### AI 음성합성으로 진화한 보이스피싱, 개인정보 유출이 '2차 무기'가 되다

유출된 개인정보와 음성데이터가 결합되면서 2026년 보이스피싱이 새로운 국면을 맞았다. AI 기술로 가족·지인을 정교하게 사칭하는 범죄가 급증하고 있으며, 기업들의 개인정보 보호 체계 강화가 시급한 상황이다.

---

본문

1. 'AI 보이스피싱' 악의적 진화 과정

2026년 적발되는 보이스피싱 사건들은 과거의 수법과 차원이 다르다. 단순 음성 변조나 스크립트 암기에 머물던 과거와 달리, 이제는 유출된 음성샘플 + 개인정보 데이터베이스 + 실시간 AI 음성합성 기술이 결합된 형태다.

경기도의 한 65세 여성은 손자라고 주장하는 사람으로부터 전화를 받았다. 손자의 음성으로 들렸고, 사고 처리비가 필요하다는 설득력 있는 명분도 제시됐다. 사기범은 피해자의 개인정보(가족 관계, 직업, 최근 이사 여부)까지 알고 있어 신뢰도를 높였다. 결국 3,000만 원을 송금하고 나서야 피사실을 깨달았다.

AI 기술이 개입되면서 음성 사기의 탐지 난이도가 급상승했다. 전문가들도 합성 음성과 실제 음성을 구분하기 어렵다고 지적한다.

2. '2차 피해' 연쇄 구조의 심각성

더욱 우려스러운 점은 개인정보 유출 사고 자체를 악용한 2차 피해다. 범죄자들은 "귀하의 정보가 유출됐습니다. 보안 확인이 필요합니다"라는 명목으로 추가 개인정보를 수집하거나, 피해자의 경계심을 흐린 후 보이스피싱을 시도한다.

한 금융사 고객들은 정보 유출을 빙자한 피싱 전화로 계좌 정보와 OTP를 빼앗겼다. 실제 유출 사실을 알리는 공식 안내와 구분하기 어려운 정교한 사칭 전화였다.

이는 단순 개인정보 도용을 넘어 신뢰 자체를 무기로 삼는 범죄로 진화했음을 의미한다.

3. 기업·기관의 대응 방안

기술적 방어

- **음성 위변조 탐지 솔루션** 도입 (은행, 통신사 콜센터) - **음성 바이오인증** 강화로 합성음성 차단 - **AI 기반 이상거래 탐지** 시스템 고도화

개인정보 보호 강화

- **최소 수집 원칙** 재정비 (가족관계, 음성정보 등 필수성 재검토) - **암호화 강도 상향** (특히 음성 샘플, 음성인식 데이터) - **개인정보 보유기간 단축** (3년→1년으로 재설정 추진)

이용자 교육

- **음성 확인 시 별도 인증 요청** 홍보 (예: "공식 번호로 콜백" 권유) - **정보 유출 공지 정책 표준화** (정부·기업 간 양식 통일) - **노년층 집중 교육** (피해자 70% 이상)

---

📌 CPPG·ISMS-P 시험 연계 포인트

항목	연계 내용
CPPG	개인정보의 최소수집·목적제한 원칙 적용 시 '음성정보'의 필수성 판단 기준 강화 필요
ISMS-P	음성데이터 암호화 기준(AES-256 이상) 및 접근통제 강화가 정보보호관리체계의 필수 요소로 재평가됨
주요 위험	개인정보 + 생체정보(음성) 결합 시 '초고도 민감정보'로 분류하여 보호 수준 상향 조정 필수

---

앞으로의 과제
개인정보 유출을 당한 피해자가 다시 한 번 범죄의 대상이 되는 악순환을 끊으려면, 기업의 사후 안내 의무 강화와 음성정보 보호 기준 마련이 시급하다. 개인정보보호위원회와 금융감독당국의 가이드라인 개정이 기대된다.