AI 보이스 피싱, 월가 대형 운용사 3곳 노렸다

월가 대형 운용사 세 곳이 임직원의 목소리를 복제한 AI 보이스 피싱 공격의 표적이 됐다. 자금과 민감 정보가 집중된 금융기관의 신원 확인 절차를 노린 사회공학 공격이다.

크립토브리핑(Crypto Briefing)은 5일 해커들이 투시그마(Two Sigma), 시타델(Citadel), 포인트72(Point72)를 겨냥해 임원과 동료의 목소리를 복제했다고 보도했다. 투시그마는 공격을 차단했으며 데이터 유출이나 시스템 영향은 없었다고 밝혔다.

시타델과 포인트72는 논평을 거부했다. 세 회사가 공격 내용을 공식 공지한 자료는 6일 한국시간 기준 공개되지 않았다.

공격 대상이 된 운용사들이 관리하는 자금 규모는 수십조원에 달한다. 투시그마는 자사 홈페이지에서 운용자산을 750억 달러 이상(약 107조원)으로 제시하고 있다.

시타델은 2026년 7월 1일 기준 투자자본을 710억 달러(약 101조원)로 공시했다. 포인트72는 2026년 4월 1일 기준 운용자산을 507억 달러(약 72조원)로 밝혔다.

AI 보이스 피싱은 공개된 음성 자료를 학습해 특정인의 목소리를 모방하는 수법이다. 공격자는 실적 발표와 콘퍼런스, 팟캐스트, 영상 인터뷰 등에 담긴 음성을 수집해 임원이나 동료를 사칭할 수 있다.

익숙한 목소리로 긴급 송금이나 원격 접근을 요청하면 직원이 사실 여부를 판단할 시간도 줄어든다. 이메일보다 전화나 음성 메시지를 신뢰하는 업무 관행이 공격에 악용되는 구조다.

딥페이크를 이용한 대규모 피해도 이미 발생했다. 영국 엔지니어링 기업 아럽(Arup)은 2024년 홍콩에서 발생한 사기 사건에 가짜 음성과 이미지가 사용됐다고 확인했다.

피해 직원은 화상회의에서 재현된 임원들의 지시에 따라 15차례에 걸쳐 돈을 송금했다. 피해액은 2억 홍콩달러, 미화 2560만 달러(약 366억원)로 집계됐다.

딜로이트 금융서비스센터는 2024년 보고서에서 미국의 생성형 AI 관련 사기 손실이 2023년 123억 달러(약 17조6000억원)에서 2027년 400억 달러(약 57조2000억원)로 늘어날 것으로 전망했다. 연평균 32% 증가를 전제로 한 추정치다.

미국 연방수사국(FBI)의 2025년 인터넷범죄 보고서에 따르면 AI 관련 민원은 2만2364건, 피해액은 약 8억9300만 달러(약 1조3000억원)였다. 암호화폐 관련 민원은 18만1565건, 피해액은 110억 달러(약 15조7000억원)를 넘었다.

암호화폐 업계도 같은 공격 위험에 노출돼 있다. 구글 위협정보그룹과 맨디언트(Mandiant)는 2026년 2월 보고서에서 북한 연계 의심 조직 UNC1069가 암호화폐와 디파이(DeFi) 분야를 겨냥해 텔레그램 계정 탈취와 가짜 줌 회의, AI 생성 영상을 활용했다고 밝혔다.

음성이나 영상만으로 상대의 신원을 확인하면 합성 콘텐츠를 걸러내기 어렵다. 금융사와 암호화폐 기업은 송금과 원격 접근, 권한 변경 요청을 사전에 등록된 연락처 등 별도 채널로 재확인하는 절차가 필요하다.