Faryam Asif, Shufti 최고 기술 책임자 – 인터뷰 시리즈

Faryam Asif, Shufti 최고 기술 책임자는 AI 기반 신원 확인, 사기 방지 및 안전한 디지털 온보딩을 전문으로 하는 기술 경영자입니다. 2018년 소프트웨어 개발자로 Shufti에 합류한 이후 여러 리더십 역할을 거쳐 2025년에 최고 기술 책임자가 되었으며, 회사의 기술 전략과 글로벌 신원 확인 플랫폼 개발을 총괄하고 있습니다. 또한 그는 Programmers Force의 최고 개발 책임자로서 풍부한 소프트웨어 엔지니어링, 제품 개발 및 기술 리더십 경험을 제공합니다.

Shufti는 전 세계 240개 이상의 국가와 지역에서 운영되는 글로벌 신원 확인 및 컴플라이언스 플랫폼으로, 금융 기관, 핀테크, 암호화폐 플랫폼, 마켓플레이스 및 기타 규제 산업을 위해 AI 기반 KYC, KYB, AML 및 사기 방지 솔루션을 제공합니다. 생체 인증, 문서 인증, 라이브니스 감지 및 AI 기반 위험 분석을 결합하여 조직이 고객 온보딩을 간소화하고 규제 요구 사항을 충족하며 점점 정교해지는 디지털 사기에 대비할 수 있도록 돕습니다.

당신은 2018년에 소프트웨어 개발자로 Shufti에 입사한 이후 회사의 신원 확인 인프라를 글로벌 플랫폼으로 구축하고 확장하는 데 기여했습니다. 그 기간 동안 신원 사기의 성격은 어떻게 변했으며, 기술 리더십 관점에서 가장 놀라웠던 변화는 무엇인가요?

제가 2018년에 Shufti에 소프트웨어 개발자로 합류했을 때, 대부분의 사기 시도는 아직 비교적 수동적이었습니다. 편집된 문서, 프레젠테이션 공격, 그리고 꽤 기본적인 스푸핑 기술을 다루고 있었습니다. 지난 7년 동안 사기는 상당한 노력과 전문 지식이 필요했던 것에서 AI를 활용해 즉시 생성할 수 있는 형태로 진화했습니다.

가장 놀라운 점은 사기의 정교함뿐만 아니라 접근성이 크게 높아졌다는 것입니다. 생성형 AI가 사실상 사기를 민주화했습니다. 한때 전문 기술이 필요했던 능력이 이제는 소비자 수준 도구를 통해 사용할 수 있게 되었습니다. 우리가 Deepfake Fraud Index에서 강조한 바와 같이, 사기는 점점 소프트웨어처럼 행동하고 있습니다: 자동화가 가능해지면 빠르게 규모가 확대됩니다.

두 가지 발전이 눈에 띕니다. 첫 번째는 공격자가 카메라를 완전히 우회하고 합성 콘텐츠를 검증 스트림에 직접 주입하는 인젝션 공격입니다. 두 번째는 AI가 생성한 페르소나를 대규모로 만들어 온보딩 시스템을 악용하거나 금융 서비스를 얻거나 자금 세탁을 촉진하는 합성 신원입니다. 진짜와 합성 콘텐츠 사이의 경계가 크게 흐려졌으며, 이러한 변화는 신원 확인 접근 방식을 근본적으로 바꾸었습니다.

Shufti의 Deepfake Fraud Index는 2026년에 문서 딥페이크가 거의 3,900% 증가할 것으로 예상하며, 이는 AI 기반 사기 중 가장 빠르게 성장하는 카테고리가 될 것이라고 합니다. 이러한 폭발적인 성장의 원인은 무엇이며, 왜 사기범들이 얼굴이나 비디오 스트림보다 문서를 더 많이 노리는 걸까요?

우리 Deepfake Fraud Index는 2026년에 문서 딥페이크가 거의 3,900% 증가할 것으로 예상합니다. 이는 AI 기반 사기 중 가장 빠르게 성장하는 카테고리가 될 것입니다. 성장의 원인은 두 가지 힘에 의해 추진됩니다: 생성형 AI의 급속한 발전과 거의 모든 사람이 설득력 있는 가짜 문서를 만들 수 있게 하는 도구의 접근성 증가입니다.

한때 전문 편집 기술이 필요했던 작업이 이제는 현실적인 여권, 운전면허증, 공과금 청구서, 은행 명세서 및 기타 온보딩 문서를 생성할 수 있는 AI 도구를 통해 가능해졌습니다. 동시에 많은 기존 검증 시스템은 여전히 OCR 및 템플릿 매칭에 크게 의존하고 있습니다. 텍스트를 읽고 레이아웃을 검증할 수는 있지만, 문서 자체가 진짜인지 판단하는 데는 어려움을 겪습니다.

사기범들이 문서를 노리는 이유는 가장 낮은 저항 경로이기 때문입니다. 최신 라이브니스 시스템을 무력화하려면 여러 탐지 레이어를 넘어야 하지만, 많은 문서 워크플로는 비교적 단순한 검증 기술에 의존합니다. 또한 조작된 문서는 여러 기관과 온보딩 흐름에서 재사용될 수 있어 공격자에게 훨씬 높은 투자 대비 수익을 제공합니다.

우리가 목격하고 있는 성장은 궁극적으로 사기 경제학을 반영합니다. 공격자는 검증 프로세스에서 가장 약한 통제 지점을 지속적으로 노리며, 많은 조직에서 문서는 여전히 가장 약한 고리입니다.

보고서는 합성 신원을 AI 기반 사기의 가장 큰 카테고리로 식별했으며, AI 사기 활동의 40% 이상을 차지한다고 합니다. 왜 합성 신원이 이렇게 효과적인 공격 벡터가 되었으며, 금융 기관 및 암호화폐 플랫폼에 특히 위험한 이유는 무엇인가요?

합성 신원은 많은 검증 시스템의 근본적인 약점을 이용하기 때문에 효과적입니다: 개별 데이터 포인트만 평가하면 정당해 보이기 때문입니다.

과거에는 합성 신원이 실제와 조작된 정보를 결합하는 경우가 많았습니다. 현재 우리는 AI가 생성한 얼굴과 존재하지 않는 페르소나를 기반으로 한 합성 신원을 점점 더 많이 보고 있습니다. 우리 Deepfake Fraud Index는 합성 신원이 AI 기반 사기 활동의 42.3%를 차지하며, 오늘날 AI 기반 신원 사기 중 가장 큰 카테고리임을 밝혔습니다.

금융 기관, 핀테크 및 암호화폐 플랫폼에 대한 위험은 크습니다. 성공적인 온보딩은 즉시 금전적 가치를 제공하기 때문입니다. 합성 신원이 생태계에 들어오면 계좌 개설, 신용 이용, 인센티브 청구, 자금 이동 또는 자금 세탁 활동에 활용될 수 있습니다.

합성 신원이 특히 위험한 이유는 지속성입니다. 전통적인 사기는 실제 피해자가 존재하기 때문에 빠르게 감지되는 경우가 많습니다. 반면 합성 신원은 발견되기까지 수개월, 심지어 수년이 걸릴 수 있습니다. 발견될 때쯤 이미 상당한 재정 손실이 발생했으며, 계정을 추적할 실제 개인이 존재하지 않을 수도 있습니다.

암호화폐 거래소, 디지털 자산 플랫폼 및 핀테크 기업은 원격 온보딩에 크게 의존합니다. 현재 AI 기반 신원 사기에 가장 많이 노출된 분야는 어디이며, 조직이 위협을 과소평가하고 있는 영역은 어디라고 보시나요?

가장 많이 노출된 분야는 완전 원격 온보딩과 즉시 금전적 가치 접근을 결합한 분야입니다. 여기에는 암호화폐 거래소, 디지털 자산 플랫폼, 디지털 은행, 핀테크, 온라인 대출업체, 선구매 후 결제 제공업체, 그리고 iGaming 운영자가 포함됩니다.

공통적인 요인은 온보딩을 성공적으로 통과하면 돈, 신용, 지갑, 결제 인프라 또는 이전 가능한 자산에 접근할 수 있다는 점입니다. 이는 공격자에게 강력한 동기를 제공합니다.

조직이 위협을 계속 과소평가하는 부분은 레거시 검증 가정에 대한 의존입니다. 많은 기업이 여전히 “문서가 알려진 템플릿과 일치하면 진짜일 것”이라고 믿고 있습니다. AI가 대규모로 매우 설득력 있는 문서를 생성할 수 있는 시대에 이러한 가정은 점점 위험해지고 있습니다.

전통적인 고위험 분야 외에도 저는 마켓플레이스, 기그 경제 플랫폼 및 임베디드 파이낸스 제공업체도 노출 위험을 과소평가하고 있다고 생각합니다. 사기 도구가 더 쉽게 접근 가능해짐에 따라 원격 신뢰 구축에 의존하는 모든 플랫폼이 잠재적 표적이 됩니다.

많은 기업이 여전히 셀피 기반 검증을 주요 보안 수단으로 사용하고 있습니다. 귀하의 보고서는 단일 셀피 검증만으로는 충분하지 않다고 주장합니다. 전통적인 온보딩 워크플로에서 어떤 취약점이 존재하며, 2026년의 현대적인 신원 확인은 어떻게 모습이어야 할까요?

단일 셀피만으로는 충분하지 않습니다. AI가 실시간으로 현실적인 인간 얼굴을 생성할 수 있기 때문입니다. 온보딩이 주로 셀피 검증에 의존한다면 조직은 실제 인물, 스푸프, 혹은 완전 합성 신원을 구분할 시야가 제한됩니다.

전통적인 온보딩 워크플로는 여전히 프레젠테이션 공격, 비디오 재생, 딥페이크, 얼굴 스와핑, 인젝션 공격 및 AI가 생성한 얼굴과 조작된 문서를 결합한 합성 신원에 취약합니다. 공격자는 이제 하나의 제어만 속이려는 것이 아니라 온보딩 전 과정을 겨냥한 공격을 설계하고 있습니다.

현대적인 신원 확인은 계층화되어야 합니다. 하나의 신호에 의존하기보다 iBeta Level 3 라이브니스 감지, 얼굴 매칭, 문서 검증, 인젝션 공격 탐지, 디바이스 인텔리전스, 행동 분석 및 가능한 경우 권위 있는 데이터베이스 검증과 같은 인증된 안티스푸핑 기술을 결합해야 합니다.

목표는 단순히 “사람이 실제처럼 보이는가”를 판단하는 것이 아니라, 신원 자체가 진정하고 신뢰할 수 있으며 여러 독립적인 신호와 일관되게 연결되어 있는지를 입증하는 것입니다.

딥페이크 기술은 생성형 AI 모델과 함께 빠르게 발전하고 있습니다. 사기 탐지 시스템은 이를 따라잡고 있나요, 아니면 공격자가 방어자보다 일시적으로 우위에 설 가능성이 있나요?

이는 매우 치열한 무기 경쟁이며, 전투가 이미 끝났다고 주장하는 사람에 대해서는 조심스러워야 합니다.

공격자는 AI 혁신의 빠른 속도와 생성 도구의 가용성 증가로 큰 이점을 얻고 있습니다. 레거시 검증 기술에 의존하는 조직은 이미 불리한 위치에 있습니다. 이러한 환경에서는 공격자가 우위를 점하고 있습니다.

동시에 현대적인 탐지 시스템도 빠르게 진화하고 있습니다. 업계 전반에 걸쳐 고급 포렌식 접근 방식이 AI 생성 콘텐츠를 식별하는 데 점점 더 효과적이 되고 있으며, 생성 아티팩트, 캡처 무결성 신호, 압축 패턴, 생체 불일치 및 암호학적 출처 등을 분석합니다.

현실은 어느 쪽도 영구적인 우위를 점하지 못한다는 것입니다. 성공은 적응력에 달려 있습니다. 사기 방지는 더 이상 정적인 제어에 의존할 수 없으며, 새로운 공격 기법이 등장할 때마다 대응할 수 있는 지속적인 탐지 모델이 필요합니다.

보고서(report)는 세 가지 주요 공격 방법을 강조합니다: 프레젠테이션 공격, 인젝션 공격, 합성 신원 생성. 이 중 가장 우려되는 공격 벡터는 무엇이며, 그 이유는 무엇인가요?

하나를 선택해야 한다면 합성 신원 생성이 가장 우려됩니다.

프레젠테이션 공격과 인젝션 공격도 심각한 위협이지만, 합성 신원은 신원 레이어 자체를 공격하기 때문에 더 깊고 지속적인 문제를 야기합니다. 목표는 단순히 검증 세션을 우회하는 것이 아니라, 장기간 금융 생태계 내에서 작동할 수 있는 사기 신원을 구축하는 것입니다.

합성 신원이 성공적으로 온보딩되면 신용을 얻고, 뮬 계정을 만들고, 불법 자금을 이동시키고, 인센티브를 악용하며, 보다 광범위한 금융 범죄를 촉진할 수 있습니다. 많은 경우 실제 피해자가 없어 오랫동안 감지되지 않습니다.

가장 우려되는 점은 확장성입니다. 생성형 AI와 자동화된 온보딩 시스템이 결합되면 대량으로 합성 신원을 생성·배포할 수 있어 금융 기관, 핀테크 및 암호화폐 플랫폼에 시스템적 위험을 초래합니다.

디지털 자산이 주류로 자리 잡고 전 세계적인 규제 감시가 강화됨에 따라, AI 기반 신원 사기가 KYC 및 AML 컴플라이언스 요구 사항에 어떤 영향을 미칠 것으로 보시나요?

AI 기반 사기는 일회성 검증에서 지속적인 신뢰 평가로의 전환을 가속화하고 있습니다.

과거에는 KYC가 주로 온보딩 단계에서만 수행되는 것으로 여겨졌습니다. 그러나 합성 신원, 딥페이크 및 AI 생성 문서가 초기 검증을 통과할 수 있는 상황에서는 이러한 접근 방식이 점점 효과를 잃고 있습니다. 조직은 고객 수명 주기 전반에 걸쳐 신뢰를 모니터링해야 할 필요성이 커지고 있습니다.

실제로 이는 행동 분석, 거래 모니터링, 디바이스 인텔리전스, 지속적인 제재 및 PEP 스크리닝, 그리고 계정 간 위험 상관관계에 대한 강조를 의미합니다. 컴플라이언스 프로그램은 온보딩 이후에도 계정이 여전히 신뢰할 수 있는지를 지속적으로 평가해야 합니다.

또한 규제 당국은 조직이 신원을 검증했을 뿐만 아니라 어떻게 검증했는지를 입증하기를 점점 더 요구할 것으로 보입니다. AI 생성 사기 위험을 적극적으로 고려하고 완화했음을 증명하는 감사 가능성은 KYC 및 AML 프레임워크에서 중요한 요소가 될 것입니다.

전 세계 규제 기관들은 AI 생성 콘텐츠와 디지털 신원 사와 관련된 위험을 다루기 시작하고 있습니다. 향후 몇 년간 금융 기관, 핀테크 및 암호화폐 기업에 가장 큰 영향을 미칠 규제 변화는 무엇이라고 예상하시나요?

규제 기관은 AI 생성 사기를 일반 사이버 보안 문제로만 보던 접근에서 벗어나 직접적으로 다루기 시작하고 있습니다. 중요한 사례 중 하나는 EU AI Act로, AI 생성 및 조작된 콘텐츠에 대한 투명성 의무를 도입하고 있습니다. 전 세계적으로 유사한 프레임워크가 등장할 것으로 예상되며, 딥페이크와 합성 신원이 기존 사기 관리 범위를 넘어서는 위험을 초래한다는 인식이 확대될 것입니다.

또한 생체 보안, 프레젠테이션 공격 탐지 및 안티스푸핑 제어에 대한 강력한 요구 사항이 강화될 것으로 보입니다. iBeta 및 NIST 관련 평가 프레임워크와 같은 표준이 컴플라이언스와 위험 관리 효율성을 입증하는 데 더 큰 역할을 할 것입니다.

동시에 GDPR 및 CCPA와 같은 개인정보 보호 규정은 데이터 최소화와 프라이버시 보호 신원 확인 모델을 지속적으로 추진할 것입니다. 이는 디지털 신원 지갑, 재사용 가능한 인증서 및 속성 기반 검증 모델의 채택을 가속화하여 조직이 불필요한 개인 데이터를 수집하지 않고도 특정 주장만을 검증할 수 있게 합니다.

결과적으로 보안, 프라이버시 및 신뢰를 동시에 다루어야 하는 보다 성숙한 규제 환경이 조성될 것입니다.

앞으로 3~5년을 내다볼 때, 신원 확인 산업이 생성형 AI 사기에 대한 무기 경쟁에서 최종적으로 승리할 것이라고 보시나요, 아니면 디지털 신뢰가 기존 신원 확인을 넘어서는 완전히 새로운 모델을 필요로 할까요?

전통적인 문서 기반 검증만으로는 생성형 AI 사기를 물리칠 수 없다고 생각합니다. 기술은 계속 발전하고 공격자는 계속 적응할 것이며, 문서와 셀피 검증만으로는 충분하지 않을 것입니다.

하지만 디지털 신뢰는 보다 넓고 탄력적인 모델로 진화하고 있습니다. 전통적인 KYC는 여전히 중요하지만, 신뢰할 수 있는 디지털 신원, 생체 인증, 디바이스 인텔리전스, 행동 분석, 암호화된 인증서 및 지속적인 위험 모니터링이 점점 더 큰 비중을 차지하게 될 것입니다.

정부 지원 디지털 신원 프로그램, 재사용 가능한 인증서 및 신뢰할 수 있는 디지털 신원 생태계가 이미 등장하고 있습니다. 종이 기반 문서로 동일한 개인을 반복 검증하는 대신, 조직은 더 적은 마찰로 강력한 보증을 제공하는 신뢰 네트워크에 의존하게 될 것입니다.

디지털 신뢰의 미래는 여러 보증 레이어가 함께 작동하는 구조 위에 구축될 것입니다. 생성형 AI가 디지털 신뢰를 없애는 것이 아니라, 더 강하고 회복력 있는 버전으로 만들고 있습니다. 고객 수명 주기 전반에 걸쳐 지속적으로 신뢰를 평가하는 조직이 성공할 것이며, 단일 검증 이벤트에만 의존하지 않을 것입니다.

훌륭한 인터뷰에 감사드립니다. 더 알고 싶으신 독자분들은 Shufti를 방문하시기 바랍니다.