보이스피싱 피해 1년간 40% 급감…개보위 AI 기반 차단 시스템 효과

핵심 요약

- 개인정보보호위원회의 '보이스피싱 근절 종합대책' 시행 1년간 발생건수 40%, 피해액 43% 감소 성과 달성 - AI 기반 실시간 탐지 시스템과 개인정보 유출 차단 강화로 사전 예방 체계 구축 - 금융회사·통신사·플랫폼 사업자 간 협력 체계 강화로 범죄 대응 속도 향상

주요 내용

개인정보보호위원회(위원장 고학수)는 2026년 9월 2일 '보이스피싱 근절 종합대책' 시행 1년 성과를 발표했다. 2025년 9월 발표된 종합대책은 AI 기술 기반 실시간 탐지, 개인정보 유출 차단, 피해 예방 교육을 3대 축으로 추진되었으며, 2026년 상반기 기준 발생건수와 피해액이 전년 동기 대비 각각 40%, 43% 감소하는 성과를 거뒀다.

핵심 성과는 AI 기반 이상거래 탐지 시스템(FDS, Fraud Detection System)의 고도화에 있다. 금융회사와 통신사가 개인정보 최소 수집 원칙 하에 거래 패턴을 분석, 의심 거래를 실시간 차단하는 체계를 구축했다. 특히 개인정보 유출 경로 차단을 위해 불법 스크래핑 및 다크웹 거래 모니터링을 강화했으며, 유출된 개인정보의 2차 악용을 차단하는 시스템을 도입했다.

또한 개보위는 금융위원회, 과학기술정보통신부, 경찰청과 협력해 '보이스피싱 대응 통합 플랫폼'을 운영 중이다. 이 플랫폼은 피해 신고 접수부터 계좌 지급정지, 범죄 수사까지 원스톱으로 처리하며, 평균 대응 시간을 기존 72시간에서 24시간 이내로 단축했다. 개인정보 침해 신고와 연계해 유출 원인 분석 및 재발 방지 조치도 병행하고 있다.

개보위는 2026년 하반기부터 딥페이크 보이스피싱에 대응하기 위한 생체정보 보호 가이드라인을 마련하고, 음성·영상 합성 기술 악용 차단을 위한 기술적·제도적 보완책을 추진할 계획이다. 또한 개인정보 유출 모니터링 범위를 확대하고, 중소 금융회사 및 핀테크 기업의 보안 역량 강화를 지원한다.

전문가 시각

ISMS-P 심사 현장에서 금융회사의 FDS 시스템을 점검하면서, 보이스피싱 대응이 단순한 기술 도입을 넘어 개인정보 생명주기 전반의 보호 체계와 연결되어야 함을 확인했다. 이번 성과는 AI 탐지 기술의 정확도 향상뿐 아니라, 개인정보 수집·이용·제공 단계에서의 최소화 원칙 준수, 접근 권한 통제, 암호화 적용이 종합적으로 작동한 결과다. 특히 금융거래 정보와 통신 메타데이터를 연계 분석하는 과정에서 개인정보 처리 목적 명확화와 정보주체 동의 확보가 법적 리스크 관리의 핵심이었다.

기업 실무 측면에서는 보이스피싱 대응을 위한 개인정보 처리가 '정당한 이익' 근거로 해석될 수 있는지, 가명·익명 처리 기술을 어떻게 적용할지가 쟁점이다. 2026년 하반기 예고된 딥페이크 대응 가이드라인은 생체정보(음성, 안면) 처리에 대한 새로운 보호 의무를 부과할 가능성이 크다. 금융회사와 통신사는 생체정보 수집 시 별도 동의 확보, 암호화 저장, 보유기간 제한 등 ISMS-P 인증기준 2.8.3(고유식별정보 및 민감정보 보호) 준수를 사전에 점검해야 한다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2 (개인정보 수집 시 동의) 및 개인정보보호법 제15조
- AI 기반 FDS 운영 시 개인정보 수집·이용 목적을 '이상거래 탐지 및 보이스피싱 예방'으로 명확히 특정하고, 정보주체에게 사전 고지·동의를 받았는지 확인
- 금융거래 정보와 통신 메타데이터 연계 분석 시 제3자 제공 동의(법 제17조) 및 목적 외 이용(법 제18조) 예외 사유(법령상 의무 이행 등) 근거 문서화 여부 점검
- 심사 시 개인정보 처리방침, 동의서 양식, FDS 운영 규정의 일관성을 교차 검증

2. 인증기준 2.8.6 (개인정보 처리업무 위탁) 및 개인정보보호법 제26조
- 보이스피싱 대응 통합 플랫폼 운영 시 금융회사-통신사-AI 솔루션 제공자 간 개인정보 처리 위탁 계약 체결 여부 확인
- 수탁자 관리·감독 의무(법 제26조 제3항) 이행: 연 1회 이상 보안점검, 재위탁 통제, 개인정보 접근 권한 최소화 기록 점검
- 위탁 업무 종료 시 개인정보 파기 또는 반환 절차 수립 및 이행 증적(파기 확인서, 로그) 검증

3. 인증기준 2.8.3 (고유식별정보 및 민감정보 보호) 및 개인정보보호법 제23조
- 딥페이크 대응을 위한 음성·안면 등 생체정보 수집 시 별도 동의(법 제23조 제1항) 확보 및 암호화 저장(ISMS-P 2.5.3) 여부 확인
- 생체정보 보유기간 명시 및 파기 절차 자동화 여부, 접근 로그 기록 및 주기적 검토 체계 점검
- 다크웹 모니터링 시 수집된 유출 개인정보(주민번호 등 고유식별정보)의 안전한 처리 및 즉시 파기 절차 검증

위반 조항

이번 보도자료는 정책 성과 발표이므로 직접적인 법 위반 사례는 없으나, 보이스피싱 대응 과정에서 발생 가능한 개인정보보호법 위반 조항은 다음과 같다.

개인정보보호법 제15조 제1항(개인정보의 수집·이용)
- AI FDS 운영 시 정보주체 동의 없이 개인정보를 수집·이용할 경우 위반
- 과태료: 5천만원 이하(법 제75조 제2항 제1호)

개인정보보호법 제17조(개인정보의 제공)
- 금융회사-통신사 간 개인정보 제공 시 동의 미확보 또는 목적 외 제공 시 위반
- 형사처벌: 5년 이하 징역 또는 5천만원 이하 벌금(법 제71조 제1호)

개인정보보호법 제23조(민감정보의 처리 제한)
- 생체정보(음성, 안면) 수집 시 별도 동의 미확보 또는 암호화 미적용 시 위반
- 과태료: 3천만원 이하(법 제75조 제2항 제4호)

개인정보보호법 제59조(금지행위)
- 다크웹 모니터링 중 수집한 유출 개인정보를 2차 목적으로 이용·제공 시 위반
- 형사처벌: 5년 이하 징역 또는 5천만원 이하 벌금(법 제70조)

CPPG·ISMS-P 연계 포인트

1. AI 기반 개인정보 자동화 처리와 정보주체 권리(CPPG 핵심)
- 개인정보보호법 제37조의2(자동화된 결정에 대한 정보주체 권리)는 AI FDS가 보이스피싱 의심 거래를 자동 차단할 때 정보주체가 설명을 요구하거나 이의를 제기할 권리를 보장한다. 금융회사는 자동화 결정 사실을 고지하고, 알고리즘 판단 근거(이상 패턴 유형)를 설명할 수 있는 체계를 마련해야 한다. ISMS-P 인증심사 시 '자동화 처리 고지 절차', '이의제기 접수·처리 기록'을 증적으로 요구한다.

2. 개인정보 유출 통지 의무와 사후 조치(ISMS-P 2.9.1)
- 보이스피싱 범죄에 악용된 개인정보 유출 발견 시, 개인정보보호법 제34조에 따라 정보주체 및 개보위에 지체 없이 통지해야 한다. 유출 경위, 유출된 개인정보 항목, 피해 최소화 조치(계좌 모니터링 강화, 비밀번호 변경 권고 등)를 포함해야 하며, ISMS-P 심사 시 '유출 대응 매뉴얼', '통지 이행 증적', '재발 방지 대책'을 필수 점검한다. 다크웹 모니터링으로 유출 정보를 사전 탐지한 경우에도 통지 의무가 발생할 수 있으므로, 법무팀과 사전 검토가 필요하다.

---

[필자: 백남정 공학박사·ISMS-P 선임심사원 30회]
본 기사는 개인정보보호위원회 보도자료(2026.9.2)를 기반으로 ISMS-P 인증 실무 관점에서 재구성했습니다.