미국 어느 은행의 비대면 계좌 개설 화면. 고객이 제출한 신분증 사진과 짧은 인증 영상을 담당자가 꼼꼼히 살피며 승인 버튼을 누른다. 화면 속 인물은 자연스럽게 웃고 있고, 육안으로는 전혀 의심할 구석이 없는 평범한 모습이다.

하지만 이 평범한 승인 과정 뒤에는 이제 인간의 눈으로는 절대 잡아낼 수 없는 거대한 보안 구멍이 뚫려 있다. 우리가 '진짜'라고 믿었던 시각적 정보가 사실은 정교하게 설계된 가짜일 확률이 높음에도, 이를 걸러낼 인간의 능력은 이미 한계에 도달했기 때문이다. 이런 풍경은 이제 단순한 해프닝을 넘어 기업의 생존을 위협하는 비즈니스 위기로 빠르게 변하고 있다.

미국인 딥페이크 판별력 0.07점, '동전 던지기' 수준의 충격적 수치

신원 인증 솔루션 기업인 Veriff(베리파이)와 글로벌 리서치 기업 Kantar(칸타)가 미국, 영국, 브라질 3,000명을 대상으로 딥페이크 판별 능력을 측정하는 설문 조사를 진행했다. 결과는 예상보다 훨씬 심각했다. 미국인의 딥페이크 판별 점수는 0.07점에 그쳤는데, 이 수치가 갖는 의미를 이해하려면 기준점을 봐야 한다. 이 조사에서 0점은 아무런 근거 없이 무작위로 답을 찍었을 때 나오는 점수를 의미한다. 쉽게 말하면 가짜 영상인지 진짜인지 구분하는 능력이 동전을 던져 앞뒷면을 맞히는 확률과 거의 차이가 없다는 뜻이다. 비유하자면 안대를 쓰고 화살을 쏴서 과녁을 맞히려는 시도와 비슷하다. 시각적 정보만으로 진위 여부를 가려내는 인간의 직관이 사실상 무력해졌음을 보여주는 수치다.

더욱 아이러니한 점은 생성형 AI 개발의 글로벌 중심지인 미국에서 정작 딥페이크라는 용어에 대한 인지도가 조사 대상국 중 가장 낮았다는 사실이다. 미국 성인의 딥페이크 용어 인지도는 63%로 나타났으며, 이는 영국의 74%나 브라질의 67%보다 낮은 수치다. 딥페이크(Deepfake)는 딥러닝(Deep Learning, 컴퓨터가 데이터를 통해 스스로 학습하는 인공지능 기술)과 가짜(Fake)의 합성어로, AI를 이용해 특정 인물의 얼굴이나 목소리를 정교하게 합성한 가짜 콘텐츠를 말한다. 기술의 발원지에서 정작 그 부산물에 대한 경각심이 가장 낮다는 역설이 발생한 셈이다. 용어 자체를 모른다는 것은 잠재적 위험을 인지하지 못한다는 뜻이며, 이는 곧 검증 과정 없이 콘텐츠를 그대로 수용하게 만들어 보안 사고의 위험을 증폭시킨다.

실제 판별 능력과 스스로 느끼는 자신감 사이의 거대한 괴리는 더 치명적인 보안 구멍을 만든다. 미국 응답자의 약 50%는 자신이 딥페이크를 충분히 구별해낼 수 있다고 자신감을 보였다. 하지만 실제 테스트 성적은 이러한 주관적 믿음과 완전히 딴판이었다. 특히 주목해야 할 집단은 전체의 약 7%를 차지하는 고위험군 사용자들이다. 이들은 정작 판별력은 매우 낮음에도 불구하고 자신의 능력에 대해서는 강한 확신을 가지고 있으며, 의심스러운 콘텐츠를 접해도 별도의 사실 확인 과정을 거치지 않는 특성을 보인다. 쉽게 말하면 자신이 절대 속지 않을 무적의 방패를 가졌다고 믿으며 아무런 보호 장구 없이 전쟁터에 나가는 격이다. 이러한 과신은 사기꾼들이 가장 파고들기 좋은 취약점이 된다. 스스로를 믿는 마음이 강할수록 가짜가 보내는 미세한 신호를 찾는 노력을 멈추기 때문이다.

'육안 검토'의 몰락, 신뢰의 기준이 '인간'에서 '시스템'으로

영상 콘텐츠를 나란히 놓고 진짜와 가짜를 구별하게 했을 때 판별 결과는 거의 50대 50으로 갈렸다. 사실상 동전 던지기와 다를 바 없는 수준이다. 특히 영상에서는 가짜를 진짜로 믿거나, 반대로 진짜 영상을 가짜라고 오인하는 사례가 빈번하게 나타났다. 쉽게 말하면 인간의 시각적 판단력이 AI가 만들어낸 정교한 가짜 영상의 속도를 전혀 따라잡지 못하고 있다는 뜻이다. 비유하자면 아주 정교하게 제작된 가짜 다이아몬드를 육안으로만 보고 진위 여부를 가리려는 상황과 비슷하다. 겉모습은 완벽하게 동일하기 때문에, 결국 육안 검토라는 방식 자체가 무의미해진 셈이다.

더 심각한 문제는 자신의 판별 능력에 대해 갖는 근거 없는 자신감이다. 미국 응답자의 약 절반이 딥페이크(Deepfake, AI를 이용한 합성 영상 및 음성)를 구별할 수 있다고 자신했지만, 실제 정답률은 무작위 추측 수준인 0점에 가까운 0.07점에 불과했다. 여기서 신뢰-역량 간극(confidence-competence gap)이라는 현상이 발생한다. 이는 자신이 가짜를 잘 구별할 수 있다고 믿는 심리적 신뢰도는 매우 높지만, 실제로 이를 가려내는 기술적 역량은 턱없이 낮은 상태를 의미한다. 특히 전체의 약 7퍼센트를 차지하는 고위험군은 판별 능력은 매우 낮으면서 자신감은 오히려 높고, 의심스러운 콘텐츠를 접해도 거의 검증하지 않는 특성을 보인다. 이들은 사기꾼들이 가장 노리기 쉬운 취약한 표적이 되며, 대규모 서비스 환경에서는 수백만 개의 계정이 이 위험에 노출될 수 있다.

이러한 인간의 판단 착오는 곧바로 기업 보안 시스템의 치명적인 구멍으로 이어진다. 그동안 많은 기업이 신원 확인을 위해 활용해온 수동 검토(Manual Review, 사람이 직접 눈으로 확인하는 방식)나 자기 증명(Self-attestation, 사용자가 스스로 진짜임을 주장하는 방식)은 이제 더 이상 유효한 보안책이 될 수 없다. 검토자가 육안으로 확인하는 과정 자체가 이미 확률 게임이 되어버렸기 때문이다. 예를 들어 사용자가 제출한 신분증 사진이나 본인 인증 영상을 사람이 보고 승인하는 구조라면, 공격자가 정교한 합성 신분증이나 딥페이크 영상을 제시했을 때 이를 걸러낼 방법이 사실상 없다. 사람이 믿고 승인하는 순간, 시스템 전체의 보안망이 무너지는 구조다. 신뢰의 기준을 인간의 눈이라는 불확실한 도구가 아니라, 사람이 볼 수 없는 미세한 데이터의 왜곡과 패턴을 잡아내는 자동화된 시스템으로 완전히 옮겨야 한다.

수십억 달러의 손실, '컴플라이언스' 아닌 '핵심 인프라'가 된 신원 인증

미국 내 합성 신원 사기로 인한 연간 손실액은 이미 수십억 달러 규모에 달한다. 합성 신원 사기(Synthetic Identity Fraud, 실제 개인 정보와 가짜 정보를 교묘하게 섞어 완전히 새로운 가상 인물을 만들어내는 수법)는 단순한 개인의 피해를 넘어 기업의 실질적인 재무 손실과 운영 리스크로 직결되고 있다. 은행의 신규 고객 온보딩(Onboarding, 신규 사용자가 서비스에 안착하도록 돕는 과정)부터 계정 복구, 이커머스의 고액 거래, 기업 내부의 액세스 제어 시스템까지 사실상 모든 디지털 접점이 공격 대상이다. 신원 인증 실패는 곧바로 금전적 손실이나 기업 기밀 유출로 이어지며, 이는 기존의 보안 패치만으로는 막을 수 없는 구조적 결함이 됐다.

사용자들이 느끼는 공포와 실제 판별 능력 사이의 간극은 보안 취약점을 더욱 키운다. 미국 응답자의 79%가 개인 사기나 사칭에 대해 매우 우려하고 있지만, 정작 딥페이크를 구별해내는 능력은 동전 던지기 수준에 불과하다는 사실이 드러났다. 비유하자면, 도둑이 들어올까 봐 걱정은 많이 하지만 정작 현관문 잠금장치가 제대로 작동하는지 확인하지 않은 채 문을 열어두는 상태와 비슷하다. 특히 자신의 판별 능력을 과신하면서도 실제로는 구분을 못 하는 소수의 고위험군 사용자들이 사기꾼들의 핵심 타깃이 되며, 이는 수백만 개의 계정이 동시에 노출될 수 있는 거대한 보안 구멍을 만든다.

그동안 많은 기업이 신원 인증을 컴플라이언스(Compliance, 법규 준수) 차원에서 접근해 왔다. 쉽게 말하면 법에서 정한 최소한의 체크리스트를 채우거나 규제 기관의 가이드라인을 맞추는 식으로 운영했다는 뜻이다. 하지만 딥페이크 기술이 인간의 시각적 인지 능력을 완전히 속일 수 있는 수준에 도달하면서, 이러한 형식적인 인증 방식은 사실상 무용지물이 됐다. 이제 인증 체계는 규제를 지키기 위한 부수적인 행정 절차가 아니라, 전기나 수도처럼 서비스 운영의 근간이 되는 핵심 디지털 인프라로 완전히 재설계되어야 한다. 기초 공사가 부실한 건물에 최신 도어락만 단다고 해서 집 전체가 안전해지지 않는 것과 같은 이치다.

결국 해결책은 인간의 판단이 개입하기 전 단계에서 작동하는 AI 기반 자동화 인증 시스템을 전면에 배치하는 것이다. 사람이 눈으로 사진이나 영상을 보고 진위 여부를 가리는 방식은 이미 신뢰할 수 없는 방어선이 됐다. 비유하자면, 오염 물질이 섞인 물을 사람이 일일이 맛보고 걸러내는 것이 아니라, 초정밀 필터 시스템을 통해 유해 물질을 자동으로 걸러내는 공정을 도입하는 것과 같다. AI가 합성 미디어의 미세한 흔적을 먼저 탐지해 차단하는 자동화 레이어를 구축해야만, 인간의 인지적 한계로 인해 발생하는 보안 공백을 실질적으로 메울 수 있다.