AI 피싱: 왜 기존 보안으로는 막을 수 없는가? 2800만 달러를 유치한 Ocean의 인사이트

“AI는 모든 과정을 자동화했습니다. 이제 그 규모는 훨씬, 훨씬 커졌습니다.” 오션(Ocean)의 설립자 셰이 슈워츠(Shay Shwartz)는 테크크런치(TechCrunch)와의 인터뷰에서 인공지능이 피싱 공격의 판도를 어떻게 바꾸었는지 단적으로 설명했습니다. 이 발언은 단순한 경고를 넘어, 오늘날 우리가 직면한 사이버 보안 위협의 본질적인 변화를 통찰하는 핵심 문장입니다. 과거 정교한 해커만이 수행할 수 있었던 표적 피싱 공격, 즉 스피어 피싱(spear-phishing)은 엄청난 시간과 조사, 수작업을 필요로 했습니다. 하지만 이제는 대규모 언어 모델(LLM)에게 ‘당신이 누구인지 정확히 파악하고, 방대한 공개 정보를 수집하여, 당신을 겨냥한 피싱 공격을 생성하라’는 지시만 내리면 되는 시대가 도래한 것이죠.

이러한 위협의 변화 속에서, 셰이 슈워츠는 10대 해커에서 이스라엘의 엘리트 국방 및 정보 부대에서 아이언 돔(Iron Dome) 프로젝트 관련 주요 임무를 수행하며 10년간 최고 수준의 사이버 보안 전문가로 활동한 독특한 이력을 가진 인물입니다. 이후 HPE에 인수된 스타트업 액시스(Axis)에 합류하기까지, 그는 자신의 사이버 재능을 공격이 아닌 방어에 활용해야겠다고 깨달았다고 합니다. 그리고 2년 전, 그는 직접 스타트업을 설립하겠다는 오랜 염원을 실현했습니다. 바로 AI 기반 공격에 맞서기 위해 구축된 에이전틱 이메일 보안 플랫폼(agentic email security platform) 오션(Ocean)입니다. 오션은 최근 스텔스 모드(stealth mode)를 벗어나 라이트스피드 벤처 파트너스(Lightspeed Venture Partners)가 주도하고 픽쳐 캐피탈(Picture Capital), 세르카 파트너스(Cerca Partners) 등이 참여한 라운드를 통해 총 2,800만 달러의 자금을 조달하며 업계의 주목을 받고 있습니다.

진화하는 위협: 일반 피싱 vs. AI 피싱의 치명적 차이

기존의 이메일 보안 솔루션들은 텍스트 패턴, 발신자 주소 위조, 악성 링크 감지 등 일반적인 피싱 공격을 막는 데 주력해왔습니다. 프루프포인트(Proofpoint), 마임캐스트(Mimecast)와 같은 오랜 강자들은 물론, 앱노말 시큐리티(Abnormal Security) 같은 신생 기업들도 이 분야에서 활약하고 있죠. 하지만 셰이 슈워츠는 AI가 도입된 공격은 전혀 다른 방어 접근 방식을 요구한다고 강력히 주장합니다. 이 부분이 바로 오늘날 사이버 보안 전문가들이 가장 심각하게 고민해야 할 지점입니다.

그렇다면 일반 피싱과 AI 피싱은 정확히 무엇이 다를까요?

• 일반 피싱:

  • 노력 집중: 공격자가 직접 대량의 이메일을 보내거나, 특정 대상을 정교하게 속이기 위해 많은 시간을 들여 수작업으로 정보를 수집하고 이메일 내용을 작성해야 했습니다.
  • 규모의 한계: 수작업의 특성상, 공격의 규모를 폭발적으로 늘리는 데 한계가 있었습니다. 특히 스피어 피싱은 극히 소수의 고가치 타깃에만 적용되었죠.
  • 패턴 의존: 일반적으로 알려진 피싱 패턴(오타, 긴급성 유발, 의심스러운 링크 등)에 의존하는 경우가 많아, 사용자 교육과 기존 필터로 어느 정도 방어가 가능했습니다.

• AI 피싱:

  • 자동화된 규모 확장: LLM과 같은 AI 기술은 공격자가 대상에 대한 공개 정보를 자동으로 수집하고, 이를 바탕으로 개인화되고 설득력 있는 이메일을 단 몇 초 만에 생성할 수 있게 합니다. 공격의 규모와 속도가 비약적으로 증가하는 것입니다.
  • 초개인화된 정교함: AI는 대상의 직업, 관심사, 최근 활동 등 방대한 정보를 분석하여 거의 완벽하게 위장된 이메일을 만들어냅니다. 예를 들어, 특정 프로젝트나 인물에 대한 깊은 지식을 바탕으로 자연스러운 대화 흐름을 시뮬레이션할 수 있죠. 솔직히 말해서, 이런 수준의 이메일은 아무리 조심성 있는 사람이라도 속아 넘어갈 가능성이 높습니다.
  • 컨텍스트 이해: AI는 단순히 키워드나 패턴을 넘어, 이메일의 전반적인 **맥락(context)**과 심지어는 발신자의 **의도(intent)**까지 모방하거나 왜곡할 수 있습니다. 이는 기존의 정적 필터링 방식으로는 탐지하기 매우 어렵습니다.

개인적으로는 AI 피싱이 가져올 가장 큰 위협은 **‘탐지 난이도 상승’**에 있다고 생각합니다. 과거에는 의심스러운 이메일을 구분하는 몇 가지 규칙이 있었지만, AI가 생성한 이메일은 문법적으로 완벽하고, 내용상으로도 매우 자연스러워서 육안으로는 구분하기가 거의 불가능해집니다. 이는 사용자 교육만으로는 한계가 있음을 의미하며, 결국 기술적인 방어의 중요성이 더욱 부각됩니다.

기존 방어의 한계와 오션(Ocean)의 새로운 접근 방식

그렇다면 오션은 이러한 AI 기반 공격에 어떻게 대응할까요? 셰이 슈워츠는 “모든 문에 경비원이 있는 것과 같다”며, 이것이 이메일 수신함을 ‘높은 위생 상태의 안전한 공간’으로 만드는 방법이라고 설명합니다. 오션은 모든 수신 이메일의 맥락을 철저히 분석하여 사기 및 사칭 시도를 감지한다고 주장합니다.

오션의 핵심은 **이메일 분석에 특화된 소형 언어 모델(Small Language Model, SLM)**을 구축했다는 점입니다. 이 SLM은 빠르게 이메일을 분석하고, 발신자의 의도를 파악하며, 이를 사용자의 **특정 조직 컨텍스트(organizational context)**와 비교 평가합니다.

• 기존 보안 솔루션의 한계:

  • 주로 알려진 악성 패턴, URL, 파일 첨부 등을 기반으로 필터링합니다.
  • 컨텍스트 기반의 정교한 사칭이나 사회 공학적 공격에 취약할 수 있습니다.
  • AI가 생성한 고도로 개인화된, ‘정상적인’ 것처럼 보이는 이메일에는 속수무책일 가능성이 큽니다.

• 오션의 새로운 접근 방식:

  • 컨텍스트 심층 분석: 단순히 키워드나 URL을 넘어, 이메일의 내용, 발신자의 평판, 수신자와의 관계, 현재 조직 내부의 상황 등 전반적인 맥락을 AI가 종합적으로 판단합니다.
  • 의도 파악: 발신자의 숨겨진 의도를 파악하려 시도합니다. 예를 들어, 긴급성을 가장한 요청이나 비정상적인 정보 요구 등을 탐지하는 데 중점을 둡니다.
  • 조직 컨텍스트 맞춤형 방어: 각 기업의 특성, 통신 패턴, 중요 인물 등을 학습하여 해당 조직에 최적화된 방어 체계를 구축합니다. ‘우리 회사라면 이런 식으로 소통하지 않아’와 같은 미묘한 차이를 잡아내는 것이죠. 이건 정말 놀라운 접근 방식이라고 할 수 있습니다.

업계 흐름을 보면, 이제 단순히 악성 코드나 바이러스를 막는 것을 넘어, ‘인간의 인지적 취약점’을 노리는 사회 공학적 공격에 대응하는 것이 사이버 보안의 핵심 과제로 떠오르고 있습니다. 오션의 접근 방식은 바로 이 지점을 파고들고 있습니다. AI를 이용해 인간을 속이려는 AI 공격에, 또 다른 AI를 활용해 맥락을 이해하고 의도를 파악하는 방식으로 맞서는 것은 필연적인 발전 방향이라고 생각합니다. 마치 AI가 생성한 딥페이크 이미지나 영상에 AI 기반의 진위 판별 기술이 사용되는 것과 같은 맥락이죠.

성장과 미래: 거대한 시장의 새로운 강자

오션은 이미 카약(Kayak), 킹스턴 테크놀로지(Kingston Technology), 헤드스페이스(Headspace)와 같은 고객들을 위해 매달 수십억 통의 이메일을 검토하고 있다고 밝히며 상당한 수준의 시장 검증을 보여주고 있습니다. 여기에 라이트스피드 벤처 파트너스 같은 유명 벤처캐피탈의 투자 유치는 물론, 위즈(Wiz)의 공동 창립자이자 CEO인 아사프 라파포트(Assaf Rappaport), 그리고 서비스나우(ServiceNow)에 77억 5천만 달러에 매각된 아르미스(Armis)의 공동 창립자 예브게니 디브로브(Yevgeny Dibrov)와 나디르 이스라엘(Nadir Izrael)과 같은 저명한 엔젤 투자자들의 참여는 오션의 기술력과 시장 잠재력에 대한 강력한 신뢰를 시사합니다.

이메일은 여전히 비즈니스 커뮤니케이션의 핵심이며, AI 시대에 그 중요성은 더욱 커지고 있습니다. AI 기반의 피싱 공격은 앞으로 더욱 교묘하고 대규모로 전개될 것이 분명합니다. 이런 상황에서 오션과 같은 AI 네이티브(AI-native) 보안 솔루션들은 기존의 방어 체계가 미처 감당하지 못하는 새로운 위협의 빈틈을 채워주는 중요한 역할을 하게 될 것입니다. 과연 오션이 AI 기반 이메일 보안 시장의 새로운 표준을 제시할 수 있을지, 그들의 행보가 매우 기대됩니다.

---

출처

• 원문 제목: From teen hacker to Iron Dome researcher, this founder raised $28M to fight AI phishing
• 출처: AI News & Artificial Intelligence | TechCrunch
• 원문 기사 보러가기