오디오 3초면 은행 창구 직원이나 회계 담당자, 심지어 사업주의 배우자까지 속일 만큼 그럴듯하게 목소리를 복제할 수 있습니다. 이는 사이버 보안 콘퍼런스에서나 나올 법한 가상의 이야기가 아닙니다 — 오늘날 상용 음성 모델이 기본적으로 갖춘 능력이며, 바로 이 위협 때문에 체이스가 고객의 로그인 및 자금 이동 승인 방식을 조용히 재설계하게 되었습니다.
2026년 초, 체이스는 chase.com 로그인 및 비밀번호 재설정에 패스키를 도입하기 시작했으며, 이와 함께 거래 당사자가 아닌 제3자에게 고위험 송금을 알려주는 '신뢰할 수 있는 연락처(Trusted Contact Person)'라는 별도 기능도 함께 선보였습니다. 두 기능 모두 은행 업계 전문지 밖에서는 큰 화제가 되지 않았지만, 이 둘을 합쳐 보면 AI 기반 사기가 은행들로 하여금 계좌 보안을 근본부터 다시 설계하게 만들었다는 가장 명확한 신호라 할 수 있습니다 — 그리고 바로 이 로그인 화면을 통해 실제 운영 자금을 움직이는 소상공인이야말로 무엇이, 왜 바뀌었는지 이해함으로써 가장 큰 이득을 얻을 수 있는 사람들입니다.
은행 로그인 화면이 갑자기 달라진 이유
지난 20년간 온라인 뱅킹에서 '충분히 안전하다'는 것은 비밀번호에 문자 메시지 인증 코드를 더한 정도를 의미했습니다. 이 방식이 무너지고 있는 데는 분명한 이유가 있습니다. AI가 그 사슬에서 가장 약한 고리 — 속아 넘어갈 수 있는 사람 — 를 훨씬 더 쉽게 속일 수 있게 만들었기 때문입니다.
JP모건체이스의 상무이사 고란 론카릭(Goran Loncaric)에 따르면, 패스키는 개인 암호화 키가 고객의 기기를 절대 벗어나지 않기 때문에 이 취약점을 메워줍니다. 패스키는 "추측하거나, 재사용하거나, 피싱으로 빼낼 수 없다"는 점이 중요한데, 이는 피싱과 크리덴셜 스터핑 공격이 가짜 로그인 페이지에 비밀번호를 입력하도록 속이거나 다른 유출 사고에서 새어 나온 비밀번호를 재사용하는 방식에 의존하기 때문입니다. 패스키는 입력할 것이 없으므로 훔칠 것도 없습니다.
'신뢰할 수 있는 연락처' 기능은 완전히 다른 유형의 공격, 즉 로그인 자체가 아니라 그 이후에 걸려오는 전화를 노리는 사기를 겨냥합니다. 체이스는 사기범이 거래처, 임원, 심지어 가족을 사칭해 사업주에게 전화를 걸어 긴급 송금을 승인하도록 압박하는 딥페이크 및 음성 스푸핑 사기에 대응하기 위해 이 기능을 만들었습니다. 신뢰할 수 있는 연락처를 지정해 두면, 고위험 송금이 발생할 때 계좌나 잔액에 접근 권한이 없는 이 제3자에게 알림이 전송되어, 돈이 빠져나가기 전에 "잠깐, 이거 정말 본인이 승인한 거 맞아?"라고 확인할 기회를 얻게 됩니다.
이 기능이 등장한 배경이 된 위협
은행들이 미루지 않고 지금 움직이는 이유는 숫자를 보면 알 수 있습니다.
이제 음성 복제에는 특별한 접근 권한이나 값비싼 장비가 필요하지 않습니다. 상용 음성 모델의 무료 체험판과 링크드인 영상이나 회사 팟캐스트에서 뽑아낸 약 30초 분량의 음성, 그리고 전화 한 통이면 누군가의 목소리를 그럴듯하게 복제하기에 충분합니다. 이 낮은 진입장벽은 사기 통계에도 그대로 드러납니다. 지난 3년간 딥페이크 관련 사기 시도는 2,000% 넘게 증가했고, AI 도구의 접근성이 높아진 2025년에는 보이스 피싱(비싱) 공격이 특히 수백 퍼센트 급증했습니다.
중소기업이 떠안는 재정적 위험은 결코 추상적이지 않습니다. SMB(중소기업) 부문에서 딥페이크를 이용한 사기로 인한 건당 손실액은 보통 $30,000에서 $400,000에 달하며, 대개 CEO나 거래처, 은행 담당자를 사칭해 긴급 송금을 요청하는 단 한 번의 그럴듯한 전화나 영상 통화만으로도 발생합니다. 은행 자체도 예외는 아닙니다. 금융기관들은 음성 딥페이크 사고 한 건당 평균 약 $600,000의 손실을 보고하고 있으며, 그중 거의 4분의 1은 $1 million이 넘는 손실을 입었습니다.
바로 이런 맥락에서 '로그인 절차를 하나 더 추가하는 것'과 '신뢰할 수 있는 연락처를 지정하는 것'은 더 이상 번거로운 일이 아니라 상식적인 선택으로 느껴지기 시작합니다.
패스키가 실제로 바꾸는 것
한 번도 설정해본 적이 없다면, 패스키는 수년간 외워온 비밀번호에 비해 막연하게 느껴질 수 있습니다. 하지만 실제로는 더 복잡한 게 아니라 오히려 더 간단합니다.
- 기억하거나 입력할 비밀번호가 없습니다. 휴대폰이나 노트북 잠금을 해제할 때 이미 사용하고 있는 생체 인식이나 PIN — Face ID, 지문, 또는 기기 암호 — 으로 패스키의 잠금을 해제합니다.
- 서버에 훔칠 대상이 저장되지 않습니다. 기존 비밀번호는 (이상적으로는 해시 처리되어) 회사 서버에 저장되는데, 바로 이 부분이 유출 사고에서 노출되는 지점입니다. 패스키의 개인 키는 기기를 벗어나지 않으므로, 애초에 공격자가 훔칠 비밀번호 데이터베이스 자체가 존재하지 않습니다.
- 피싱 페이지가 더 이상 통하지 않습니다. 가짜 "체이스 로그인" 페이지는 사용자가 입력하는 비밀번호를 가로챌 수 있습니다. 하지만 패스키는 가로챌 수 없습니다. 패스키는 실제 chase.com 도메인에 암호학적으로 묶여 있어서 사칭 사이트에는 아예 반응하지 않기 때문입니다.
- 신뢰성도 수치로 입증됩니다. FIDO 얼라이언스의 독립적인 도입 데이터에 따르면 패스키 로그인 성공률은 약 93%인 반면 비밀번호는 63%에 그치는데, 이 차이는 대부분 사람들이 비밀번호를 잊어버리거나 잘못 입력하는 데서 비롯됩니다.
이 중 어떤 것도 기술적인 지식을 요구하지 않습니다. 은행에서 패스키를 지원한다면, 이를 켜는 것은 보통 2분이면 끝나는 설정 변경일 뿐이며, 익숙해질 때까지는 비밀번호를 대체 수단으로 남겨둘 수도 있습니다.
체이스만의 문제가 아닙니다
체이스는 자산 기준 미국 최대 은행이기 때문에 그 움직임이 업계 전체의 흐름을 이끄는 경우가 많지만, 혼자만의 움직임은 아닙니다. 패스키 도입은 최근 기억에 남는 그 어떤 보안 기술보다도 빠르게 주류로 자리 잡았습니다. FIDO 얼라이언스가 발표한 2026년 월드 패스키 데이(World Passkey Day) 보고서에 따르면 전 세계적으로 약 50억 개의 패스키가 실제로 사용되고 있으며, 이제 90%의 사람들이 이 기술을 인지하고 있고 제공될 경우 약 절반이 정기적으로 사용하고 있습니다. 기업 부문에서는 68%의 조직이 직원 로그인에 패스키를 도입했거나 적극적으로 도입을 진행 중입니다.
이는 소상공인에게 중요한 의미를 갖습니다. 매일 사용하는 계정들 — 은행, 급여 처리 업체, 회계 소프트웨어, 도메인 등록기관 — 이 보도자료로 발표하지 않더라도 패스키 옵션을 점점 더 많이 제공하고 있기 때문입니다. 실질적인 대응 방법은 이메일 공지를 기다리기보다 계정 보안 설정을 주기적으로 직접 확인하는 것입니다.
딥페이크나 비싱 시도를 알아채는 방법
기술만으로는 모든 것을 막을 수 없습니다. 특히 모든 거래처와 은행이 더 강력한 인증 방식을 도입하기 전까지는 더욱 그렇습니다. 몇 가지 행동 신호는 여전히 대부분의 AI 지원 사기와 정당한 요청을 구분하는 데 도움이 됩니다.
- 요청이 인위적인 긴급성을 조성합니다. "지금 당장, 오늘 안에 처리해야 한다"는 말은 일반적인 업무 제약이 아니라 조작 기법입니다. 정당한 송금, 거래처 대금 지급, 급여 변경은 정상적인 승인 절차를 건너뛰어야 하는 경우가 거의 없습니다.
- 발신자가 확인 절차를 막으려 합니다. 딥페이크 음성을 이용한 대본에는 "사무실 전화로 다시 걸지 말고 이 번호로 연락하라"는 식의 대사가 자주 등장하는데, 이는 알고 있는 신뢰할 수 있는 번호로 다시 전화를 거는 것이 바로 사기를 무너뜨리는 방법이기 때문입니다.
- 오디오나 영상 품질에 미묘한 결함이 있습니다. AI가 생성한 음성은 감정 표현이 다소 밋밋하게 들릴 수 있고, 영상에서는 부자연스러운 눈 깜빡임, 조명의 불일치, 입 모양과 음성이 어긋나는 현상이 나타날 수 있습니다. 기술이 발전할수록 이런 단서는 점점 알아채기 어려워지고 있으며, 바로 그렇기 때문에 귀로 가짜를 판별하려 하기보다 프로세스 기반 방어(2차 승인자, 콜백 정책)가 더 중요합니다.
- 연락 채널이 평소 관계와 맞지 않습니다. 지금까지 이메일로만 인보이스를 보내던 거래처가 갑자기 전화를 걸어 긴급 송금 변경을 요청한다면, 목소리가 아무리 맞게 들려도 잠시 멈춰서 의심해볼 만한 불일치입니다.
소상공인 은행 계좌를 위한 실전 보안 체크리스트
은행이 아직 패스키를 도입하지 않았더라도, 이 근본적인 교훈은 폭넓게 적용됩니다. 실제로 위험을 줄여주는 방법은 다음과 같습니다.
- 패스키가 제공되는 곳이라면 어디서든 활성화하세요. 자금을 이동시킬 수 있는 계정, 즉 사업용 은행 계좌, 급여 처리 업체, 회계 소프트웨어부터 시작하세요.
- 송금에 대해 신뢰할 수 있는 2차 승인자를 지정하세요. 공식적이지 않아도 괜찮습니다. 은행에 아직 공식적인 '신뢰할 수 있는 연락처' 기능이 없다면 내부 규칙을 정하세요. 일정 금액을 넘는 송금은 요청이 들어온 채널이 아닌 다른 채널을 통해 2차 확인자가 확인하기 전까지는 나가지 않도록 합니다(예: 긴급 송금을 요청하는 전화가 오면 발신자가 알려준 번호로 콜백하는 대신 문자나 대면으로 확인합니다).
- 긴급성을 확인 절차를 건너뛸 이유가 아니라 경고 신호로 받아들이세요. 딥페이크와 비싱 대본은 "10분 안에 송금이 나가야 한다"는 식으로 인위적으로 만들어진 시간 압박을 중심으로 짜여 있습니다. 실제 거래처와 실제 임원이라면 알려진 번호로 콜백을 기다릴 수 있습니다.
- 가능하다면 SMS 전용 2단계 인증은 그만 사용하세요. 문자 메시지 인증 코드는 없는 것보다는 낫지만, 심 스와핑(SIM-swap) 공격을 통해 가로채이거나 사회공학적으로 탈취당할 수 있습니다. 패스키나 인증 앱이 더 안전합니다.
- 관리자 권한을 가진 사람을 위한 복구 계획을 마련하세요. 담당 부기 담당자나 회계사를 위해 하드웨어 보안 키나 기기에 종속된 패스키를 설정했다면, 백업 수단도 함께 등록해 두세요. 사업용 은행 계좌에 접근할 수 있는 유일한 기기를 잃어버리는 것 자체가 값비싼 업무 중단으로 이어질 수 있습니다.
장부 관리가 보안 전략에서 차지하는 역할
사기 방지와 재무 기록 관리는 별개의 문제가 아니라 서로를 강화합니다. 월별이나 분기별이 아니라 매주 계좌를 대조하는 기업은 은행 명세서를 한 달 뒤에야 검토하다가 뒤늦게 발견하는 대신, 며칠 안에 부정 송금을 잡아낼 수 있습니다. 명확하고 최신 상태인 기록은 거래에 이의를 제기하거나 사기 신고를 해야 할 때 은행, 보험사, 수사기관이 가장 먼저 요구하는 자료이기도 합니다. 무엇이 언제 승인되었는지 정확히 보여줄 수 있을수록 사건 처리 속도도 빨라집니다.
이는 세금 신고 때만 열어보는 블랙박스 같은 도구가 아니라 투명하고 감사 가능한 형식으로 장부를 관리할 때 얻을 수 있는, 잘 알려지지 않은 이점 중 하나입니다. 뭔가 이상해 보일 때 실제로 눈으로 확인할 수 있다는 것입니다.
재무를 체계적이고 감사 가능하게 유지하세요
은행이 로그인 보안에 새로운 계층을 추가하는 것처럼, 여러분 자신의 재무 기록도 그에 걸맞은 수준의 검증과 투명성을 갖출 자격이 있습니다. Beancount.io는 모든 거래를 완전하고 버전 관리된 형태로 볼 수 있는 플레인 텍스트 회계를 제공합니다 — 블랙박스도, 특정 업체에 종속되는 일도 없으며, 어울리지 않는 항목을 쉽게 찾아낼 수 있는 감사 추적 기능도 갖추고 있습니다. 무료로 시작하기에서 개발자와 재무 전문가들이 왜 플레인 텍스트 회계로 전환하고 있는지 확인해보세요.