AI와 QR 코드로 진화한 피싱…기존 보안으론 탐지 못 한다

2025년 한 해 동안 피싱 공격의 정교함과 은밀성이 급격히 강화된 것으로 나타났다. 보안업체 바라쿠다 네트웍스(Barracuda Networks)가 발표한 최신 보고서에 따르면, 피싱 공격의 대부분은 '피싱 키트'로 불리는 툴킷을 기반으로 수행됐으며, 그 수는 지난해 두 배로 증가했다. 특히 다중 인증 우회 기능, 생성형 AI 기반 콘텐츠, 진화한 회피 기법이 접목되면서 기존 보안 수단만으로는 탐지가 더욱 어려워지고 있다고 경고했다.

보고서에 따르면 2025년 발생한 대량 피싱 캠페인의 90% 이상이 서비스형 피싱 키트를 활용했다. 이로 인해 전문 지식이 부족한 공격자도 손쉽게 고도화된 공격을 감행할 수 있게 되었고, 동시에 공격의 기술적 정교함도 함께 올라간 셈이다. 최근 등장한 키트 대부분은 더 모듈화되고 은폐력이 강해졌으며 최신 보안 필터도 어렵지 않게 회피하는 수준에 도달했다.

피싱 유형은 대체로 기존 범주를 유지했지만, 공격 메시지의 현실감이 크게 강화된 점이 특히 눈에 띄었다. 생성형 AI 활용 사례가 급증하면서, 마이크로소프트(MSFT)나 도큐사인(DOCU) 같은 정상적인 서비스를 모방한 피싱 이메일의 언어 스타일, 구성, 브랜드 이미지가 실제 기업 메일과 거의 구분되지 않을 정도로 정교해졌다. 이와 함께 QR코드를 활용한 공격도 확산돼 모바일 기기로 유도하는 방식이 늘면서 보안이 취약한 장치를 노리는 탐색 경향이 두드러졌다.

기술적 수법도 진화했다. 다중 인증 우회, URL 난독화, 캡차(CAPTCHA) 기술 악용 등이 각각 전체 공격 사례의 약 절반에 포함됐으며, 악성 QR코드 삽입도 전체의 20%에 달했다. 특히 일부 캠페인에서는 여러 단계로 재구성된 QR코드를 사용해 기존 이메일 필터의 탐지를 완전히 피해갔다.

이번 보고서는 2025년에 새로 유통되기 시작한 피싱 툴킷에도 주목했다. 대표적으로 'Sneaky 2FA', 'Whisper 2FA', 'GhostFrame' 및 'Cephas' 등이 있는데, 이들 키트는 중간자 공격(MITM), 자바스크립트 난독화, 브라우저 내 피싱(BITB), 동적 도메인 생성 등 고급 기술을 통해 세션 쿠키와 자격 증명을 탈취하고 보안 탐지를 피해간다. 기존에 오랫동안 사용되던 'Mamba 2FA' 키트도 여전히 활동 중이며, 2025년 말 기준으로 관련 공격이 1,000만 건에 육박했다.

바라쿠다는 "현재의 전통적인 방어 체계만으로는 이러한 현대적 피싱 위협에 대응하기 어려운 상황"이라며, AI를 기반으로 한 보안 플랫폼 도입과 인증·접근 제어 강화, 그리고 임직원 대상의 지속적인 보안 인식 교육의 필요성을 강조했다.

2025년은 사이버 보안 생태계에 있어 피싱 기술의 질적 도약이 이뤄진 해로 기록될 가능성이 크며, 위협에 대한 조직의 대응 패러다임 또한 근본적인 변화가 요구되고 있다.