AI가 공격 복잡성 증폭
전통적인 피싱과 달리 VEC 공격은 실제 기업 이메일 스레드를 모방하는 방식으로 이뤄진다. 공격자는 AI를 이용해 이메일의 어조, 브랜드, 대화 기록을 정밀하게 재현한다. 탐지 시스템이 인식할 만한 징후가 없어 필터를 쉽게 우회하며, 심지어 신중한 직원들조차 속일 수 있다. 특히 인재 시장이 위축된 상황에서 직원들이 지급 지연 등의 문제를 빠르게 해결하려다 이런 이메일에 쉽게 반응하는 경향이 나타나고 있다.
두발은 “다단계 인증 같은 기존 보안 수단이 이러한 AI 기반 공격에는 효과를 발휘하지 못하고 있다”라며 “단순히 계정 자격 증명 검증을 넘어, 심리적 조작까지 대응할 수 있는 보안 전략 전환이 필요하다”라고 강조했다.
또한 그는 “AI 기반 VEC 공격은 기존의 경계 보안만으로는 차단할 수 없다”며, 조직이 세 가지 핵심 대응 체계를 도입해야 한다고 강조했다. 구체적으로는 “미세한 이상 징후를 감지할 수 있는 AI 기반 이메일 분석 시스템, 실시간 벤더 검증 절차, 기술적 위협뿐 아니라 사회공학적 수법까지 인지할 수 있도록 재교육받은 직원이 필요하다”라고 설명했다.
