알고리즘이 추천한 치명적 로맨스: 틱톡 로맨스 스캠과 몸캠피싱의 결합 메커니즘

사용자의 스크롤 반응 속도, 시선이 머무는 시간, 반복 시청 패턴을 밀리초 단위로 계산하는 틱톡(TikTok)의 추천 알고리즘은 전 세계에서 가장 정교한 개인화 엔진으로 꼽힙니다. 하지만 사이버 위협 인텔리전스(CTI)의 시선에서 볼 때, 이 극대화된 알고리즘의 최적화는 사이버 범죄 조직이 타깃의 심리적 취약점을 낚아채는 가장 효율적인 인바운드 트래픽 수집기로 오용되고 있습니다.

최근 CTI 모니터링망에 포착되는 공격 양상은 단일 사기 수법에 머무르지 않습니다. 호감을 미끼로 피해자를 서서히 살찌운 뒤 막대한 자산을 갈취하는 이른바 ‘도살형 로맨스 스캠(Pig Butchering Scam)’의 구조에, 사생활 영상을 녹화하고 주소록을 탈취해 사회적 관계를 인질로 삼는 ‘몸캠피싱’이 정교하게 결합된 하이브리드 갈취 범죄로 진화했습니다.

단순한 무작위 스팸을 넘어, 사용자가 스스로 영상을 찾아오게 만드는 알고리즘 역이용 기법부터 단말기 제어권을 찬탈하는 악성 페이로드의 기술적 메커니즘을 심층 분석합니다.

1. 숏폼 알고리즘을 악용한 인바운드 유인과 메신저 고립

공격 조직이 틱톡 내부에서 직접 금전을 요구하거나 피싱 링크를 배포하지 않는 이유는 플랫폼의 엄격한 인공지능(AI) 감시 체계 때문입니다. 틱톡은 영상 내부의 텍스트, 음성, 메타데이터를 실시간 분석하여 사기 의심 계정을 즉각 정지시키는 모니터링 엔진을 가동합니다.

범죄 조직은 이 방어망을 회피하기 위해 틱톡을 오직 타깃을 포섭하는 '최상단 깔때기(Top-of-Funnel)'로만 활용합니다.

• 생성형 AI 및 도용 미디어를 통한 페르소나 구축: 고급 승용차, 골프, 명품, 성공한 자산가의 일상을 담은 짧은 영상 클립을 지속적으로 업로드합니다. 최근에는 딥페이크와 AI 음성 합성 기술을 결합하여 실존 인물처럼 보이는 정교한 가상 인물을 구축합니다.

• 알고리즘을 겨냥한 해시태그 최적화: 재테크, 부업, 일상 브이로그, 감성 소통 관련 인기 해시태그를 전략적으로 배치하여 정서적 교류나 경제적 성공에 관심이 높은 사용자 풀의 '추천(For You)' 피드에 영상을 지속 노출시킵니다.

• 1:1 폐쇄형 메신저로의 트래픽 전환: 영상에 반응한 타깃에게 접근한 뒤, "틱톡은 업무 때문에 확인이 어렵다", "더 편하게 개인적인 이야기를 나누고 싶다"며 라인(LINE), 카카오톡, 텔레그램 등 외부 개인 메신저로 대화 공간을 옮깁니다. 플랫폼의 보호막을 벗겨내고 외부의 개입을 차단하는 밀폐된 사냥터를 구성하는 단계입니다.

2. 가짜 투자와 몸캠피싱의 이중 덫: 악성 페이로드의 침투 구조

밀폐된 메신저로 타깃을 끌어들인 공격 조직은 피해자의 성향과 반응에 따라 두 가지 파괴적인 공격 벡터를 순차적 혹은 동시다발적으로 가동합니다.

트랙 A: 웹소켓을 조작한 가짜 가상자산 거래소

공격자는 자신이 큰 수익을 올리고 있다며 사설 거래소 링크를 건넵니다. 이 플랫폼은 백엔드 조작 서버에서 인위적으로 생성한 가짜 시세 패킷을 쏴주며 무조건 고수익이 나는 것처럼 시세 그래프를 실시간으로 그립니다.

피해자가 테더(USDT) 등 암호화폐를 입금하는 순간 자금은 공격자의 집결 지갑으로 즉시 전송되며, 출금을 요구하면 "세금 선납 필요", "계좌 동결 해제 보증금"을 빌미로 자산을 끝까지 갈취합니다.

트랙 B: 음성 코덱 위장 악성 APK와 몸캠피싱 연계

친밀감이 최고조에 달하면 공격자는 "얼굴을 보며 대화하자"며 영상 통화를 제안합니다. 통화 연결 도중 "화면이 안 나온다", "음성 코덱이 맞지 않는다"며 특정 설치 파일(.apk)을 전송합니다.

이 파일은 겉보기엔 단순 뷰어 같지만, 설치되는 순간 안드로이드 운영체제의 접근성 서비스(AccessibilityService) 권한을 찬탈합니다. 백그라운드 프로세스는 즉시 주소록 전체(ContactsContract)와 통화 내역, SMS 인증 문자를 해커의 해외 C&C(명령제어) 서버로 전송합니다.

영상이 녹화되고 주소록이 유출되는 순간, 로맨스는 즉각 몸캠피싱 협박으로 전환됩니다. 공격자는 피해자의 가족과 직장 동료들의 전화번호를 화면에 띄우며 "코인 사기로 잃은 돈을 메우고 싶지 않다면, 그리고 이 영상을 지인들에게 뿌리지 않길 원한다면 지금 당장 추가 입금하라"는 식의 잔혹한 이중 인질극을 펼칩니다.

3. 기기 초기화라는 오판: 사이버 포렌식 추적의 단절

투자 사기임을 깨닫거나 몸캠피싱 협박 화면을 마주한 피해자가 공포와 수치심 속에서 저지르는 가장 치명적인 실수는 메신저 방을 나가버리거나 스마트폰을 공장 초기화하는 것입니다.

그러나 해외 C&C 서버와 블록체인 네트워크에 이미 넘어간 주소록, 사생활 영상, 코인 송금 내역은 내 폰을 백지화한다고 해서 단 1바이트도 사라지지 않습니다. 오히려 단말기 초기화는 가해자의 흔적은 그대로 둔 채, 사건의 실체를 증명하고 통신 경로를 추적할 유일한 침해 지표(IoC, Indicators of Compromise)를 스스로 인멸하는 행위가 됩니다.

• 가해자가 보낸 악성 APK 원본 바이너리 및 고유 해시값(SHA-256)

• 데이터가 무단 유출된 해외 C&C 서버의 IP 주소와 포트 번호

• 가짜 거래소의 도메인 호스팅 정보 및 웹소켓 세션 로그

• 협박 일시와 발신지를 소명할 수 있는 메신저 텍스트 원본

이 디지털 아티팩트들이 소멸하면 전문 포렌식 분석관도 공격 인프라를 규명할 수 없으며, 경찰 역시 지갑 동결이나 통신 영장 신청을 위한 최소한의 물적 증거를 상실하게 됩니다.

4. 2차 피해 확산을 막는 4단계 침해사고 대응(IR) 프로토콜

틱톡 로맨스 스캠 및 몸캠피싱 피해를 인지했다면 즉시 모든 금전 송금과 가해자와의 대화를 중단하고, 아래의 4단계 프로토콜에 따라 시스템을 격리해야 합니다.

1단계: 물리적 통신망 단절 (Air-Gapping)

• 의심 링크를 열람했거나 악성 앱을 설치했다면 즉시 비행기 모드를 가동하고 Wi-Fi, 모바일 데이터, 블루투스를 차단합니다.

• 기기의 전원은 끄지 않고 유지해야 합니다. 전원이 차단되면 단말기 휘발성 메모리(RAM)에 상주하던 프로세스 연결 흔적과 통신 세션 로그가 휘발될 수 있습니다.

2단계: 디지털 흔적 및 온체인 증거 패키징

• 블록체인 거래 증빙: 자금을 송금한 가상자산 거래소에서 출금 증명서를 발급받고, 트랜잭션 해시(TXID), 출금 일시, 상대방 수신 지갑 주소를 정리합니다.

• 포렌식 증거 보존: 가해자가 보낸 악성 APK 파일은 절대 지우지 말고 보존합니다. 가해자와의 대화 전체(텍스트 내보내기), 협박 화면 캡처, 가짜 거래소 URL을 안전한 격리 PC나 외장 메모리에 백업합니다.

3단계: 전문 기관 신고 및 신속 조치 접수

• 경찰청 사이버수사국(182 / ECRM): 온체인 증거와 악성 바이너리, 협박 내역을 제출하여 사기 및 공갈협박 혐의로 정식 고소장을 제출합니다.

• 디지털성범죄피해자지원센터(d4u.stop.or.kr / 02-735-8994) 및 방송통신심의위원회(1377): 몸캠피싱 피해 영상의 온라인 유포 징후를 감시하고, 주요 플랫폼 대상 모니터링 및 긴급 삭제·차단 심의를 요청합니다.

4단계: 2차 명의도용 차단 및 디지털 신원 잠금

• 감염된 단말기가 아닌 별도의 안전한 PC 환경에서 포털, 메신저, 금융 계정의 비밀번호를 복합 특수문자로 변경하고 '다른 모든 기기에서 로그아웃'을 실행합니다.

• 한국정보통신진흥협회(KAIT)의 엠세이퍼(Msafer) 명의도용 방지 서비스에 접속하여 본인 명의의 신규 알뜰폰 및 이동통신 개통을 전면 차단함으로써 2차 금융 탈취를 봉쇄합니다.

5. 전문 침해사고 대응(IR) 기업이 제공하는 기술적 지원

개인이 다국적 범죄 조직의 분산 인프라를 홀로 상대하는 것은 현실적으로 어렵습니다. 실효성 있는 피해 최소화(Mitigation)를 위해 전문 CTI 기업은 다음과 같은 정밀 분석을 투입합니다.

• 악성 APK 역공학 및 탈취 데이터 범위 특정:

  난독화된 악성 코드를 역공학하여 공격자가 실제로 기기 내부에서 탈취해 간 데이터가 주소록 전체인지, 특정 SMS인지 그 범위를 명확히 규명합니다. "모든 금융 정보를 다 털었다"는 식의 가해자 허세(Bluffing)를 기술적으로 검증하여 불필요한 공포를 배제합니다.

• C&C 통신 엔드포인트 추적 및 테이크다운 공조:

  하드코딩된 C&C 서버 IP와 가짜 거래소 호스팅 도메인을 특정하여 글로벌 보안 네트워크 및 해외 호스팅 제공자(ISP)에 악성 인프라 신고를 접수함으로써 자동화 유포 스크립트 가동을 지연시킵니다.

• 온체인 자금 흐름 추적(On-chain Forensics):

  탈취된 암호화폐(TXID)가 어떤 믹싱 서비스를 거쳐 어느 중앙화 거래소(CEX)의 입금 계좌로 집결되었는지 경로를 도식화하여 수사기관 제출용 전문 자금 추적 보고서를 패키징합니다.

• 법적 증거 능력을 갖춘 포렌식 기술 소명서 발행:

  수사기관이 압수수색 영장이나 계좌 지급정지 처분을 신속히 집행할 수 있도록 증거 연계보관성(Chain of Custody)을 만족하는 공식 기술 분석 보고서를 제공합니다.

허상을 깨뜨리는 데이터의 힘

틱톡 로맨스 스캠과 몸캠피싱의 결합은 피해자의 친밀감과 사회적 평판을 지렛대 삼아 이성적인 방어선을 무너뜨리는 고도의 심리전입니다. 화면 너머의 화려한 프로필과 조작된 가짜 수익금, 그리고 잔혹한 협박 메시지는 모두 피해자를 고립시키기 위해 설계된 허상에 불과합니다.

그러나 공격자가 남긴 조작된 웹소켓 트래픽, 악성코드 내부의 C&C 통신 패킷, 그리고 블록체인 네트워크에 각인된 온체인 트랜잭션 해시(TXID)는 결코 지워지지 않는 물리적 실체입니다.

공포와 자책감에 사로잡혀 증거를 인멸하지 마십시오. 단말기와 네트워크에 새겨진 침해 지표를 온전히 보존하고, 냉정한 기술적 프로토콜을 바탕으로 전문적인 대응을 펼쳐나갈 때 비로소 범죄 조직의 사슬을 끊고 빼앗긴 일상의 주도권을 되찾을 수 있습니다.