← 블로그무료 검색
딥페이크 탐지/방어 기술금융 사이버보안신원 인증 기술

World ID·HKMA 샌드박스 — 금융권 딥페이크 탐지 최전선: Money20/20과 이탈리아 1,580억원 AI 사기 2026

2026-10-20·11분 읽기
금융 딥페이크 사기 방어 기술 — World ID Money20/20 출시, HKMA GenAI 샌드박스 딥페이크 탐지, 이탈리아 AI 음성 복제 사기를 다루는 이미지

2026년 10월 셋째 주, 금융권의 딥페이크 탐지 기술 경쟁이 세 개의 전선에서 동시에 전개됐습니다. 첫째, Sam Altman이 공동 창업한 World가 10월 18일 라스베이거스 Money20/20에서 은행·금융기관을 위한 'World ID 뱅킹 스위트'를 공개했습니다. 양자보안 암호 기반 '인간 증명(Proof of Human)' 기술을 Zoom 화상 통화에 통합해 고액 송금 승인 과정의 딥페이크 사칭을 원천 차단하겠다는 구상입니다. 18개국 1,800만 명이 이미 검증된 World ID 생체 인증 인프라가 금융 산업으로 확장됩니다. 둘째, 홍콩 금융당국(HKMA)이 운영하는 'GenAI 샌드박스' 2기(2기 참여 은행 20곳, 기술 파트너 14곳, 프로젝트 27건)에서 핑안디지털뱅크(Ping An Digital Bank)가 딥페이크 탐지 정확도 96% 이상을 달성했다고 10월 15일 발표됐습니다. HSBC는 테스트에 사용된 약 20건의 딥페이크 시도를 전건 차단했습니다. 셋째, 이탈리아 최대 사모은행 피데우람(Fideuram, Intesa Sanpaolo 계열)이 AI 음성 복제를 이용한 사기로 약 9,500만 유로(한화 약 1,580억원)를 탈취당한 사건이 10월 초 공개됐습니다. 딜로이트는 미국의 AI 활용 금융사기 피해액이 2023년 123억 달러에서 2027년 400억 달러까지 증가할 것으로 전망합니다. 연구실의 딥페이크 탐지 기술이 실제 금융 산업으로 이식되는 격변의 현장을 살펴봅니다.

Money20/20의 폭탄 선언 — World ID가 Zoom에 입장하다

2026년 10월 18일 라스베이거스에서 개막한 세계 최대 핀테크 컨퍼런스 Money20/20에서 World(구 Worldcoin)는 은행·금융 산업에 특화된 신원 인증 플랫폼 'World ID 뱅킹 스위트'를 공개했습니다. 발표의 핵심은 세 가지 모듈입니다. 첫 번째는 World ID App입니다. 사용자가 개인식별정보(PII)를 외부에 노출하지 않고 영지식(zero-knowledge) '인간 증명'을 제출할 수 있는 신원 지갑입니다. 계좌 개설, 고액 이체 승인, 기업 임원 신원 확인 등 금융 거래에서 '이 요청을 보낸 당사자가 실제 살아있는 인간인가'를 암호학적으로 증명합니다. 두 번째는 World ID for Zoom입니다. 기업 재무 통화(treasury call)나 이사회 화상 회의처럼 고위험 커뮤니케이션 채널에서 딥페이크 사칭을 실시간으로 차단합니다. 사용자는 World의 홍채 스캐너 '오브(Orb)' 스테이션에서 인증을 받고 World ID를 Zoom 계정에 연결하면, Zoom 화상 통화 중 화면에 '인간 배지(Human Badge)' 표시가 나타납니다. 이 배지를 갖춘 참가자는 딥페이크 생성 AI가 아닌 실제 검증된 인간임이 암호학적으로 확인된 것입니다.

세 번째 모듈인 World ID for Agents는 금융 서비스의 AI 에이전트 확산에 대응합니다. 사용자가 자신의 검증 자격증명을 자율 AI 시스템에 위임할 수 있게 해주며, AI 에이전트가 거래 실행이나 신용 평가 등의 금융 업무를 수행할 때 해당 에이전트가 검증된 인간 위임 하에 작동한다는 암호학적 증명을 제공합니다. 기술 기반은 양자보안(quantum-secure) 암호 증명 검증입니다. 기존의 정적 신원 매칭 대신, 개인이 PII를 노출하지 않고 영지식 '인간 증명'을 보유·관리·제출할 수 있게 하는 방식입니다. Bain Capital, Pantera Capital, VanEck Funds, OpenExchange, Outtake 등이 설계 파트너로 참여했습니다. 이미 전 세계 18개국, 1,800만 명이 World ID 검증을 완료한 상태입니다. 딜로이트의 분석에 따르면 미국의 AI 활용 사기 피해액은 2023년 123억 달러에서 2027년 400억 달러로 증가할 것으로 예상됩니다. 포춘 500대 기업의 61%, 전체 기업의 47%가 임원·고객 사칭 위협을 경험했다고 보고합니다. World ID가 그리는 미래는 간단합니다. 화상 통화 상대방이 딥페이크인지 확인하기 위해 별도의 탐지 소프트웨어를 돌리는 것이 아니라, 상대방이 이미 암호학적으로 '인간임이 증명된' 상태로 통화에 참여하는 것입니다. 딥페이크를 탐지하는 대신 딥페이크가 참여 자체를 못 하도록 인증 구조를 바꾸는 접근법입니다.

HKMA GenAI 샌드박스 2기 — 핑안 96%, HSBC 딥페이크 전건 차단

10월 15일 발표된 홍콩 금융관리국(HKMA) GenAI 샌드박스 2기 결과는 은행권 딥페이크 탐지 기술의 현재 수준을 보여주는 중요한 벤치마크입니다. HKMA는 2024년 홍콩 사이버포트 관리회사와 공동으로 GenAI 샌드박스를 출범했습니다. 1기(2024년)에 이어 2기에는 20개 은행, 14개 기술 파트너가 참여해 27개 프로젝트를 진행했습니다. 프로젝트는 사기 방지, 고객 서비스, 운영 효율화 세 영역에 집중됐으며, 딥페이크 탐지는 사기 방지 영역의 핵심 과제로 포함됐습니다. 핑안디지털뱅크(Ping An Digital Bank)는 OneConnect Financial Technology와 공동 개발한 '안티프로드 전략 플랫폼(Anti-Fraud Strategy Platform)'으로 딥페이크 탐지 정확도 96% 이상을 달성했다고 발표했습니다. 이 플랫폼은 고객 신원 확인 과정에서 얼굴 인식과 실시간 셀피 평가를 결합해, 조작되거나 합성된 얼굴 이미지를 탐지합니다. 구체적으로는 고객이 비대면 KYC(Know Your Customer) 과정에서 제출하는 셀피가 생성형 AI로 만들어진 합성 얼굴인지, 아니면 실제 살아있는 사람의 이미지인지를 실시간으로 판별합니다.

HSBC의 결과는 더욱 인상적입니다. HSBC는 딥페이크 탐지 시스템 테스트에 사용된 약 20건의 딥페이크 시도를 전건 차단했다고 밝혔습니다. 'None of approximately 20 deepfake attempts used in testing bypassed its security controls'라는 표현이 HKMA 공식 발표에 사용됐습니다. HSBC는 또한 AI 번역 시스템도 함께 테스트해 다국어 금융 서비스의 정확성도 검증했습니다. 이 샌드박스 이니셔티브의 배경에는 홍콩에서 실제 발생한 충격적인 딥페이크 금융사기 사례가 있습니다. 2024년 영국 엔지니어링 기업 Arup의 직원이 화상 회의에서 회사 임원들로 분장한 딥페이크 참가자들에게 속아 2,500만 달러(약 340억원)를 사기 계좌로 송금한 사건입니다. 이 사건 이후 홍콩 금융권은 딥페이크 탐지 기술 도입에 속도를 냈으며, HKMA의 샌드박스 프로그램이 그 중심축을 담당하고 있습니다. 샌드박스 참가 기업들은 자동화된 AI 출력 검증과 정교한 디지털 사기에 대한 복원력 시뮬레이션을 포함한 AI 거버넌스 조치에도 접근할 수 있습니다. 이 결과들이 의미하는 바는 분명합니다. 금융권의 딥페이크 탐지 기술은 연구 단계를 넘어 실전 배포 단계로 진입하고 있으며, 그 성능도 통제된 테스트 환경에서는 96~100%에 근접하고 있습니다. 다만 이것이 실제 사기 공격 환경에서도 동일하게 유지되는지는 지속적인 현장 데이터 수집과 검증이 필요합니다.

이탈리아 피데우람 1,580억원 사기 — AI 음성 복제의 실전 공격

새로운 딥페이크 방어 기술들이 출시되는 사이, 기존 방어 체계의 취약성을 단적으로 보여주는 사건이 10월 초 이탈리아에서 터졌습니다. 이탈리아 최대 사모은행이자 Intesa Sanpaolo 그룹 계열의 피데우람(Fideuram)이 약 9,500만 유로(한화 약 1,580억원) 규모의 AI 음성 복제 사기 피해를 입었습니다. 당국의 수사 결과 공개된 공격 방식은 다음과 같습니다. 공격은 WhatsApp 메시지로 시작됐습니다. 피데우람 회장 Paolo Molesini에게 CEO Carlo Messina를 사칭한 문자가 전송됐습니다. '해외 거래에 긴급 도움이 필요하다'는 내용이었습니다. 첫 번째 접촉에서 Molesini 회장이 의구심을 가지자, 두 번째 단계로 로펌 선임 변호사의 목소리를 AI로 복제한 전화가 걸려왔습니다. 이 AI 음성 복제가 회장의 의심을 불식시켜 중국과 홍콩의 해외 계좌로의 이체를 승인하게 만들었습니다. 밀라노 검찰은 유럽 외 거주 외국인 1명을 컴퓨터 사기죄 피의자로 수사 중이며, 약 5,300만 유로(약 880억원)가 회수됐으나 나머지 4,200만 유로(약 700억원)는 아직 미회수 상태입니다.

이 사건에서 주목할 점은 공격에 사용된 기술의 수준입니다. 전형적인 딥페이크 비디오 사칭이 아닌, 오디오 음성 복제 단독으로 1,580억원 규모의 사기가 성공한 것입니다. 딥페이크 방어 논의가 주로 얼굴 영상 조작에 집중되는 동안, 음성 복제 공격은 훨씬 낮은 기술적 장벽으로 동일한 결과를 낳고 있습니다. 현재 상용화된 음성 복제 서비스들은 단 수 초의 샘플 음성만 있으면 특정 인물의 목소리를 복제할 수 있습니다. AI 보안 기업 identifAI는 이 사건을 계기로 기업들이 '다층적 암호화 미디어 인증(multi-layered cryptographic media authentication)'과 '지속적 행동 생체인증 방어(continuous behavioral biometric defenses)'를 병행해야 한다고 강조했습니다. FTC 사칭 규칙(Impersonation Rule)과 인터폴 지침이 이러한 방어 체계 구축의 규제적 도구로 제시됐습니다. 특히 '다층적 암호화 미디어 인증'이라는 접근은 World ID의 방향성과 정확히 일치합니다. 단순히 딥페이크를 탐지하는 소프트웨어 레이어를 더하는 것이 아니라, 커뮤니케이션 채널 자체에 암호학적 신원 보증을 내장하는 것입니다. 피데우람 사건은 이 필요성을 1,580억원짜리 증거로 보여줍니다.

한국 금융권·수사기관에 대한 시사점

2026년 10월에 동시 발생한 이 세 가지 사건은 한국 사회에 여러 중요한 시사점을 던집니다. 첫째는 금융권 KYC 프로세스의 딥페이크 저항성 평가입니다. 한국은 세계에서 손꼽히는 비대면 금융 서비스 시장입니다. 인터넷뱅킹, 비대면 계좌 개설, 모바일 금융 거래가 일상화된 환경에서 AI 생성 합성 셀피를 이용한 신원 도용 시도가 언제든 집중될 수 있습니다. HKMA GenAI 샌드박스가 시연한 것처럼, 상용 탐지 시스템의 정확도는 통제 환경에서 96% 이상까지 올라갈 수 있습니다. 하지만 금융감독원과 금융결제원이 국내 비대면 신원 확인 시스템들을 동일한 수준으로 테스트했는지는 불투명합니다. DHS RIVR 방식의 공개 성능 평가 체계를 국내에 도입해 국내 금융기관들의 딥페이크 저항성을 투명하게 공개하는 것이 필요합니다. 특히 고령층을 대상으로 한 보이스피싱이 이미 심각한 사회 문제인 한국에서, AI 음성 복제를 활용한 '차세대 보이스피싱'은 피데우람 사례처럼 언제든 고위직 임원 대상 대형 사기로 발전할 수 있습니다. 기업 임원들이 수신하는 의심스러운 전화 통화에 대한 AI 음성 복제 인식 교육, 그리고 고액 이체 승인 프로세스에 다층 인증 의무화가 시급합니다.

둘째는 딥페이크 성범죄 피해자 지원 맥락에서의 기술적 시사점입니다. World ID가 구현하는 '신원 진위성의 암호학적 증명'이라는 개념은 딥페이크 성범죄 피해자의 법적 대응에도 응용 가능합니다. 현재 딥페이크 성범죄 수사에서 가장 어려운 문제 중 하나는 피해자가 자신의 이미지가 무단으로 사용됐음을 증명하는 것입니다. 피해자의 동의 없이 생성된 합성 콘텐츠임을 입증하는 기술적 수단이 법적 증거로 인정받는 체계가 필요합니다. C2PA(Coalition for Content Provenance and Authenticity)의 콘텐츠 자격증명 표준이나 World ID와 같은 암호학적 신원 인증 기술이 '내가 이 콘텐츠 생성에 동의하지 않았다'는 것을 기술적으로 입증하는 데 활용될 수 있습니다. 방송통신위원회, 과학기술정보통신부, 여성가족부가 이 영역에서 기술 기업들과 공동으로 피해자 지원 플랫폼을 설계할 필요가 있습니다. 셋째는 한국형 딥페이크 탐지 사이버보안 산업 육성입니다. 현재 한국 딥페이크 탐지 기술 생태계는 해외 솔루션 의존도가 높습니다. HKMA가 샌드박스 프로그램을 통해 자국 금융기관과 기술 기업들의 딥페이크 탐지 역량을 집중 육성한 것처럼, 한국도 금융보안원(FSI), 한국인터넷진흥원(KISA)을 중심으로 국내 딥페이크 탐지 기술 스타트업과 금융기관의 공동 테스트·인증 환경을 조성해야 합니다. 딥페이크 탐지 기술의 국산화는 단순한 산업 정책 차원이 아니라, 국가 금융 보안 인프라의 핵심 과제입니다.

참고 자료 / References