연계정보 점검 메일을 두고 오간 진위 확인

월요일 저녁 7시가 막 넘은 에이전트코리아에 한 참가자가 질문을 올렸다. 한국인터넷진흥원 연계정보 지원실이라는 이름으로 메일을 받은 사람이 있느냐는 물음이었다. 연계정보는 주민등록번호 대신 본인확인이나 서비스 간 연계에 쓰이는 식별값이다. 이 참가자는 연계정보를 이용하려면 자료를 제출하라는 내용인데, 보낸 주소의 업체가 무엇을 하는 곳인지 어디에도 나와 있지 않다고 적었다. 곧이어 메일 제목도 옮겼다. 연계정보 이용기관의 안전조치 실태점검에 따른 자료 제출을 안내하는 추가 요청이라는 제목이었다.

의심이 먼저 나왔다

첫 반응은 짧고 단호했다. 한 참가자는 이렇게 적었다.

사기꾼의 냄새가

몇 분 뒤 다른 참가자는 발신 주소의 끝부분을 문제 삼았다.

co.kr에서 수상한 냄새가 나는데요

또 다른 참가자는 krcert.or.kr로 끝난다고만 적었고, 어느 주소를 말하는지는 밝히지 않았다. 이 참가자가 바로 아래 확인 글을 올린 참가자와 같은 사람이다. 이 시점까지 대화에 나온 근거는 낯선 발신 주소와 느낌이 전부였고, 누구도 메일의 링크나 첨부를 직접 열어 확인했다고 말하지 않았다.

확인 결과라며 올라온 두 개의 긴 글

19시 21분쯤 같은 참가자가 수상한 주소라기보다 한국인터넷진흥원의 올해 연계정보 안전조치 실태점검 업무에 쓰이는 공식 문의처로 확인된다는 긴 글을 올렸다. 몇 초 뒤 이 참가자는 그렇다고 한다는 뜻의 짧은 말을 덧붙여 이 글이 직접 확인한 결과가 아니라 옮겨 온 답임을 드러냈고, 다른 참가자는 이 글을 봇의 답처럼 받아 짧게 반응했다. 옮긴 글은 점검 설명회 공지와 본인확인 지원포털이 같은 문의처를 안내한다고 했고, 발신 업체는 정보보안과 개인정보보호 컨설팅 회사라고 소개했다. 점검 대상은 연계정보를 1,000건 이상 제공받은 이용기관이라는 설명도 붙었다. 다만 이 글은 마지막에 단서를 달았다.

다만 받은 메일의 첨부파일이나 발신자가 진짜인지는 별도 확인이 필요해.

글은 공식 포털에 직접 들어가 안내를 확인하고, 링크나 첨부를 열기 전에 공개된 연락처로 먼저 확인하라고 권했다. 약 4분 뒤에는 또 다른 참가자가 결론부터 시작하는 긴 글을 올렸다. 피싱이나 스팸 메일이 아니라 위탁받아 점검 업무를 수행하는 공식 위탁 업체가 맞는다는 내용이었다. 앞선 글과 달리 이 글은 단정하는 말투였고, 포털 공지를 근거로 들었다. 그런데 같은 참가자는 곧바로 이렇게 덧붙였다.

진짜인지 가짜인지 확인도 힘든

이런 건 제미니 특징인가 싶다며, 검색이라 정말 잘하는 것 같지만 그 답이 진짜인지 가짜인지는 확인하기 어렵다는 말이었다. 단정하던 긴 글이 이 참가자가 직접 확인한 결과가 아니라 제미니 검색 답을 옮긴 것이었다는 뜻으로 읽힌다. 곧이어 다른 참가자는 그 글을 쓴 사람을 담당 직원으로 알았다는 반응을 남겼다. 단정하는 말투의 옮긴 답이 사람의 확인처럼 받아들여질 뻔한 순간이다. 질문한 참가자는 약 8분 뒤 답변 감사하다고 인사했다. 그 인사 외에, 메일을 실제로 믿어도 된다거나 아니라는 결론은 대화에 나오지 않는다.

확인을 확인하는 일

이 대화에서 눈에 띄는 것은 확인이 두 겹으로 일어났다는 점이다. 먼저 공식 문의처와 같은 주소라는 대조가 있었고, 이어 그 답을 옮긴 참가자가 AI 검색 답은 진위를 확인하기 힘들다고 적었다. 두 긴 글이 서로 겹치는 근거를 댔지만, 둘 다 메일 한 통의 진위를 보증하는 것은 아니었다. 첫 글이 스스로 밝힌 단서가 그 한계를 정확히 말한다. 문의처가 공개된 정보와 일치하는 것과 이 메일을 실제로 보낸 곳이 거기라는 것은 다른 문제이기 때문이다.

그래서 이 장면은 메일의 진위보다 확인 방식에 대해 말해 주는 것으로 보인다. 낯선 발신자를 받은 사람이 가장 먼저 단체방에 묻고, 답한 쪽은 AI 검색 결과를 옮기며, 그 결과를 옮긴 쪽조차 AI 검색 답은 진위를 가리기 어렵다고 적은 흐름이다. 공식 포털로 직접 들어가거나 공개 연락처에 먼저 확인하라는 권고는 메일뿐 아니라 AI가 내놓은 답에도 같은 방식의 재확인이 필요하다는 점을 시사한다.