제 블로그를 AI에게 복제시켜 봤습니다

모르는 번호로 온 문자에서 링크를 누를지 말지 망설여 본 적이 있을 겁니다. 그때 우리가 확인하는 것은 대개 화면입니다. 로고가 진짜 같은지, 글씨가 어색하지 않은지, 디자인이 그럴듯한지를 보고 판단합니다.

이번에는 AI에게 주소를 주었더니 몇 분 만에 첫 화면의 주요 요소를 따라 만들었습니다. 화면만 보고 진짜와 가짜를 가려내던 방식이 아직 통할지 궁금했습니다.

피싱은 믿을 만한 기관이나 사람을 사칭해 비밀번호, 결제 정보 등을 빼내려는 사기입니다. AI를 쓰기 전에도 정교한 피싱 사이트는 있었고, AI가 만든 사이트가 모두 피싱인 것도 아닙니다.

그래서 제 소유인 블로그를 대상으로 직접 복제시켜 봤습니다. 이 글에서는 복제본이 어디까지 원본을 따라왔는지, 그리고 이번에는 무엇을 복제하지 않았는지를 정리하겠습니다.

AI 웹사이트 복제란

먼저 이 작업이 무엇인지부터 짚겠습니다. AI 웹사이트 복제는 주소나 화면을 주면 원본의 겉모습을 거의 그대로 재현하는 작업입니다. 이번에는 주소 한 줄을 준 뒤 AI가 페이지를 읽고 화면을 만들었습니다. 모든 사이트를 같은 시간과 품질로 복제할 수 있다는 뜻은 아닙니다.

가게 간판에 빗대면 이해가 쉽습니다. 예전에는 남의 가게 간판을 똑같이 베끼려면 간판집에 맡기고 며칠을 기다려야 했습니다. 지금은 사진 한 장만 있으면 같은 간판이 몇 분 만에 나옵니다. 간판의 겉모습을 따라 만드는 수고가 줄어든 것입니다.

그런데 우리가 가짜 가게를 알아보던 방법은 대부분 간판을 보는 것이었습니다. 어색한 글씨체, 삐뚤어진 로고, 촌스러운 색을 보고 "여긴 좀 이상한데"라고 걸러 왔습니다. 간판을 정교하게 베낄 수 있다면 이런 모습만으로 진짜 가게를 구별하기는 어렵습니다.

직접 해 본 이유

정교한 가짜 화면을 만드는 일이 얼마나 쉬워졌는지 직접 확인하고 싶었습니다. 어색한 문장이나 깨진 화면은 의심할 이유가 되지만, 그런 문제가 없다고 진짜라고 판단할 수는 없습니다.

이번 실험은 제 소유인 블로그의 첫 화면만 대상으로 했습니다. 실제 로그인이나 결제 기능을 복제하는 실험은 하지 않았습니다.

스크린샷만 줬을 때와 주소를 줬을 때

두 가지 방식으로 복제시켰습니다. 첫 번째는 첫 화면을 찍은 스크린샷 한 장만 주고 "이 화면과 똑같이 만들어 줘"라고 요청했습니다. 두 번째는 스크린샷을 빼고 블로그 주소만 줬습니다.

스크린샷만 준 쪽에서는 AI가 화면에 보이는 것만 알 수 있어서, 로봇 캐릭터를 직접 그린 그림으로 대신 채웠습니다. 배치와 색은 비슷했지만, 본문 링크는 전부 아무 데도 가지 않는 빈 링크였습니다. 겉은 닮았어도 안을 열어 보면 껍데기였습니다.

주소를 준 쪽은 달랐습니다. AI가 실제 페이지를 받아 읽고, 원본이 쓰는 이미지 파일과 픽셀 폰트를 그대로 참조했습니다. 상단의 3D 로봇 사진, 아래 코스 카드의 실제 배너 이미지가 원본 그대로 들어갔습니다. 링크도 빈 링크가 아니라 원본의 실제 내부 경로를 그대로 가져왔습니다.

위가 원본이고 아래가 복제본입니다. 메뉴 모양과 여백은 다르지만, 같은 이미지와 글꼴을 사용해 전체 인상이 닮았습니다. 같은 로고와 이미지가 보인다는 이유로 공식 사이트라고 판단하면 안 되는 이유입니다.

이번 복제본에서 확인한 범위

첫 화면이 닮았다고 같은 사이트가 되는 것은 아닙니다. 이번 실험에서 확인한 결과와 일반적인 판단 기준을 구분하면 다음과 같습니다.

다른 피싱 사이트는 메뉴를 정상 작동하게 만들거나 공식 사이트로 연결할 수도 있습니다. 로그인 화면이 다음 단계로 넘어가는 것도 안전하다는 증거가 아닙니다. 진짜인지 시험하려고 비밀번호나 카드 정보를 넣지 않습니다.

HTTPS와 자물쇠가 알려 주는 것

HTTPS는 브라우저와 접속한 사이트 사이의 통신을 암호화하는 방식입니다. 접속한 상대가 내가 찾던 회사인지는 별도로 확인해야 합니다. 가짜 사이트도 HTTPS를 쓸 수 있습니다.

브라우저마다 주소 옆 아이콘도 다릅니다. Chrome은 자물쇠 대신 사이트 설정 아이콘을 사용합니다. 인증서의 도메인이 주소와 맞는다고 해도, 그 도메인이 진짜 브랜드의 주소라는 보증은 아닙니다. 아이콘 모양을 외우거나 인증서만 확인해서 판단하지 않습니다. Chrome의 아이콘 변경 설명

먼저 주소에서 어디를 볼지 연습하기

도메인은 사이트를 찾는 데 쓰는 이름입니다. 주소 전체와 같은 뜻은 아닙니다. 아래 주소는 접속용 링크가 아닌 설명용 예시이며, example.com을 내가 이미 확인해 둔 공식 주소라고 가정합니다.

이 예시에서는 https:// 다음부터 첫 / 앞까지가 호스트 이름입니다. 호스트는 접속할 컴퓨터나 서비스를 가리키는 이름이며, 여기서는 도메인 이름으로 표시되어 있습니다. A는 example.com, B는 example.com.notice.invalid, C는 notice.invalid입니다. / 뒤의 경로에 공식 이름이 들어 있다고 공식 사이트가 되지는 않습니다.

따라서 이 가정에서 공식 주소와 일치하는 것은 A입니다. B는 앞부분에 example.com이 있어도 다른 호스트이고, C는 경로에 그 이름이 있을 뿐입니다. 틀렸다면 먼저 / 앞에서 주소를 끊어 다시 비교합니다. 세 주소를 직접 열 필요는 없습니다.

한 번 더 해 보겠습니다. https://example.com/help와 https://example-login.invalid/help 중 앞에서 확인해 둔 호스트와 같은 것은 첫 번째입니다. 경로가 /account에서 /help로 바뀌어도 호스트는 example.com으로 같습니다.

이미 페이지가 열려 있는데 주소가 줄여 표시된다면 브라우저의 주소창을 눌러 전체 주소를 확인합니다. 웹페이지 본문에 그려 놓은 주소 표시와는 구분해야 합니다. 주소를 보려고 새 링크를 열 필요는 없습니다.

이 연습은 단순한 주소를 구분하는 방법입니다. 실제 서비스는 여러 공식 도메인이나 외부 결제 서비스를 쓸 수 있고, 공식 사이트 자체에 문제가 생길 수도 있습니다. 주소가 낯설거나 판단하기 어렵다면 철자 추측으로 승인하지 말고 아래 순서로 다시 확인합니다.

의심스러운 문자를 받았을 때 할 일

1. 그 화면에서 입력을 멈춥니다. 로그인, 카드 번호, 인증번호를 요구해도 넣지 않고, 진짜인지 확인하려고 메뉴나 첨부 파일을 더 열지 않습니다.
2. 평소 쓰던 공식 경로를 직접 엽니다. 이미 설치해 쓰던 공식 앱, 이전에 확인해 둔 즐겨찾기나 주소를 사용합니다. 문자에 적힌 링크와 전화번호를 확인 수단으로 다시 쓰지 않습니다. 알고 있는 공식 경로가 없다면 카드 뒷면이나 기존 계약서의 연락처 등 별도로 확인한 경로를 찾고, 그동안 입력을 보류합니다.
3. 같은 안내가 실제로 있는지 확인합니다. 예를 들어 미납 문자라면 공식 앱의 청구 내역을 확인합니다. 안내가 없거나 판단이 어려우면 공식 앱이나 사이트에 나온 고객센터로 문의하고, 확인될 때까지 문자 속 화면에서 진행하지 않습니다.

미국 FTC의 피싱 대응 안내도 메시지에 적힌 연락처 대신, 진짜라고 알고 있는 웹사이트나 전화번호로 확인하도록 안내합니다.

AI에게 로그인이나 결제가 필요한 작업을 맡겼을 때도 같습니다. AI가 가져온 화면만 보고 승인하지 말고, 접속한 실제 주소와 하려는 작업을 확인합니다. 확인되지 않은 사이트라면 작업을 멈춥니다.

이미 정보를 입력했다면

의심스러운 화면을 닫는 것만으로 입력한 정보가 취소되지는 않습니다. 비밀번호를 넣었다면 공식 앱이나 확인된 주소에서 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 계정도 변경합니다. 카드나 계좌 정보를 제공했다면 금융기관의 공식 고객센터에 바로 연락해 필요한 조치를 안내받습니다. 국내 피싱 상담과 신고 방법은 KISA 보호나라에서 확인할 수 있습니다.

자주 묻는 질문

그럼 AI 복제 기능 자체가 위험한 건가요?

기능 자체를 위험하다고 보기는 어렵습니다. 화면을 빠르게 만드는 능력은 디자인 시안이나 학습용으로 널리 쓰입니다. 같은 능력이 나쁜 목적에도 쓰일 수 있다는 것이고, 이건 복사기나 편집 도구가 늘 안고 있던 문제와 같습니다. 그래서 초점은 기능을 막는 데 있지 않고, 받는 쪽이 신원을 확인하는 습관을 갖추는 데 있습니다.

자물쇠 표시만 있으면 안전한 사이트 아닌가요?

HTTPS는 접속한 사이트와의 통신을 암호화하지만 그 운영자가 진짜 회사라는 뜻은 아닙니다. 브라우저에 자물쇠가 보이는지보다, 알고 있는 공식 경로로 접속했는지 확인하는 것이 중요합니다. Chrome처럼 자물쇠 대신 다른 아이콘을 쓰는 브라우저도 있습니다.

복제본을 인터넷에 올리지 않았다고 했는데 왜 그런가요?

실험용 복제본을 실제 인터넷에 공개하면, 그 자체가 다른 사람을 속이는 데 쓰일 수 있기 때문입니다. 이번 실험에서는 복제본을 제 컴퓨터 안에서만 띄워 화면을 캡처했고, 만드는 과정도 그대로 따라 할 수 있게 단계별로 적지는 않았습니다. 첫 화면을 어느 정도 따라 만들 수 있는지는 복제본을 공개하지 않고도 확인할 수 있습니다.

3줄 요약

1. 이번 블로그 복제 실험에서는 이미지와 폰트, 내부 링크 경로까지 원본을 닮은 첫 화면을 만들었습니다.

2. 정교한 화면과 정상 작동하는 메뉴, HTTPS만으로는 진짜 서비스인지 판단할 수 없습니다.

3. 의심스러운 링크에서 정보를 입력하지 말고 평소 쓰던 공식 앱이나 확인해 둔 주소로 다시 접속해 같은 안내를 확인합니다.