[뉴스스페이스=이종화 기자] 마이크로소프트가 불명예스러운 분야에서 1위를 차지했다. 바로 브랜드 사칭 피싱 시도의 22.6%를 차지하며 압도적 1위 자리를 지켰다.

이스라엘 보안업체 체크포인트 소프트웨어 테크놀로지스가 지난 7월 23일 발표한 '2026년 2분기 브랜드 피싱 보고서'에 따르면, 마이크로소프트가 전체 브랜드 사칭 피싱 시도 1위, 오픈AI의 챗GPT가 1.1%의 비중으로 사상 처음 '가장 많이 사칭된 브랜드' 상위 10위권에 진입했다.

마이크로소프트 독주 속 순위 재편

체크포인트 집계에서 마이크로소프트는 2위 링크드인(11.6%)의 거의 두 배에 달하는 점유율로 독보적 1위를 기록했으며, 이어 구글(6.7%), 애플(5.8%), 아마존(5.2%)이 뒤를 이었다.

상위 5개 브랜드만으로 전체 사칭 시도의 절반을 넘어섰다는 점은 공격자들이 소수의 글로벌 플랫폼에 화력을 집중하고 있음을 시사한다. 이어 어도비(3.8%), 페이스북(1.9%), 왓츠앱(1.4%), 페이팔(1.3%)이 6~9위를 형성했고, 챗GPT가 1.1%로 10위에 처음 이름을 올렸다.

산업별로는 기술 분야가 가장 많이 표적이 됐고, 소셜네트워크와 금융(뱅킹) 업종이 뒤를 이었다.

챗GPT 결제 사칭, 국내서도 피해 현실화

체크포인트가 소개한 대표 사례는 '챗GPT 플러스' 결제 실패를 가장한 이메일로, 클릭 시 신용카드 정보를 탈취하는 가짜 결제 페이지로 연결됐다. 같은 분기 마이클코어스 온라인스토어를 통째로 복제해 장바구니·결제 과정까지 재현한 캠페인도 함께 포착됐다.

이런 위협은 해외 통계에 그치지 않고 국내에서도 실제 금전 피해로 이어졌다. SBS 보도에 따르면 지난 6월 국내에서만 챗GPT 프로 요금제(월 29만 9000원) 명의로 858건, 약 2억 5000만 원 상당의 부정 결제 의심 사례가 확인됐으며, 오픈AI 측은 도난된 카드 정보가 무단 도용된 것으로 확인됐다고 밝혔다.

팔로알토 네트웍스 산하 유닛42는 앞서 챗GPT 관련 신규 등록 도메인이 반년 새 910% 급증했고, 매일 100개 이상의 관련 악성 URL이 탐지됐다고 경고한 바 있다. 카스퍼스키도 챗GPT 등 AI 서비스를 사칭한 사이버 위협이 전년 대비 115% 증가했다고 집계했다.

AI가 공격 도구이자 표적으로

체크포인트는 마이크로소프트·구글·애플과 나란히 챗GPT가 이름을 올린 것을 두고 "AI 도구가 사이버 범죄자들의 명확한 표적이 됐다는 신호"라고 진단했다. 동시에 피싱 페이지 자체가 AI로 제작되면서 왜곡된 로고, 작동하지 않는 버튼, 부자연스러운 소셜 링크 등 미묘한 결함이 남는다는 점도 지적됐다.

보안업계에서는 이를 '챗지피시(ChatGPhish)'라는 신조어로 부르기 시작했는데, 이는 챗GPT의 웹 요약 기능에 악성 명령어를 은밀히 심는 간접 프롬프트 주입 기법으로 사용자를 피싱 사이트로 유인하는 신종 공격을 지칭한다.

결국 공격자들은 수천 개 기업에 화력을 분산하는 대신, 사용자가 즉각적·무의식적으로 반응하기 쉬운 소수의 초대형 브랜드에 집중하는 전략을 정교화하고 있으며, 수억 명이 이용하는 챗GPT의 대중화가 이 명단에 새로운 이름을 올린 배경으로 풀이된다.