딥페이크
Deepfake
딥페이크란?
- 얼굴·목소리를 진짜처럼 합성
- 창작에도 쓰지만 사기·허위 위협
- GAN·디퓨전이 기반
딥페이크가 실제로 바꾼 것은 영상 편집 기술이 아니라 증거의 지위입니다. 예전에는 얼굴이 찍힌 영상이나 본인 목소리가 담긴 통화가 그 자체로 확인 절차를 대신했습니다. 지금은 얼굴과 목소리가 더는 신원 증명이 되지 않는다는 전제에서 업무 규칙을 다시 짜야 합니다. 임원 사칭 송금 요청이 늘어난 배경도 기술이 정교해진 탓만은 아니고, 조직이 여전히 '목소리를 들었으니 됐다'를 승인 근거로 쓰고 있다는 허점에 있습니다.
만드는 방식은 크게 셋으로 나뉩니다. 기존 영상에서 얼굴만 바꿔 끼우는 교체형, 입모양과 표정을 말에 맞춰 움직이는 립싱크형, 인물 자체를 처음부터 만들어 내는 합성형입니다. 그중 음성 복제가 진입 장벽이 가장 낮아 공개된 수십 초 분량의 목소리만 있어도 말버릇과 억양까지 따라 합니다. CG·보정·AI 생성 이미지와의 경계도 여기서 갈립니다. 실존 인물의 동일성을 빌려 쓰는 순간 창작물이 아니라 사칭의 영역으로 넘어갑니다. 그래서 대응 축도 탐지 모델 하나가 아니라, 촬영·생성 단계에서 출처 정보를 심어 두는 콘텐츠 출처 표준(C2PA 등) 쪽으로 옮겨가고 있습니다.
현장에서 가장 자주 어긋나는 지점은 '보면 티가 난다'는 믿음입니다. 눈 깜빡임이나 어색한 목덜미 경계선을 단서로 배우지만 최신 모델에는 잘 통하지 않고, 화질이 낮은 화상회의 화면에서는 그 단서마저 뭉개집니다. '우리 임원은 방송에 나간 적 없어 안전하다'는 안심도 위험합니다. 채용 홍보 영상, 유튜브 인사말, 기업설명회 녹취 몇십 초면 재료로 충분합니다. 탐지 솔루션을 깔았으니 끝났다고 보는 조직도 있는데, 탐지는 확률을 낮출 뿐입니다. 송금·계약 체결·인사 통보처럼 되돌릴 수 없는 행위는 반드시 다른 경로로 재확인하는 규칙이 함께 있어야 사고가 막힙니다.
용어는 2017년경 온라인에서 얼굴 합성 영상이 확산되며 'deepfake'(딥러닝+fake)로 붙여졌고, 생성 기술 발전과 함께 사회적 이슈가 됐습니다.
가상의 사례로 살펴보겠습니다. 임직원 620명 규모의 자동차 부품 제조사 A사는 연 매출 1,800억 원에 해외 법인 세 곳으로 자금을 보냅니다. 지난해 11월, 베트남 법인 대표를 사칭한 음성 메시지 한 통 때문에 4,200만 원이 나갈 뻔했습니다. 재무팀이 이상함을 느껴 30분을 끌며 막았지만, 송금 승인 규정에는 '책임자 유선 확인'이라는 문구가 그대로 남아 있었습니다.
- 재무팀 김 차장은 다음 주 회의에서 '그날 그 목소리, 억양이랑 말끝 습관까지 대표님이었습니다'라고 보고했고, 경영지원본부장은 규정부터 다시 보자고 지시했습니다.
- 보안 담당 이 과장은 회사 유튜브 채널과 채용 영상에서 임원 육성이 담긴 클립 17개, 총 42분 분량을 뽑아 경영진 앞에서 그대로 재생해 보였습니다.
- 재무팀은 2,000만 원 이상 해외 송금은 전화·영상 지시만으로 진행하지 못하게 바꾸고, 요청자에게 사전 등록된 개인 휴대폰으로 콜백해 합의된 확인 문구를 맞춰 보도록 절차를 고쳤습니다.
- 교육팀은 30분짜리 사내 과정을 만들어 합성 음성과 진짜 음성을 나란히 들려주고 고르게 했는데, 1차 정답률이 38%에 그쳐 참석자들이 한참 술렁였습니다.
- 반년 뒤 사칭 의심 신고는 9건 접수됐고 그중 3건이 실제 사칭으로 확인됐지만 실제 송금 피해는 0건이었고, 콜백 절차 준수율은 첫 달 61%에서 97%로 올랐습니다.