"가족 중에 피싱 피해를 당한 사람이 있었습니다. 통신사에서 제가 가진 역량으로 피해 예방에 기여할 수 있지 않을까 생각했습니다."
SK텔레콤(017670)의 강희도 통합보안센터 사회공학위협대응팀 매니저가 악성 애플리케이션(앱) 분석 인공지능(AI) 에이전트 '엠-트리플에이(M-TripleA)'를 개발하게 된 배경이다. 강 매니저는 최근 열린 SK텔레콤 사내 AI 경진대회 'AX 스파크'에서 대상을 차지한 주인공이다. 가족의 피싱 피해를 계기로 고객 보호 업무에 뛰어든 그는 AI를 활용해 악성앱 분석을 자동화하고 금융피해 예방에도 기여했다.

9일 SK텔레콤에서 만난 강 매니저는 "고객의 피해를 직접 예방하는 성과가 눈에 보인다는 점에서 더 큰 성취감을 느낀다"고 말했다.

2020년 SK텔레콤에 개발자로 입사한 강 매니저는 보안 분야 박사학위를 보유한 전문가다. 실시간 데이터 처리와 에이닷 서비스 개발 등을 담당하다 2023년 보안 조직으로 자리를 옮겼다.

당시 피싱 범죄 피해는 급증하고 있었다. SK텔레콤에 따르면 피싱 피해액은 2023년 4616억 원에서 2024년 9525억 원으로 두 배 이상 늘었고, 지난해에는 1조 3162억 원으로 사상 최고치를 기록했다.

SK텔레콤은 올해 3월부터 경찰청과 악성앱 분석 협력을 시작했다. 경찰이 피해 신고자의 휴대전화에서 추출한 악성앱을 전달하면 SK텔레콤이 범죄자의 명령제어(C2) 서버 주소를 찾아내는 방식이다.

문제는 분석에 상당한 시간과 전문 인력이 필요하다는 점이었다. 악성앱에는 코드를 알아보기 어렵게 만드는 난독화와 암호화 기술이 적용돼 있다. 기존에는 신규 유형의 악성앱을 분석하는 데 평균 2.5일이 걸렸고, 이미 분석한 유형도 공격 서버 주소를 찾기 위해 별도의 수작업이 필요했다.

강 매니저는 "처음에는 경찰이 전달한 악성앱을 혼자 수작업으로 전수 분석했다"며 "방대한 코드 속에서 공격 서버 주소를 찾는 작업은 사막에서 바늘을 찾는 것과 비슷하다"고 설명했다.

경찰의 분석 요청은 올해 3월 하루 평균 37건에서 5월 67건으로 약 81% 증가했다. 이를 모두 분석하려면 하루 약 19시간의 전문가 작업이 필요했다. 외부 전문업체에 맡길 경우 연간 10억 원 이상의 비용이 발생한다는 견적도 받았다.

이에 강 매니저는 AI를 활용한 분석 자동화에 나섰다. 사내 'AX 카탈리스트' 프로그램을 통해 AI 사용 비용을 지원받았고, 약 한 달 만에 초기 시제품을 개발했다.


악성앱 등록하자 AI가 분석 시작…공격 서버까지 추적
이날 공개된 M-TripleA 시연 영상에서는 악성앱 파일을 등록하자 AI가 자동으로 분석을 시작했다. 화면에는 분석 과정이 실시간으로 표시됐고, 작업이 끝나자 악성 여부와 공격 서버 주소, 판단 근거 등을 정리한 보고서가 작성됐다.

M-TripleA는 여러 AI 에이전트가 역할을 나눠 협업하는 구조다. '리드 에이전트'가 분석 전략을 세우면 '오케스트레이터'가 작업을 분배하고 하위 에이전트들이 악성코드를 분석한다. 예상과 다른 결과가 나오면 계획을 수정해 다시 분석하며, 암호화된 정보를 추출하기 위한 코드도 직접 작성한다.

지난 4월15일부터 실제 업무에 적용된 M-TripleA는 분석 업무의 약 85%를 자동 처리한다. 전문가는 신규 유형이나 예외 사례 등 나머지 15%의 결과를 검토한다.

이에 따라 하루 평균 약 19시간이 필요했던 전문가 투입 시간은 약 50분으로 줄었다. 약 96% 절감한 것이다. 신규 유형의 악성앱도 당일 분석해 경찰에 관련 정보를 신속하게 전달할 수 있게 됐다.

강 매니저는 "전문 악성앱 분석 기술을 AI 에이전트로 내재화해 조직 차원의 분석 역량을 확보했다"며 "연간 10억 원 이상의 외부 분석 용역 비용 발생도 예방할 수 있었다"고 말했다.


악성앱 4304건 분석…고객 940명 금융피해 예방 기여
SK텔레콤에 따르면 M-TripleA는 지난 4월15일부터 9월30일까지 악성앱 4304건을 분석해 C2 서버 주소 2051개를 찾아냈다. 이를 통해 SK텔레콤 고객 940명의 금융피해 약 514억 6900만 원을 예방하는 데 기여했다.

지난 6월17일에는 경찰이 M-TripleA의 분석 정보를 활용해 13억 6000만 원 규모의 보이스피싱 피해를 예방하기도 했다.

이러한 성과는 경찰과 이동통신 3사의 협업을 통해 가능했다. SK텔레콤이 AI로 찾아낸 C2 서버 주소를 경찰에 전달하면 경찰은 이를 SK텔레콤과 KT(030200), LG유플러스(032640)에 공유한다. 각 통신사는 해당 서버에 접속한 고객을 식별하고 경찰은 현장 출동 등 보호 조치에 나선다.

M-TripleA는 경찰청과의 협업 외에도 정상 서비스로 위장해 사용자 몰래 불법 도박 광고 문자를 발송하는 악성앱 등 다양한 모바일 위협을 분석하는 데 활용되고 있다.

SK텔레콤은 이동통신 3사 전체의 피해 예방 효과를 고려하면 연간 약 2253억 원의 사회적 가치를 창출하는 것으로 추정하고 있다.

강 매니저는 향후 악성앱 분석 속도를 높일 계획이다. 현재 앱 한 건당 약 1시간에서 1시간 30분이 걸리는 분석 시간을 단순한 유형부터 약 30분으로 줄이는 것이 목표다.

그는 "악성앱은 갈수록 정교해지고 새로운 유형도 계속 등장하고 있다"며 "AI 에이전트의 분석 속도와 정확도를 지속적으로 개선해 더 많은 고객을 피싱 범죄로부터 보호하는 데 기여하고 싶다"고 말했다.

smk5031@news1.kr