AI 딥페이크·합성신원 사기 급증…금융권 8월20일부터 특금법 개정 대응 본격화

핵심 요약

- SAS가 'SAS 이노베이트 2026'에서 사기탐지·AML·고객확인(KYC) 데이터를 단일 환경으로 통합하는 AI 기반 금융보안 솔루션 공개 - 2026년 8월 20일 특정금융정보법 개정안 시행 앞두고 금융권의 AI 딥페이크·합성신원 대응 체계 재설계 가속화 - AI 기본법 시행 후 금융분야 AI 가이드라인과 연계한 실시간 이상거래 탐지 시스템 고도화 필요성 증대

주요 내용

금융권이 AI 기술을 악용한 신종 사기 수법에 대응하기 위해 보안 방어망을 전면 재설계하고 있다. 2026년 현재 딥페이크 기술을 활용한 신원 위조와 여러 개인정보를 조합한 '합성신원(Synthetic Identity)' 사기가 급증하면서, 기존의 분산된 사기탐지 체계로는 한계가 드러났기 때문이다.

글로벌 분석 솔루션 기업 SAS는 올해 'SAS 이노베이트 2026'에서 사기탐지(Fraud Detection)와 자금세탁방지(AML), 고객확인(KYC) 데이터를 하나의 통합 환경에서 분석하는 솔루션을 선보였다. 이는 금융기관이 여러 부서에 분산된 고객 데이터와 거래 이상징후를 실시간으로 교차 분석해 AI 기반 사기 패턴을 조기에 탐지할 수 있도록 설계됐다. 특히 생성형 AI가 만들어낸 가짜 신분증, 음성 피싱, 영상 위조 등을 식별하기 위해 행동 바이오메트릭스와 디바이스 핑거프린팅 기술이 결합됐다.

금융당국도 법적 기반을 강화하고 있다. AI 기본법과 금융분야 AI 가이드라인이 시행된 데 이어, 오는 8월 20일에는 특정금융정보법 일부개정법률이 본격 시행된다. 개정 특금법은 AI를 활용한 이상금융거래 탐지 시스템(FDS)의 정확도 기준을 명시하고, 금융회사가 AI 모델의 편향성과 오탐률을 주기적으로 검증하도록 의무화한 것이 특징이다. 이는 AI 시스템이 정상 거래를 사기로 오인해 고객 불편을 초래하거나, 반대로 실제 사기를 놓치는 사례를 방지하기 위한 조치다.

합성신원 사기는 실존 인물의 주민번호에 가짜 이름과 주소를 결합해 새로운 '유령 신원'을 만드는 수법으로, 전통적인 신원확인 시스템으로는 탐지가 어렵다. 금융권은 이에 대응하기 위해 개인정보 수집 최소화 원칙을 유지하면서도, 거래 맥락과 행동 패턴을 AI로 분석하는 '맥락 기반 인증(Contextual Authentication)' 체계를 도입하고 있다.

전문가 시각

ISMS-P 관점에서 볼 때, 금융권의 AI 기반 사기탐지 시스템 통합은 단순한 기술 고도화가 아니라 개인정보 생명주기 전반의 재설계를 의미한다. 사기탐지·AML·KYC 데이터를 단일 환경에서 처리할 경우, 개인정보의 목적 외 이용과 과도한 프로파일링 위험이 증가할 수 있다. 따라서 각 데이터 처리 목적을 명확히 구분하고, AI 모델이 접근할 수 있는 개인정보 범위를 최소화하는 '목적별 데이터 격리(Purpose-based Data Isolation)' 설계가 필수적이다. 특히 행동 바이오메트릭스 데이터는 민감정보에 준하는 보호가 필요하므로, 수집 시 별도 동의 절차와 암호화·가명처리 적용이 요구된다.

특금법 개정 시행을 앞두고 금융기관은 AI 모델의 설명가능성(Explainability)과 오탐률 관리 체계를 조속히 구축해야 한다. AI 기본법 제32조가 요구하는 '고위험 AI 시스템'에 금융 사기탐지 시스템이 포함될 가능성이 높으므로, 모델 검증 기록과 편향성 테스트 결과를 문서화하고, ISMS-P 인증 심사 시 AI 시스템의 개인정보 영향평가(PIA) 수행 여부를 점검받을 준비가 필요하다. 또한 합성신원 탐지를 위한 교차 분석 과정에서 정상 고객의 개인정보가 과도하게 프로파일링되지 않도록, AI 학습 데이터셋의 정기적인 편향성 점검과 차등정보보호(Differential Privacy) 기법 적용을 권고한다.

CPPG·ISMS-P 연계 포인트

고위험 AI 시스템의 개인정보 영향평가
AI 기본법 제32조와 개인정보보호법 제33조가 연계되어, 금융 사기탐지·AML 시스템 등 고위험 AI는 사전 영향평가 의무 대상이 된다. 평가 항목에는 AI 모델의 개인정보 처리 범위, 자동화된 의사결정의 공정성, 편향성 완화 조치, 설명가능성 확보 방안이 포함되며, ISMS-P 인증 심사 시 AI 시스템별 PIA 수행 여부와 사후 모니터링 체계를 점검한다.

목적별 접근통제와 프로파일링 제한
사기탐지·AML·KYC 데이터를 통합 환경에서 처리할 때, 각 업무 목적에 따라 AI 모델의 데이터 접근 권한을 분리해야 한다. ISMS-P 인증기준 2.8.2(접근권한 관리)와 개인정보보호법 제15조(목적 외 이용 제한)를 준수하기 위해, 역할 기반 접근통제(RBAC)와 속성 기반 접근통제(ABAC)를 결합한 '목적별 데이터 격리' 체계를 구축하고, AI 학습 시 가명·익명처리된 데이터셋을 사용해 개인 식별 위험을 최소화해야 한다.