는 유일한 길입니다.
자주 묻는 질문 (FAQ)
Q: BitB(Browser-in-the-Browser) 공격이란 정확히 무엇인가요?
A: BitB 공격은 공격자가 실제 웹 브라우저 창 내부에 가짜 브라우저 창을 띄워 사용자에게 합법적인 웹사이트로 위장한 로그인 페이지를 보여주는 방식입니다.
주소창 등 모든 UI를 실제처럼 꾸며 사용자가 피싱 페이지에 있다는 사실을 인지하기 어렵게 만듭니다.
Q: AI 챗봇 광고 포털을 위장한 피싱 공격은 왜 위험한가요?
A: AI 챗봇의 높은 인지도와 업무 활용도를 악용하여, AI 관련 서비스를 찾거나 광고 캠페인을 관리하는 사용자를 특정하여 공격합니다.
BitB 트릭과 휴먼 오퍼레이션이 결합되어 매우 정교하며, 다단계 인증(MFA) 코드까지 탈취하여 계정 탈취 성공률이 높기 때문에 위험합니다.
Q: 광고 계정 탈취 시 가장 큰 피해는 무엇인가요?
A: 가장 큰 피해는 광고 예산의 무단 소진입니다.
공격자가 탈취한 계정으로 자신의 광고를 집행하거나, 암시장에 판매하여 기업에 막대한 재정적 손실을 입힙니다.
또한, 계정 복구에 오랜 시간이 걸려 업무 마비와 기업 이미지 손상으로 이어질 수 있습니다.
Q: 이러한 피싱 공격으로부터 자신을 보호하기 위한 핵심적인 방법은 무엇인가요?
A: 의심스러운 링크는 절대 클릭하지 않고, URL을 항상 꼼꼼히 확인하는 습관을 들여야 합니다.
특히 로그인 시에는 피싱 저항성이 높은 다단계 인증(MFA) 방식(예: 하드웨어 키, TOTP 앱)을 사용하는 것이 중요하며, 주기적인 비밀번호 변경과 소프트웨어 업데이트도 필수적입니다.
출처: https://thehackernews.com/2026/10/fake-chatgpt-gemini-and-claude-ad.html
— 이 글과 관련된 추천 서비스 —
* 이 포스팅은 제휴 마케팅 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받을 수 있습니다. *