← 블로그무료 검색
글로벌 사건 분석·통계AI 범죄 산업화유로폴·INTERPOL 보고서

유로폴 IOCTA 2026 × INTERPOL 4,420억 달러 보고서 — AI가 글로벌 범죄를 '산업화'하는 방법: 딥페이크 합성 신원·속도 격차·피해자 없는 용의자의 시대

2026-05-24·11분 읽기
유로폴 IOCTA 2026 보고서 표지 — AI·암호화·프록시가 사이버범죄를 확장하는 방식을 분석한 유럽 사이버범죄 위협 평가 보고서

2026년 3월 16일, INTERPOL은 '글로벌 금융사기 위협 평가(Global Financial Fraud Threat Assessment)' 보고서를 발표했습니다. 핵심 수치는 충격적입니다. 2025년 전 세계 금융사기 피해 총액이 4,420억 달러(약 610조 원)에 달하며, AI가 활용된 사기 작전은 기존 수법보다 4.5배 높은 수익을 올린다는 것입니다. 같은 해 4월 28일, 유로폴은 연례 인터넷 조직범죄 위협 평가(IOCTA) 2026을 공개했습니다. 제목은 '암호화·프록시·AI가 사이버범죄를 어떻게 확장하는가(How encryption, proxies and AI are expanding cybercrime)'입니다. 두 보고서는 각자 다른 기관에서, 다른 각도로 작성됐지만 동일한 결론에 도달합니다. 범죄가 '산업화(industrialization)'됐다는 것, 그리고 법 집행과 범죄자 사이의 '속도 격차(velocity gap)'가 위험한 수준으로 벌어졌다는 것입니다. 딥페이크는 이 두 보고서 모두에서 핵심 가속 기술로 지목됐습니다.

INTERPOL 4,420억 달러 보고서: 사기가 조직범죄의 '중심축'이 된 이유

INTERPOL의 글로벌 금융사기 위협 평가 보고서는 사기를 더 이상 '부수적 범죄'가 아닌 글로벌 조직범죄의 핵심으로 재정의합니다. 4,420억 달러라는 숫자는 덴마크·싱가포르·홍콩의 GDP를 상회하는 규모입니다. 더 충격적인 것은 INTERPOL이 발령한 사기 관련 국제 수배 공문(Notices and Diffusions)이 2024년 이후 54% 급증했다는 사실입니다. INTERPOL은 2025년 한 해만 1,500건 이상의 국제 사기 수사를 지원했으며, 이 과정에서 추적·동결한 자산이 11억 달러에 달합니다. 그러나 이 수치도 전체 피해 4,420억 달러에 비하면 0.25%에 불과합니다. 범죄자들이 버는 속도보다 법 집행이 회수하는 속도가 400배 느린 셈입니다.

AI가 이 격차를 더욱 벌린 핵심 원인입니다. INTERPOL 보고서가 가장 강조하는 개념은 '에이전틱 AI(agentic AI)'입니다. 에이전틱 AI는 사기 작전 전체를 자율적으로 계획하고 실행할 수 있는 AI 시스템을 지칭합니다. 표적 식별부터 맞춤형 피싱 메시지 생성, 딥페이크 화상통화 실행, 결제 유도, 자금 세탁 경로 지정까지 — 사기의 전 과정을 하나의 AI가 처리하는 시대가 됐다는 것입니다. INTERPOL은 단일 AI 운영자가 동시에 50명의 사기 피해자를 관리할 수 있다고 명시했습니다. 10초짜리 소셜미디어 음성 클립만 있으면 가족이나 상사의 목소리를 복제할 수 있고, 대형 언어 모델(LLM)은 합법적 통신과 구분할 수 없는 개인화된 피싱 메시지를 10,000건씩 자동 생성합니다. 다크웹에는 이미 '딥페이크 합성 신원 키트(synthetic identity kit)'가 서비스형으로 판매되고 있습니다. 여권 사진, 신용 이력, 딥페이크 얼굴 영상, 주소 증명 위조 문서를 한 세트로 묶어 판매하는 일종의 '범죄 SaaS'입니다.

유로폴 IOCTA 2026: '속도 격차'와 사이버범죄의 완전한 산업화

유로폴 IOCTA 2026의 핵심 경고는 '속도 격차(velocity gap)'입니다. 범죄자들은 AI를 활용해 공격 속도를 기하급수적으로 높이고 있는 반면, 법 집행 기관의 수사·기소 속도는 기술 발전을 따라가지 못하고 있다는 것입니다. 2025년 유럽에서 활동이 관측된 랜섬웨어 브랜드만 120개 이상이며, 이제는 데이터를 암호화하는 방식에서 벗어나 데이터 절취 위협 자체로 피해자를 압박하는 '순수 탈취형(pure data theft)' 모델로 전환 중입니다. 이 전환은 공격 비용을 더욱 낮춥니다. 복호화 키를 관리할 필요도, 감염 시스템을 유지할 필요도 없기 때문입니다. 2025년 단 한 해에 유럽 전역에서 데이터 침해가 관련된 랜섬웨어 사건은 전년 대비 43% 증가했습니다.

온라인 사기는 유로폴이 조직범죄의 '가장 빠르게 성장하는 분야'로 지목한 영역입니다. IOCTA 2026은 사기 네트워크가 개인·기업·금융 시스템을 표적으로 삼는 대규모 산업화된 작전을 운영하고 있다고 명시합니다. 특히 눈에 띄는 것은 '저숙련 진입 장벽 하락(lowering the barrier to entry for low-skilled actors)'이라는 표현입니다. 과거에는 정교한 딥페이크 영상을 만들거나 맞춤형 피싱 캠페인을 운영하려면 높은 기술 수준이 필요했습니다. 그러나 생성형 AI의 확산으로 기술적 능력이 없는 범죄자도 복잡한 사이버범죄를 대규모로 실행할 수 있게 됐습니다. 유로폴은 이를 '사이버범죄 서비스형(CaaS, Cybercrime-as-a-Service) 생태계의 완전한 성숙'으로 규정합니다. 딥페이크 생성 도구, 음성 클론 서비스, AI 피싱 자동화 플랫폼, 합성 신원 제조 서비스, 자금 세탁 믹서까지 — 범죄에 필요한 모든 서비스를 구독 모델로 구매할 수 있는 완전한 범죄 공급망이 형성됐습니다.

딥페이크: 두 보고서가 공통적으로 지목한 '핵심 범죄 인프라'

INTERPOL과 유로폴 두 보고서 모두에서 딥페이크가 단순한 '도구' 수준을 넘어 범죄 인프라의 핵심 구성 요소로 부상했다는 점이 주목할 만합니다. 구체적으로 두 보고서가 공통적으로 지목한 딥페이크 활용 유형은 세 가지입니다. 첫째, '딥페이크 합성 신원(synthetic identity)' — KYC(Know Your Customer) 절차를 우회하는 생체 인증 사기. 딥페이크로 생성된 얼굴 영상과 AI로 제조한 신분증으로 금융 계좌를 개설하고 범죄 수익을 세탁합니다. 유로폴은 자동화된 KYC 시스템 다수가 현재의 딥페이크 기술에 취약하다고 경고했습니다. 둘째, '실시간 딥페이크 화상통화(live deepfake video calls)' — 가족·상사·금융 전문가를 실시간으로 사칭해 계좌 이체와 투자 유도. INTERPOL은 이 수법이 전통적인 사기보다 신뢰 형성 속도가 3~5배 빠르다고 분석했습니다. 셋째, '딥페이크 음성 클론(voice cloning)' — 10초 분량의 참고 오디오만으로 가족이나 CEO의 목소리를 복제해 긴급 계좌 이체를 요구하는 변종 보이스피싱.

두 보고서에서 특히 새롭게 강조된 위협은 '딥페이크 구직자 사기(deepfake job candidate fraud)'와 '온라인 아동 성착취(OCSEA)에서의 딥페이크 활용'입니다. 구직자 사기와 관련해, 유로폴 IOCTA 2026은 딥페이크 화상 면접으로 신원을 위장한 지원자가 채용되면 기업 내부 시스템에 접근해 데이터를 유출하거나 랜섬웨어를 심는 '합성 내부자(synthetic insider)' 위협을 경고합니다. 이 범주에는 북한 IT 인력 문제가 명시적으로 포함됩니다. 아동 성착취와 관련해서는, IOCTA 2026이 AI 생성 아동 성착취물(CSAM)의 폭발적 증가를 별도 절로 다루면서, 탐지 도구와 법적 정의가 현실을 따라가지 못하고 있다는 점을 우려합니다. 2025년 IWF(Internet Watch Foundation)가 제거한 CSAM의 41%가 AI 생성물이었으며, 이는 2023년 4%에서 급증한 수치입니다.

한국에 대한 시사점: 4,420억 달러 글로벌 피해에서 한국의 위치

INTERPOL과 유로폴 보고서는 모두 아시아·태평양 지역을 딥페이크 사기의 주요 피해 지역으로 지목합니다. 한국의 경우, 경찰청 국가수사본부가 2024년 11월~2025년 10월 사이 사이버성폭력 범죄 4,413건을 집계했으며 딥페이크 관련 허위영상물 범죄가 1,553건으로 전체의 35.2%를 차지했습니다. 피의자의 90% 이상이 10~20대라는 한국의 특수성은 글로벌 통계와 뚜렷이 대비됩니다. 글로벌 딥페이크 사기는 조직범죄가 주도하는 반면, 한국의 딥페이크 피해는 또래 집단 내 젊은 층이 가해자인 경우가 많습니다. 이는 동일한 기술이 다른 사회·문화적 맥락에서 전혀 다른 피해 구조를 만든다는 것을 보여줍니다. 글로벌 대응은 금융사기·기업 침투 중심인 반면, 한국은 성적 딥페이크 처벌 법체계에서 세계 최고 수준의 정비를 이뤘습니다. 그러나 INTERPOL이 경고하는 '에이전틱 AI 금융사기'의 한국 침투는 아직 충분히 대비하지 못하고 있습니다.

두 보고서가 제시하는 정책 권고사항을 정리하면 크게 세 축입니다. 첫째, '사전 동결(pre-seizure) 메커니즘' 강화입니다. 사기 수익은 암호화폐·다중 레이어 믹서를 거쳐 빠르게 세탁되므로, 국제 공조를 통해 거래 탐지 즉시 동결할 수 있는 법적·기술적 인프라가 필요합니다. INTERPOL이 2025년 동결한 11억 달러도 표준화된 신속 동결 절차가 없었다면 불가능했을 것입니다. 둘째, 'KYC 딥페이크 탐지 의무화'입니다. 유로폴은 금융기관의 생체 인증 시스템이 딥페이크 합성 얼굴을 탐지할 수 있는 수준으로 업그레이드돼야 하며, 이를 규제 요건으로 의무화해야 한다고 권고합니다. EU AI법 제50조가 8월 발효되면 일부 이 방향으로 규제 압박이 가해지겠지만, 금융 KYC 특화 규정은 별도로 필요합니다. 셋째, '민관 데이터 공유 표준화'입니다. 범죄자들은 다크웹에서 실시간으로 정보를 공유하지만, 법 집행 기관과 민간 기업은 여전히 각자의 사일로 안에서 작동하는 경우가 많습니다. INTERPOL-UNODC 글로벌 사기 정상회의(2026년 5월)는 이 공백을 메우는 데이터 공유 플랫폼을 구축하기 위한 행동 촉구로 마무리됐습니다. 4,420억 달러 규모의 위협 앞에서 국가 단독 대응의 한계는 분명합니다. 글로벌 범죄에는 글로벌 대응이 필요하며, 그 시작은 속도 격차를 좁히는 것입니다.

참고 자료 / References