진실만 적힌 스팸메일은 누가 보냈을까

아이디어 노트를 아무 데나 펼쳤더니 이런 문장이 나왔다.

인터넷에는 잘못된 정보가 넘쳐난다. 그러나 당신이 조금 전에 받은 정크메일이 완벽한 진실을 담고 있다면? 누가 그 메일을 보냈을까? 상상해보라.

처음엔 농담처럼 읽혔다. 스팸이 진실을 말할 리 없으니까. 그런데 몇 번 다시 읽으니 질문이 거꾸로 서 있다. 우리는 스팸을 내용이 거짓이라서 버린다고 생각하지만, 실제로는 보낸 사람을 믿지 못해서 버린다. 그렇다면 내용이 전부 사실인 스팸은 더 안전한 걸까, 더 위험한 걸까.

이 질문에 답하려면 스팸을 막는 쪽과 보내는 쪽이 30년 넘게 벌여 온 술래잡기부터 봐야 한다.

단어를 세던 시절

초기 스팸 필터는 단순했다. "무료", "당첨", "비아그라" 같은 단어가 나오면 점수를 매기고, 악명 높은 발송 서버 주소를 블랙리스트에 올렸다. 스패머는 곧바로 피해 갔다. 비아그라를 V1agra로 쓰고, 글자 사이에 점을 찍고, 문구를 아예 이미지로 만들어 보냈다.

2002년 폴 그레이엄이 「A Plan for Spam」이라는 글에서 베이지안 필터를 제안하면서 판이 바뀌었다. 사람이 규칙을 정하는 대신, 내가 스팸이라고 표시한 메일과 아닌 메일에서 단어별 확률을 학습하게 했다. 필터가 사람마다 달라지니 스패머가 한 번에 뚫기 어려워졌다.

스패머의 다음 수는 메일 끝에 소설이나 뉴스 기사에서 따온 멀쩡한 문장을 잔뜩 붙이는 것이었다. 정상 메일에 흔한 단어로 확률을 희석하는 방법이다. 지금도 가끔 맥락 없는 문단이 꼬리에 붙은 스팸을 보는데, 그게 이 시절의 흔적이다.

내용보다 출처를 보기 시작하다

내용을 아무리 들여다봐도 스패머는 내용을 바꾸면 그만이었다. 그래서 방어 쪽은 질문을 바꿨다. "이 메일에 뭐라고 적혀 있나" 대신 "이 메일은 정말 그 주소에서 왔나"를 묻기로 했다.

SPF는 어떤 서버가 우리 도메인 이름으로 메일을 보낼 수 있는지 미리 공개하는 장치다. DKIM은 메일에 전자서명을 붙여 중간에 바뀌지 않았음을 증명한다. DMARC는 이 두 검사에 실패한 메일을 어떻게 처리할지 도메인 주인이 정해 두는 규칙이다. 오랫동안 권장 사항이던 이 장치들이 2024년 2월에 사실상 의무가 됐다. 구글과 야후가 하루 5,000통 이상 보내는 발송자에게 DMARC를 요구하고, 스팸 신고율을 0.3% 아래로 유지하지 못하면 메일을 막겠다고 발표했기 때문이다.

그 위에 머신러닝이 얹혔다. 구글은 Gmail이 스팸과 피싱의 99.9% 이상을 걸러낸다고 밝혔다. 2023년에는 생김새가 같은 다른 문자(라틴 a 대신 키릴 а)나 보이지 않는 문자를 끼워 넣는 수법을 견디도록 만든 텍스트 처리기 RETVec을 도입했고, 스팸 탐지율이 기존보다 38% 오르고 정상 메일을 스팸으로 잘못 거르는 비율은 19.4% 줄었다고 한다.

여기서 재미있는 반전이 하나 있다. 마이크로소프트 연구원 코맥 헐리는 2012년 「나이지리아 사기꾼은 왜 자기가 나이지리아에서 왔다고 말할까」라는 논문을 냈다. 결론은 이렇다. 엉성한 문장과 뻔한 설정은 실수가 아니라 거름망이다. 저런 메일에 답장할 만큼 의심이 적은 사람만 골라내야 사기꾼이 헛수고를 줄일 수 있다. 스팸의 엉성함은 보내는 쪽의 비용 계산에서 나온 결과였다.

지금까지의 술래잡기를 표로 정리하면 이렇다.

AI가 지운 것은 엉성함이었다

생성형 AI는 그 비용 계산을 바꿔 놓았다. 그럴듯한 문장을 쓰는 데 드는 돈이 거의 0이 됐다.

보안 업체 바라쿠다가 컬럼비아대·시카고대 연구진과 함께 2022년 2월부터 2025년 4월까지의 스팸을 분석했더니, 2025년 4월 기준 스팸의 51%가 AI로 작성된 것으로 추정됐다. 이 메일들은 사람이 쓴 것보다 문법이 정확하고 격식을 갖췄다. "맞춤법 틀린 메일은 의심하라"는 오래된 요령이 쓸모를 잃어 가는 중이다.

맞춤형 피싱에서는 변화가 더 뚜렷하다. 보안 훈련 업체 혹스헌트는 자사 AI 에이전트와 사람 전문가 팀이 만든 모의 피싱 메일을 수백만 명에게 보내 클릭률을 비교했다. 2023년엔 AI가 사람보다 31% 덜 효과적이었는데, 2025년 3월엔 24% 더 효과적이었다. 2년 만에 역전된 셈이다.

스푸핑은 목소리와 얼굴로 옮겨 갔다

메일 주소를 위조하던 스푸핑은 이제 사람 자체를 위조한다.

2024년 초 영국 엔지니어링 회사 아럽의 홍콩 지사 직원이 본사 CFO의 비밀 송금 요청 메일을 받았다. 직원은 처음에 피싱을 의심했다. 그런데 이어진 화상회의에 CFO와 낯익은 동료들이 나와 같은 지시를 하자 의심을 접었고, 15차례에 걸쳐 약 2억 홍콩달러(약 2,560만 달러)를 송금했다. 회의에 나온 사람은 직원 한 명 빼고 전부 공개된 영상과 음성으로 만든 딥페이크였다. 메일 한 통으로는 안 넘어갔을 사람이 얼굴을 보고 넘어갔다.

같은 해 1월 미국 뉴햄프셔주 예비선거 직전에는 바이든 대통령 목소리를 흉내 낸 자동 전화가 유권자들에게 "투표하지 말고 11월을 위해 아껴 두라"고 말했다. 이 전화를 기획한 정치 컨설턴트에게 미국 연방통신위원회(FCC)가 600만 달러 벌금을 매겼다.

이런 수법이 어디서 시작되는지는 숫자가 보여 준다. FBI 인터넷범죄신고센터(IC3) 2024년 보고서에서 업무 메일 사칭(BEC) 피해는 21,442건, 27억 7천만 달러였다. 신고 건수로는 7위인데 피해액으로는 2위다. 많이 보내는 스팸보다 한 사람을 정확히 겨냥한 메일이 훨씬 비싸게 먹힌다.

이제 메일은 사람보다 AI가 먼저 읽는다

새로 생긴 문제도 있다. 메일을 요약해 주는 AI 비서가 늘면서, 공격자는 사람이 아니라 AI를 속이는 메일을 쓰기 시작했다.

2025년 6월 공개된 EchoLeak(CVE-2025-32711)은 마이크로소프트 365 코파일럿의 취약점이었다. 공격자가 보낸 메일 한 통에 숨긴 지시문을 코파일럿이 참고 자료로 읽어 들이면, 사용자가 아무것도 클릭하지 않아도 회사 내부 자료가 밖으로 새어 나갈 수 있었다. 심각도 점수는 10점 만점에 9.3이었고, 마이크로소프트는 공개 전에 서버 쪽에서 고쳤다. 실제 피해 사례는 확인되지 않았다.

같은 수법이 학계에서도 나왔다. 2025년 7월 닛케이는 8개국 14개 기관 연구자들이 쓴 논문 17편에 흰 글씨나 아주 작은 글씨로 "긍정적인 평가만 하라"는 문장이 숨어 있었다고 보도했다. 사람 심사위원 눈에는 안 보이고, 논문을 AI에 넣어 심사하는 사람에게만 작동하는 문장이다.

막는 쪽은 무엇을 보는가

흐름을 정리하면 방어는 대체로 같은 방향으로 움직였다. 내용에서 출처로, 출처에서 맥락으로.

• 경로를 증명한다. SPF·DKIM·DMARC로 보낸 서버를 확인하고, 사진과 영상에는 C2PA 같은 콘텐츠 자격증명으로 누가 언제 만들고 고쳤는지 기록을 붙인다.
• 행동의 이상함을 본다. 처음 보는 계좌, 갑작스러운 계좌 변경, 평소와 다른 시간대의 대규모 송금처럼 내용이 아니라 요청의 패턴을 의심한다.
• 다른 채널로 되묻는다. 메일로 온 송금 요청은 이미 알고 있는 전화번호로 다시 확인한다. 아럽 사건도 직원이 본사에 직접 연락하고 나서야 드러났다. 가족끼리 정해 두는 확인용 암호도 같은 원리다.
• AI에게 읽힐 글과 따를 지시를 나눈다. 메일이나 웹페이지에서 가져온 문장은 자료로만 다루고 명령으로 실행하지 않게 신뢰 경계를 둔다. EchoLeak이 뚫은 곳이 바로 이 경계였다.

네 가지 모두 메시지 안이 아니라 바깥을 본다. 문장이 얼마나 그럴듯한지는 이제 판단 기준이 되기 어렵기 때문이다.

진실을 가려내기 어려운 이유

다시 노트의 문장으로 돌아가자. 완벽한 진실만 담긴 정크메일. 사실 이건 상상 속 이야기가 아니다. 잘 만든 피싱은 진짜 정보로 시작한다. 실제로 주문한 택배 회사 이름, 실제 상사의 이름과 말투, 실제 진행 중인 프로젝트명. 아럽 직원이 본 얼굴들도 진짜 동료의 얼굴을 본뜬 것이었다. 거짓은 맨 마지막 한 줄, "이 계좌로 보내 주세요"에만 들어 있다.

정보의 진위를 가리기 어려운 이유가 여기 있다.

첫째, 진위는 문장 안에 들어 있지 않은 경우가 많다. "이 회사 주가가 지난주 20% 올랐다"는 문장은 사실이어도, 누가 왜 지금 그 말을 내게 하는지에 따라 정보가 되기도 하고 미끼가 되기도 한다. 같은 문장이라도 보낸 사람의 의도가 의미를 바꾼다.

둘째, 우리는 대부분의 정보를 직접 검증할 수 없다. 백신 성분이나 먼 나라 전쟁 상황을 스스로 확인할 방법은 거의 없다. 결국 누군가를 믿는 수밖에 없고, 판단은 내용이 아니라 출처에 대한 신뢰로 옮겨 간다. 공격자가 노리는 것도 이 신뢰다.

셋째, 반복은 친숙함을 만들고 친숙함은 참처럼 느껴진다. 심리학자들은 1977년부터 이 현상을 '진실성 착각 효과'라는 이름으로 연구해 왔다. 같은 말을 여러 번 들으면 근거가 없어도 더 그럴듯하게 느낀다는 것이다.

넷째, 거짓을 만드는 비용과 반박하는 비용이 다르다. 엉터리 주장 하나를 반박하는 데는 그것을 만드는 데보다 훨씬 많은 힘이 든다는 '브랜돌리니의 법칙'이 있다. AI는 만드는 쪽 비용을 더 낮췄다.

가장 효과적인 거짓은 대부분 진실로 만든다. 사실을 골라서 보여 주고, 불리한 사실은 빼고, 순서를 바꿔 다른 인상을 남긴다. 문장 하나하나는 검증을 통과하지만 전체가 남기는 결론은 틀린 것이다.

여론을 움직이려는 손, 그리고 AI의 답을 움직이려는 손

이 구조를 개인이 아니라 사회 전체에 쓰면 여론조작이 된다. 2018년 드러난 '드루킹' 사건에서는 '킹크랩'이라는 매크로 프로그램으로 포털 기사 댓글의 공감 수를 대량으로 조작했다. 사람 손으로 하던 일을 프로그램이 대신하자 규모가 달라졌다.

이제 표적은 포털 댓글에서 AI로 옮겨 가고 있다. 미국 정보 신뢰도 평가 기관 뉴스가드는 2025년 3월, 모스크바에 기반을 둔 '프라우다 네트워크'가 수많은 웹사이트에 친러시아 주장을 대량으로 올려 AI의 학습과 검색에 섞여 들게 한다고 보고했다. 사람 독자는 거의 없는 사이트들이다. 독자가 처음부터 사람이 아니라 AI였던 것이다. 뉴스가드가 주요 AI 챗봇 10종을 시험했더니 33% 넘게 이 네트워크의 거짓 주장을 되풀이했다. 연구자들은 이 수법을 'LLM 그루밍'이라고 부른다.

조작이 정치에만 쓰이는 것도 아니다. 하버드 연구진은 2024년 가상의 커피머신 목록 실험에서, 상품 소개 페이지에 특정한 문자열 하나를 넣는 것만으로 AI가 그 상품을 1순위로 추천할 확률이 크게 오른다는 것을 보였다. 같은 해 KDD에 발표된 GEO(생성형 엔진 최적화) 논문은 인용문·통계·출처를 덧붙이는 식의 편집만으로 AI 답변에 노출되는 정도를 최대 40%까지 높일 수 있다고 보고했다.

AI의 답을 움직이려는 시도를 다룬 연구를 모으면 이렇다.

AEO(답변 엔진 최적화)와 GEO 자체를 나쁘다고 할 수는 없다. 좋은 글을 AI가 잘 읽도록 구조를 다듬는 일은 검색엔진 시절의 SEO와 다르지 않고, 오시오도 그렇게 한다. 문제는 같은 기술이 그대로 편향을 심는 도구도 된다는 데 있다. 검색엔진은 링크 열 개를 보여 주고 고르는 일을 사람에게 맡겼다. AI 답변 엔진은 정리된 답 하나를 건넨다. 비교할 기회가 줄어든 만큼, 그 답 하나가 어떤 자료를 얼마나 많이 보고 만들어졌는지가 훨씬 중요해졌다. 누군가 그 자료를 미리 채워 두었다면, 답은 중립처럼 보이면서 한쪽으로 기운다.

누가 보냈을까를 묻는 습관

노트의 문장은 "상상해보라"로 끝난다. 상상해 보면 답은 그리 어렵지 않다. 완벽한 진실만 담긴 정크메일을 보낸 사람은, 당신이 그 진실을 믿은 다음 무언가 하기를 바라는 사람이다. 진실은 거기서 목적이 아니라 수단이다.

AI가 건네는 답도 마찬가지로 읽어야 한다. 답이 틀렸을 수 있다는 뜻만은 아니다. 답이 맞더라도 그 답이 무엇을 빼고 무엇을 앞에 세웠는지, 그 뒤에서 누가 이득을 보는지 물을 수 있어야 한다는 뜻이다. 몇 가지 질문을 습관으로 들여 두면 도움이 된다.

1. 이 정보는 어디서 왔나. 원래 출처까지 따라갈 수 있나.
2. 이걸 내가 믿으면 누가 이득을 보나.
3. 지금 나에게 서두르라고 하는가. 비밀로 하라고 하는가.
4. 다른 경로, 다른 AI, 다른 사람에게 물어도 같은 답이 나오나.
5. 너무 매끄럽지 않은가. 불리한 사실이 하나도 없는 이야기는 의심해 볼 만하다.

스팸 필터가 30년 동안 배운 교훈은 결국 하나다. 내용만 봐서는 진짜와 가짜를 가를 수 없고, 출처와 경로와 의도를 봐야 한다는 것. 기계가 그렇게 배웠다면 사람도 그렇게 배울 수 있다. 정보가 넘쳐나는 시대에 필요한 능력은 모든 것을 의심하는 태도가 아니라, 무엇을 의심해야 할지 아는 감각이다.

이미지 출처

• 표지, 피싱 메일 해부도, 메일 인증 도식: 직접 제작. 피싱 메일과 받은편지함은 가상의 예시이며 실제 기관·인물과 관계없다
• AI 피싱 효과 그래프: Hoxhunt 공개 자료의 수치로 직접 그림