지난 한 세기 동안 사무용 빌딩부터 에너지 그리드에 이르는 물리적 자산의 보안은 '사칭에 드는 높은 비용'이라는 마찰력에 의존해왔다. 과거에는 임원이나 공급업체를 그럴듯하게 흉내 내기 위해 정교한 자원, 전문 배우, 혹은 내부자의 협조가 필수적이었다. 하지만 생성형 AI가 등장하면서 이러한 경제적 장벽은 완전히 허물어졌고, 음성 및 영상 복제는 악의적인 공격자들에게 쉽고 확장 가능한 도구가 되었다. 이제 영상 통화에 나타난 상대방을 눈과 귀로 신뢰할 수 있다는 암묵적 가정은 사실상 폐기된 셈이다.

이러한 현실은 글로벌 엔지니어링 기업인 Arup의 사례에서 명확히 드러난다. 당시 Arup의 한 직원은 동료들이 참여한 실사 수준의 딥페이크 영상 통화에 속아 2,500만 달러를 송금하는 사건이 발생했다. 전통적인 네트워크 해킹이나 방화벽 침투는 없었다. 공격자들은 신뢰 체인의 가장 취약한 고리인 '사람'을 공략했으며, 이는 현대의 초연결 인프라에서 접근 권한을 가진 개인이 가장 큰 보안 구멍임을 입증했다.

특히 호텔, 부동산, 물류창고와 같이 물리적 세계를 운영하는 산업의 취약성은 매우 심각하다. 이들 분야는 노후화된 IT 네트워크와 물리적 접근, 엘리베이터, 온도 조절 등을 제어하는 운영 기술(OT) 시스템을 혼합하여 사용하는 경우가 많다. 운영 기술(OT) 시스템이 점차 외부 IP 네트워크와 연결되면서 외부에서 직접적인 침투가 가능해졌기 때문이다. 정교한 딥페이크 음성이나 영상 통화는 이제 핵심 시스템에 침투하는 도구가 되어, 단순한 사회공학 공격이 물리적 혼란이나 대규모 금융 절도로 이어질 수 있다.

근본적인 문제는 조직 설계의 실패에 있다. 대다수 대기업에서 물리적 보안과 사이버 보안은 여전히 별개의 조직으로 운영되며, 서로 다른 리더와 예산 체계를 갖추고 있다. 과거에는 합리적이었을지 모를 이러한 분리 운영이 AI 시대에는 치명적인 보안 취약점이 되었다. 기업이 이를 하나의 통합된 공격 표면으로 인식하지 않는 동안, 공격자들은 두 영역을 자유롭게 넘나들며 위협을 가하고 있다.

이제 물리적 인프라를 소유한 산업계는 이러한 보안 분야를 즉시 통합해야 한다. 물리적 위협과 디지털 위협을 동일한 동전의 양면으로 간주하는 통합 대응 매뉴얼을 수립하는 것이 필수적이다. 더 나아가 고위험 승인 절차에 제로 트러스트 모델을 적용하고, 자산 이동이나 핵심 시스템 접근 시에는 반드시 사전에 약속된 암호나 확인된 보조 채널을 통해 재확인하는 아웃오브밴드 검증을 거쳐야 한다. 이러한 변화가 AI가 제거했던 편리함을 다시 다소 앗아갈 수는 있겠으나, 합성 미디어를 실물과 구분하기 어려운 현재 시점에서 보안을 회복할 유일한 방안이다.

지난 한 세기 동안 사무용 빌딩부터 에너지 그리드에 이르는 물리적 자산의 보안은 '사칭에 드는 높은 비용'이라는 마찰력에 의존해왔다. 과거에는 임원이나 공급업체를 그럴듯하게 흉내 내기 위해 정교한 자원, 전문 배우, 혹은 내부자의 협조가 필수적이었다. 하지만 생성형 AI가 등장하면서 이러한 경제적 장벽은 완전히 허물어졌고, 음성 및 영상 복제는 악의적인 공격자들에게 쉽고 확장 가능한 도구가 되었다. 이제 영상 통화에 나타난 상대방을 눈과 귀로 신뢰할 수 있다는 암묵적 가정은 사실상 폐기된 셈이다.

이러한 현실은 글로벌 엔지니어링 기업인 Arup의 사례에서 명확히 드러난다. 당시 Arup의 한 직원은 동료들이 참여한 실사 수준의 딥페이크 영상 통화에 속아 2,500만 달러를 송금하는 사건이 발생했다. 전통적인 네트워크 해킹이나 방화벽 침투는 없었다. 공격자들은 신뢰 체인의 가장 취약한 고리인 '사람'을 공략했으며, 이는 현대의 초연결 인프라에서 접근 권한을 가진 개인이 가장 큰 보안 구멍임을 입증했다.

특히 호텔, 부동산, 물류창고와 같이 물리적 세계를 운영하는 산업의 취약성은 매우 심각하다. 이들 분야는 노후화된 IT 네트워크와 물리적 접근, 엘리베이터, 온도 조절 등을 제어하는 운영 기술(OT) 시스템을 혼합하여 사용하는 경우가 많다. 운영 기술(OT) 시스템이 점차 외부 IP 네트워크와 연결되면서 외부에서 직접적인 침투가 가능해졌기 때문이다. 정교한 딥페이크 음성이나 영상 통화는 이제 핵심 시스템에 침투하는 도구가 되어, 단순한 사회공학 공격이 물리적 혼란이나 대규모 금융 절도로 이어질 수 있다.

근본적인 문제는 조직 설계의 실패에 있다. 대다수 대기업에서 물리적 보안과 사이버 보안은 여전히 별개의 조직으로 운영되며, 서로 다른 리더와 예산 체계를 갖추고 있다. 과거에는 합리적이었을지 모를 이러한 분리 운영이 AI 시대에는 치명적인 보안 취약점이 되었다. 기업이 이를 하나의 통합된 공격 표면으로 인식하지 않는 동안, 공격자들은 두 영역을 자유롭게 넘나들며 위협을 가하고 있다.

이제 물리적 인프라를 소유한 산업계는 이러한 보안 분야를 즉시 통합해야 한다. 물리적 위협과 디지털 위협을 동일한 동전의 양면으로 간주하는 통합 대응 매뉴얼을 수립하는 것이 필수적이다. 더 나아가 고위험 승인 절차에 제로 트러스트 모델을 적용하고, 자산 이동이나 핵심 시스템 접근 시에는 반드시 사전에 약속된 암호나 확인된 보조 채널을 통해 재확인하는 아웃오브밴드 검증을 거쳐야 한다. 이러한 변화가 AI가 제거했던 편리함을 다시 다소 앗아갈 수는 있겠으나, 합성 미디어를 실물과 구분하기 어려운 현재 시점에서 보안을 회복할 유일한 방안이다.