싱가포르·구글, 대화 내용을 보호하는 AI 사기 경보 개발…양자 보안 전환 시한도 다가와

휴대전화 경보와 암호화 업그레이드, 서로 다른 두 위협 겨냥

싱가포르는 안드로이드 휴대전화용 AI 사기 탐지 모델을 개발하는 한편, 미래의 양자 컴퓨터에도 견딜 수 있도록 암호화 체계를 전환하는 장기 계획을 마련하고 있다. 2026년 10월 14일 싱가포르 국제 사이버 위크에서 발표된 이 조치들은 조작에 즉각 대응하는 보호책과 수년 뒤 현실화할 수 있는 위협에 대비하는 방안을 함께 담고 있다.

싱가포르 정부기술청(GovTech)은 구글 딥마인드와 함께 사용자의 기기에서 직접 대화를 분석하고, 비공개 메시지를 외부 서버로 보내지 않으면서 잠재적 사기를 경고하는 모델을 개발하고 있다. 별도로 핵심 정보 인프라 소유자는 2031년까지 양자 보안 체계로 전환할 것으로 예상되며, 다른 기관들이 2035년까지 전환을 추진할 수 있도록 더 폭넓은 지침도 마련될 예정이다.

사기 피해 규모를 고려하면 휴대전화 프로젝트는 시급하다. 구글 딥마인드의 사기 탐지 발표에 따르면 사기는 싱가포르에서 신고된 범죄의 절반 이상을 차지하며, 2019년 이후 피해액은 40억 싱가포르달러(S$)를 넘는다. 범죄자가 그럴듯한 대화를 통해 사람들을 설득해 돈이나 민감한 정보를 넘겨받는 사회공학 사기는 피해액의 최대 80%를 차지한다.

조세핀 테오 디지털개발정보부 장관 겸 사이버보안·스마트네이션그룹 담당 장관은 대화의 사생활을 침해하지 않고도 조기 탐지를 통해 사용자를 보호할 수 있다고 말했다.

“기기가 조작의 징후를 조기에 알아차릴 수 있다면, 개인 메시지는 기기 안에 보관하면서 잠재적 피해자가 금전이나 계정 정보 피해를 피하도록 도울 수 있습니다”라고 그는 말했다.

이번 발표는 서로 다른 취약점을 다룬다. 사기 모델은 대화가 진행되는 동안 속임수를 알아차리는 것을 목표로 한다. 양자 프로그램은 충분히 강력한 양자 컴퓨터가 기존 암호 체계를 위협하기 전에 취약한 암호 기술을 교체하려는 계획이다.

휴대전화 모델은 언제 경고할지 어떻게 판단하나

구글 딥마인드에 따르면 이 시스템은 경량 젬마(Gemma) 모델을 사용하며, 싱가포르에서 흔히 발생하는 사기 대화를 알아보도록 조정됐다. 의심스러운 링크나 이미 알려진 악성 웹사이트에만 의존하는 대신, 누군가가 조종당하고 있음을 시사하는 대화 패턴을 살핀다.

설계는 두 단계로 이뤄진다. 먼저 소형 분류기가 전력 소비를 최소화하면서 수신 메시지에 잠재적 위협이 있는지 선별한다. 대화에 위험 신호가 감지되면 조정된 젬마 모델이 더 긴 대화 내용을 살펴 경고가 타당한지, 아니면 처음의 의심이 오탐이었는지 판단한다.

휴대전화는 배터리와 연산 능력이 제한적이므로 이러한 분업이 중요하다. 분류기는 정보를 범주별로 나누는 모델이다. 첫 점검에 더 작은 모델을 사용하면 연산량이 큰 맥락 분석을 모든 메시지에 적용할 필요가 없다.

시스템이 조작을 감지하면 기기에 경고를 표시해 사용자가 민감한 정보를 공유하거나 돈을 송금하기 전에 잠시 멈추도록 한다. 설명된 기능은 잠재적으로 해로운 결정을 막기 위해 개입하는 것이지, 결제를 자동으로 차단하거나 대화가 안전하다고 보장하는 것은 아니다.

계획 중인 모델은 왓츠앱과 텔레그램 같은 메시지 앱의 문자 대화를 분석하도록 설계됐다. 구글은 출시일이나 설치 방법, 안드로이드 기본 기능으로 탑재될지 여부를 발표하지 않았다. 탐지 정확도, 오경보율, 배터리 소모량 측정치도 공개하지 않아 실제 사용과 관련된 의문은 남아 있다.

비공개 대화는 기기 안에 보관

개인정보 보호 방식의 핵심은 분석이 이뤄지는 장소다. 기존 탐지 방식은 메시지를 검사하기 위해 원격 서버로 전송할 수 있다. 이번 모델은 대화 데이터를 기기에서 처리하므로 사기 여부를 판별하기 위해 비공개 대화가 휴대전화 밖으로 나갈 필요가 없다.

이 방식은 대화 당사자만 내용을 읽을 수 있도록 암호화하는 메시지 서비스와 관련이 있다. 플랫폼이 서버에서 메시지를 검사하도록 요구하는 대신, 제안된 보호 기능은 사용자가 이미 메시지를 읽을 수 있는 곳, 즉 기기에서 작동한다.

구글 딥마인드는 대화에 접근하려면 사용자의 동의가 필요하며, 모델을 배포하더라도 구글이나 싱가포르 정부가 사용자의 대화에 접근할 수 없다고 밝혔다. 이는 제안된 설계에 대한 설명이지, 기능이 이미 모든 사용자에게 제공된다는 발표는 아니다.

마크 첸 GovTech 신뢰·안전 담당 국장은 이번 협력이 개인정보를 포기하지 않으면서 표적 사기를 탐지하려는 노력이라고 설명했다.

사기와 싸우기 위해 개인의 사생활을 희생할 필요는 없습니다. 구글 딥마인드와 협력해 시민의 기기에 첨단 AI 보호 기능을 직접 제공하고 있습니다. 이를 통해 개인 통신 내용은 완전히 비공개로 유지하면서 고도로 표적화된 지역 사기 시도를 실시간으로 포착할 수 있습니다.

구글 딥마인드는 모델 학습과 실제 사용도 구분했다. 학습은 GovTech가 관리하는 구글 클라우드 플랫폼 환경에서 이뤄졌으며, 데이터는 격리해 보관했다. 학습에는 비공개 정보나 개인 식별 정보를 사용하지 않았고, 사기 신고와 정보 피드에서 추출한 익명화 데이터셋을 활용했다고 밝혔다.

피해액 줄었지만 현지 사기는 여전히 큰 비용 초래

모델 학습에는 공공기관과 은행, 현지 인사를 사칭하는 수법과 지역별 사기 유형이 포함된다. 구글 딥마인드는 범용 모델이 이런 현지형 속임수에 취약할 수 있어, 일상적인 사회적 대화와 돈이나 계정 정보를 넘기도록 압박하는 대화를 구분하려면 모델을 조정해야 한다고 밝혔다.

시험에는 합성 대화와 현지 언어 자료 모음이 사용됐으며, 현지 말투를 반영하도록 설계된 대화도 포함됐다. 구글은 사기 수법이 바뀌면 이에 맞춰 학습을 계속할 것이라고 밝혔다. 범죄자들이 대본을 바꾸더라도 고정된 수법 목록에 계속 의존하지 않고 모델의 유효성을 유지하려는 것이다.

테오는 한 현지 전문직 종사자가 로런스 웡 총리와 다른 고위 관계자들이 참석한 것처럼 꾸며진 가상 회의에 참여한 뒤 약 500만 싱가포르달러를 송금한 사례를 들었다. 그의 설명에 따르면 범죄자들은 딥페이크 기술로 회의를 그럴듯하게 꾸미고, 의미 있는 글로벌 대의를 지원하기 위한 송금이라고 제시했다.

딥페이크는 실제 인물을 모방한 합성 음성이나 영상이다. 이 사례는 익숙하다는 이유만으로 신뢰를 판단하면 안 되는 이유를 보여준다. 다만 제안된 문자 대화 분석 모델이 조작된 화상회의를 탐지할 수 있다는 점을 입증하는 사례는 아니다.

경찰 통계에 따르면 2026년 상반기 사기 피해액은 1만6,821건에서 4억1,060만 싱가포르달러였다. 전년 동기 대비 사건 수는 14.4%, 피해액은 17.9% 감소했다. 그래도 신고된 사건당 피해액은 평균 약 2만4,410싱가포르달러로, 4억1,060만 싱가포르달러를 1만6,821건으로 나눈 값이다. 이 평균으로 피해액의 분포를 알 수는 없지만, 남아 있는 문제의 경제적 규모를 보여준다.

싱가포르가 방어 체계의 연계를 추진하는 이유

휴대전화 모델은 더 폭넓은 대응책의 일부다. 테오는 사기가 소셜미디어에서 시작해 메시지 서비스로 옮겨가고, 전화 통화로 이어진 뒤 금융기관을 통한 송금으로 끝날 수 있다고 설명했다. 각 기관은 전체 과정을 파악하지 못한 채 경고 신호만 포착할 수 있다.

테오는 개별 기관의 탐지 능력을 강화하는 것만으로는 부족하며, 한 곳에서 감지한 신호가 다른 곳의 조치로 이어지도록 방어 체계를 연결해야 한다고 말했다.

따라서 모든 기관이 사기를 더 잘 막도록 하는 것만으로는 충분하지 않습니다. 생태계 한 부분에서 감지한 신호 하나가 다른 곳의 조치로 이어질 수 있도록 방어 체계를 연결해야 합니다.

싱가포르는 이미 비공개 대화 외부의 위협을 조사하는 데 AI를 활용하고 있다. GovTech와 싱가포르 경찰의 사기 분석·전술 개입 시스템(SATIS)은 매일 60만 개가 넘는 웹사이트를 검사·평가하며, 각각을 수초 안에 처리한다. 한 달에 약 2만 개의 악성 웹사이트를 차단하고, 의심스러운 휴대전화 번호와 온라인 플랫폼까지 감시 범위를 넓혔다.

두 시스템의 목적은 다르다. SATIS는 사기범이 이용하는 인프라를 겨냥하고, 휴대전화 모델은 대화 속 설득 수법의 징후를 찾는다. 두 시스템을 함께 보면 악성 사이트를 제거하는 일과 그럴듯한 메시지에 따라 행동하기 전에 사용자에게 경고하는 일의 차이를 알 수 있다. 새 휴대전화 경보를 다른 기관과 연계하는 구체적인 방식은 아직 발표되지 않았다.

협력은 싱가포르 국경 밖으로도 확대된다. 싱가포르가 주도한 사기 대응 정책 및 모범 사례에 관한 아세안 가이드는 2026년 초 회원국들의 승인을 받았다. 테오는 정부 단독으로 대응하거나 각국이 따로 움직이는 것만으로는 여러 서비스와 국경을 넘나드는 위협에 온전히 맞설 수 없다고 강조했다.

페어윈드, 핵심 시스템의 취약점 겨냥

구글은 별도로 10월 14일 싱가포르가 페어윈드(Fairwind) 프로그램에 참여한다고 발표했다. 이에 따라 싱가포르 정부는 취약점을 찾아 검증하고 해결하는 첨단 AI 사이버보안 도구를 이용할 수 있게 된다.

구글은 이 도구를 사용하면 수주가 걸리는 작업을 수분으로 단축할 수 있다고 밝혔다. 목표는 공격자가 취약점을 악용하기 전에 보안 결함을 수정해 핵심 시스템과 서비스의 중단 위험을 줄이는 것이다.

페어윈드와 사기 탐지 모델은 서로 다른 문제를 다룬다. 페어윈드는 소프트웨어와 시스템의 취약점에 관한 것이다. 휴대전화 모델은 메시지 앱 자체가 의도대로 작동하는 상황에서도 대화를 통해 사람을 속이려는 시도를 다룬다.

싱가포르 시스템에서 작업 속도가 얼마나 개선되는지 보여주는 구체적인 결과는 공개되지 않았다. 이는 정부 운영 전반에서 측정된 개선폭이 아니라 프로그램이 목표로 하는 역량을 설명한 것이다. 그럼에도 두 사업은 범죄자도 AI를 사용할 수 있다는 이유로 AI를 포기하는 대신 방어에 활용한다는 같은 정책 방향을 보여준다.

양자 위협, 기술적 돌파구가 오기 전에 대비해야

양자 대책의 초점은 정보를 보호하고 디지털 통신과 거래를 신뢰할 수 있는지 확인하는 수학적 기법인 암호화다. 충분히 강력한 양자 컴퓨터는 금융 거래와 민감한 통신, 디지털 시스템을 보호하는 데 현재 사용되는 일부 방식을 깰 수 있다.

양자 컴퓨팅은 양자물리학의 원리를 활용해 기존 컴퓨터와 다른 방식으로 계산을 수행한다. 보안상 우려는 모든 암호화 방식이 이미 안전하지 않다는 뜻이 아니라, 기기가 필요한 성능에 도달하면 널리 쓰이는 일부 방식이 취약해질 수 있다는 점이다.

테오는 시점을 알 수 없다고 밝히면서도 기관들이 지금 대비해야 하는 이유를 설명했다.

“언제 이런 일이 일어날지는 알 수 없습니다. 하지만 대비해야 한다는 점은 알고 있습니다. 악의적인 행위자들은 양자 컴퓨터가 미래에 암호를 해독할 때까지 기다리며 민감한 암호화 데이터를 훔치려 이미 움직이고 있습니다”라고 그는 말했다.

이 때문에 수년 동안 기밀을 유지해야 하는 정보에는 현재의 위험이 따른다. 공격자는 지금 암호화된 데이터를 수집해 보관하다가 미래 기술로 복호화할 수 있게 되면 이를 해독할 수 있다. 따라서 비밀 정보가 얼마나 오래 보호돼야 하는지는 현재 보안 강도만큼 중요하다.

대규모 기관이 전환을 완료하려면 수년이 걸릴 수 있다. 위험을 평가하고 데이터와 시스템의 우선순위를 정하며, 취약한 암호 기술을 파악하고, 공급업체와 조율하고, 대안을 시험한 뒤 단계적으로 변경해야 한다. 양자 기술의 돌파구가 확인될 때까지 기다리면 이 작업을 마칠 시간이 부족해질 수 있다.

핵심 인프라 전환 목표는 2031년

싱가포르 사이버보안청(CSA)은 6월 핵심 정보 인프라 소유자를 위한 전환 단계별 지침을 발표했다. 핵심 정보 인프라는 필수 서비스를 지원하는 컴퓨터 시스템을 뜻하며, 해당 인프라 소유자는 2031년까지 전환을 완료할 것으로 예상된다.

대상 분야에는 에너지, 수도, 은행·금융, 의료, 교통, 정보통신, 미디어, 보안·응급 서비스, 정부가 포함된다. 이들 시스템에 장애가 발생하면 운영 기관을 넘어 광범위한 서비스에 영향을 미칠 수 있어 전환 프로그램에서 우선순위로 다뤄진다.

싱가포르는 다른 기관들이 2035년까지 전환을 추진할 수 있도록 지원하는 지침도 마련할 계획이다. 테오는 수년 동안 기밀로 유지해야 하는 정보를 보유한 기관과 통신·디지털 거래 같은 핵심 서비스를 제공하는 업체를 관련 사례로 들었다.

두 목표를 동일한 요건으로 받아들여서는 안 된다. 2031년 목표는 핵심 인프라 소유자를 위한 CSA 지침과 연계돼 있다. 2035년은 싱가포르가 발표할 계획인 지침에 따른 다른 기관들의 폭넓은 전환 목표다. 어느 날짜도 양자 컴퓨터가 기존 암호 기술을 깨뜨릴 시점을 예측한 것은 아니다.

시드 지원금으로 전환을 실무 시험 단계로

새로운 양자 보안 지원금은 제한된 기간 동안 기관에 자금을 제공해 계획 단계에서 실제 이행 단계로 옮겨가도록 돕는다. 실무상 어려움을 파악하고, 실제 운영 환경에서 해결책을 시험하며, 본격적인 도입에 앞서 경험을 쌓는 것이 목적이다.

지원 대상은 모든 기관이며 핵심 정보 인프라 소유자가 우선순위다. 지원을 받는 시범 사업은 최대 6개월간 진행할 수 있으며, 기관 내부에서 수행하거나 솔루션 제공업체와 함께 진행할 수 있다. 프로그램 기간은 11월 1일부터 2027년 10월 31일까지로 명시됐지만, 지원 세부 정보에는 시작 연도가 명확히 기재되지 않았다.

우선 지원 사업에는 애플리케이션이나 시스템 전체를 전환하는 작업과 암호 기술의 사용 현황을 파악해 목록화하는 작업이 포함된다. 암호 기술 목록을 작성하면 기관은 어떤 기술을 교체해야 하는지, 어떤 공급업체나 시스템이 관련돼 있는지를 파악할 수 있다.

발표된 일정은 다음과 같다.

• 2026년 6월: CSA가 핵심 정보 인프라 소유자를 위한 전환 단계별 지침을 발표했다.
• 2026년 10월 14일: 싱가포르 국제 사이버 위크에서 휴대전화 사기 모델, 폭넓은 양자 전환 계획, 구글과의 사이버보안 협력을 발표했다.
• 11월 1일: 양자 보안 지원금 프로그램의 명시된 시작일.
• 2027년 10월 31일: 지원금 프로그램의 명시된 종료일. 개별 지원 시범 사업은 최대 6개월간 진행된다.
• 2031년: 핵심 정보 인프라 소유자의 전환 완료 예상 시점.
• 2035년: 계획된 지침에 따른 다른 기관들의 폭넓은 전환 목표 시점.

발표에는 지원금 규모가 명시되지 않았다. 안드로이드 모델의 출시일도 발표되지 않았다. 당장은 사기 방지 기능의 설치와 사용 방법에 대한 추가 정보를 기다리는 한편, 암호화 전환에 대비하는 기관들의 실무 시범 사업을 진행하게 된다.

핵심 내용

• GovTech와 구글 딥마인드는 대화를 기기에서 분석하고 조작 징후를 사용자에게 경고하는 안드로이드 사기 탐지 모델을 개발하고 있다.
• 이 모델은 사용자 동의를 전제로 하며 비공개 대화를 기기 안에 보관하도록 설계됐다.
• 싱가포르의 2026년 상반기 사기 피해액은 1만6,821건에서 4억1,060만 싱가포르달러로, 전년 대비 감소했지만 여전히 큰 규모다.
• 구글의 페어윈드 프로그램은 취약점을 더 빠르게 찾아 검증하고 해결하는 것을 목표로 하는 AI 도구를 싱가포르에 제공한다.
• 핵심 정보 인프라 소유자는 2031년까지 양자 보안 전환을 완료할 것으로 예상되며, 다른 기관들의 폭넓은 전환 목표 시점은 2035년이다.
• 새 지원금은 최대 6개월간 진행되는 양자 보안 실무 시범 사업을 지원하며, 핵심 인프라 소유자가 우선 대상이다.