제 블로그를 AI에게 복제시켜 봤습니다

모르는 번호로 온 문자에서 링크를 누를지 말지 망설여 본 적이 있을 겁니다. 그때 우리는 대개 화면을 봅니다. 로고가 진짜 같은지, 글씨가 어색하지 않은지, 디자인이 그럴듯한지를 보고 판단합니다.

그런데 AI에게 주소 한 줄을 주었더니 몇 분 만에 첫 화면의 주요 요소를 따라 만들었습니다. 화면만 보고 진짜와 가짜를 가려내던 방식이 아직 통하는지 알고 싶어서, 제 소유인 블로그의 첫 화면을 대상으로 직접 복제시켜 봤습니다. 로그인이나 결제 기능은 복제하지 않았습니다.

피싱은 믿을 만한 기관이나 사람을 사칭해 비밀번호, 결제 정보 같은 것을 빼내려는 사기입니다. AI 이전에도 정교한 피싱 사이트는 있었고, AI가 만든 사이트가 모두 피싱인 것도 아닙니다. 이 글에서는 복제본이 원본을 어디까지 따라왔는지와, 화면 대신 무엇을 보고 판단할지를 정리했습니다.

AI 웹사이트 복제란

AI 웹사이트 복제는 주소나 화면을 주면 AI가 원본의 겉모습을 거의 그대로 재현하는 작업입니다. 이번에는 블로그 주소 한 줄만 줬고, AI가 페이지를 받아 읽은 뒤 화면을 만들었습니다.

주소 한 줄을 받은 AI가 한 일

1. 11. 주소 받기블로그 주소 한 줄
   스크린샷은 주지 않음
2. 22. 페이지 읽기실제 페이지를
   받아서 분석
3. 33. 원본 파일 참조원본이 쓰는 이미지와
   픽셀 폰트를 그대로
4. 44. 첫 화면 완성몇 분 만에
   원본을 닮은 화면

가게 간판에 빗대면 이렇습니다. 예전에는 남의 가게 간판을 똑같이 베끼려면 간판집에 맡기고 며칠을 기다려야 했습니다. 지금은 사진 한 장으로 같은 간판이 몇 분 만에 나옵니다.

우리가 가짜 가게를 알아보던 단서도 대부분 간판이었습니다. 어색한 글씨체, 삐뚤어진 로고, 촌스러운 색을 보고 "여긴 좀 이상한데" 하고 걸러 왔습니다. 간판을 정교하게 베낄 수 있게 되면 이런 단서로는 진짜 가게를 구별하기 어렵습니다.

스크린샷만 줬을 때와 주소를 줬을 때

두 가지 방식으로 복제시켰습니다. 한 번은 첫 화면 스크린샷 한 장만 주고 "이 화면과 똑같이 만들어 줘"라고 요청했고, 다른 한 번은 스크린샷을 빼고 블로그 주소만 줬습니다.

무엇을 줬는지에 따라 달라진 복제본

항목	스크린샷만첫 화면 사진 한 장	주소만블로그 주소 한 줄
배치와 색	원본과 닮음	원본과 닮음 메뉴와 여백은 다름
이미지	로봇을 새로 그림	원본 이미지 파일
글꼴	–	원본 픽셀 폰트
본문 링크	어디로도 안 가는 빈 링크	원본의 실제 내부 경로

스크린샷만 받은 AI는 화면에 보이는 것만 알 수 있어서 로봇 캐릭터를 직접 그려 채웠습니다. 배치와 색은 원본과 닮았지만 본문 링크는 전부 어디로도 가지 않는 빈 링크였습니다. 겉은 닮았어도 안을 열어 보면 껍데기였습니다.

주소를 받은 AI는 실제 페이지를 읽고 원본이 쓰는 이미지 파일과 픽셀 폰트를 그대로 참조했습니다. 상단의 3D 로봇 사진과 아래 코스 카드의 배너 이미지가 원본 그대로 들어갔고, 링크에도 원본의 실제 내부 경로가 들어갔습니다.

위가 원본이고 아래가 복제본입니다. 메뉴 모양과 여백은 다르지만 같은 이미지와 글꼴을 쓰니 전체 인상이 닮았습니다. 같은 로고와 이미지가 보여도 그것이 공식 사이트라는 근거는 되지 못합니다.

이번 복제본에서 확인한 범위

첫 화면이 닮았다고 같은 사이트가 되지는 않습니다. 이번 복제본은 제 컴퓨터 안에서만 실행했고, 가져온 링크 경로에 해당하는 안쪽 페이지를 만들지 않아 메뉴를 누르면 제대로 열리지 않았습니다. 실제 피싱 사이트는 이런 빈틈을 채워 둘 수 있습니다.

이번 복제본의 빈틈과 실제 피싱 사이트

항목	이번 복제본첫 화면만 만든 실험	실제 피싱 사이트속이려고 만든 사이트
주소	제 컴퓨터 안의 별도 주소	원본과 닮은 주소를 쓰기도 함
안쪽 페이지	만들지 않음 링크 연결 실패	메뉴가 작동하거나 공식 사이트로 연결
로그인과 결제	만들지 않음	다음 단계로 넘어가기도 함

그래서 메뉴가 열리고 로그인 화면이 다음 단계로 넘어가는 것도 진짜라는 증거가 되지 못합니다. 진짜인지 시험하려고 비밀번호나 카드 정보를 넣지 않습니다.

HTTPS와 자물쇠가 알려 주는 것

HTTPS는 브라우저와 접속한 사이트 사이의 통신을 암호화하는 방식입니다. 통신이 암호화됐다는 사실과 상대가 내가 찾던 회사라는 사실은 별개이고, 가짜 사이트도 HTTPS를 쓸 수 있습니다.

주소 옆 아이콘도 브라우저마다 다릅니다. Chrome 블로그의 설명처럼 Chrome은 자물쇠 대신 사이트 설정 아이콘을 표시합니다. 인증서의 도메인이 주소와 맞아도 그 도메인이 진짜 브랜드의 것이라는 보증은 없습니다. 아이콘 모양이나 인증서보다 내가 어떤 경로로 그 주소에 들어왔는지가 더 중요합니다.

주소에서 볼 곳은 호스트 이름입니다

도메인은 사이트를 찾는 데 쓰는 이름이고, 주소 전체와는 다릅니다. 주소에서 https:// 다음부터 첫 / 앞까지를 호스트 이름이라고 합니다. 호스트는 접속할 컴퓨터나 서비스를 가리키는 이름이며, 보통 도메인 이름으로 표시됩니다.

아래 세 주소는 설명용 예시이고, example.com이 내가 이미 확인해 둔 공식 주소라고 가정합니다.

공식 주소가 example.com일 때 세 주소의 호스트 이름

주소	호스트 이름첫 슬래시 앞까지	공식 주소와 일치
A https://example.com/account	example.com	제공
B https://example.com.notice.invalid/account	example.com.notice.invalid	제공하지 않음
C https://notice.invalid/example.com/account	notice.invalid	제공하지 않음

B는 앞부분에 example.com이 있어도 끝까지 이어 붙이면 example.com.notice.invalid라는 다른 호스트입니다. C는 notice.invalid라는 호스트의 경로에 공식 이름을 넣어 둔 것뿐입니다. / 뒤의 경로에 공식 이름이 들어 있다고 공식 사이트가 되지 않습니다.

이미 페이지가 열려 있는데 주소 일부만 보인다면 브라우저 주소창을 눌러 전체 주소를 봅니다. 웹페이지 본문 안에 그려 넣은 주소 표시는 얼마든지 꾸밀 수 있으니 주소창만 기준으로 삼습니다. 주소를 보려고 새 링크를 열지는 않습니다.

실제 서비스는 공식 도메인을 여러 개 쓰거나 결제 단계에서 외부 결제 서비스로 넘어가기도 합니다. 호스트 이름이 낯설거나 판단이 어려우면 철자로 짐작하지 말고 아래 순서대로 공식 경로에서 다시 봅니다.

의심스러운 문자를 받았을 때 할 일

문자 속 화면에서는 아무것도 확인하지 않고, 내가 원래 알던 경로로 옮겨 가서 확인합니다.

문자 속 링크 대신 공식 경로로 확인하는 순서

1. 11. 입력 멈추기로그인, 카드 번호, 인증번호를
   넣지 않고 메뉴도 더 열지 않기
2. 22. 공식 경로 열기평소 쓰던 공식 앱이나
   즐겨찾기해 둔 주소
3. 33. 같은 안내 찾기미납 문자라면
   공식 앱의 청구 내역
4. 44. 고객센터 문의안내가 없거나 애매하면
   공식 경로의 고객센터로

2번에서는 문자에 적힌 링크와 전화번호를 확인 수단으로 쓰지 않습니다. 알고 있는 공식 경로가 없다면 카드 뒷면이나 기존 계약서에 적힌 연락처를 찾고, 그때까지 입력을 미룹니다. 4번에서도 확인이 안 되면 문자 속 화면에서는 진행하지 않습니다.

미국 FTC의 피싱 대응 안내도 메시지에 적힌 연락처 대신, 진짜라고 알고 있는 웹사이트나 전화번호로 확인하라고 권합니다.

AI에게 로그인이나 결제가 필요한 작업을 맡길 때도 같습니다. AI가 가져온 화면만 보고 승인하지 말고, 실제로 접속한 주소와 AI가 하려는 작업을 봅니다. 공식 주소가 아니면 작업을 멈춥니다.

이미 정보를 입력했다면

의심스러운 화면을 닫아도 이미 입력한 정보는 되돌릴 수 없습니다. 아래 순서로 피해가 번지는 것을 막습니다.

정보를 넣은 뒤 바로 할 일

1. 11. 비밀번호 변경공식 앱이나 확인된 주소에서
   새 비밀번호로
2. 22. 다른 계정도 변경같은 비밀번호를 쓰던
   다른 계정 전부
3. 33. 금융기관 연락카드나 계좌 정보를 넣었다면
   공식 고객센터에 바로
4. 44. 상담과 신고KISA 보호나라의
   피싱 상담과 신고

3번에서는 금융기관 고객센터가 필요한 조치를 안내합니다. 4번의 국내 피싱 상담과 신고 방법은 KISA 보호나라에 나와 있습니다.

자주 묻는 질문

그럼 AI 복제 기능 자체가 위험한 건가요?

기능 자체를 위험하다고 보기는 어렵습니다. 화면을 빠르게 만드는 능력은 디자인 시안이나 학습용으로 널리 쓰입니다. 문제는 같은 능력이 나쁜 목적에도 쓰일 수 있다는 점인데, 복사기나 편집 도구도 늘 같은 문제를 안고 있었습니다. 그래서 기능을 막는 것보다 받는 쪽이 상대의 신원을 확인하는 습관이 더 중요합니다.

자물쇠 표시만 있으면 안전한 사이트 아닌가요?

HTTPS는 접속한 사이트와의 통신을 암호화할 뿐, 그 운영자가 진짜 회사라는 것까지 알려 주지는 않습니다. 자물쇠가 보이는지보다 알고 있는 공식 경로로 접속했는지가 중요합니다. Chrome처럼 자물쇠 대신 다른 아이콘을 쓰는 브라우저도 있습니다.

복제본을 인터넷에 올리지 않았다고 했는데 왜 그런가요?

실험용 복제본을 인터넷에 공개하면 그 자체가 다른 사람을 속이는 데 쓰일 수 있기 때문입니다. 이번 실험에서는 복제본을 제 컴퓨터 안에서만 띄워 화면을 캡처했고, 만드는 과정도 그대로 따라 할 수 있게 적지는 않았습니다. 첫 화면을 얼마나 따라 만들 수 있는지는 복제본을 공개하지 않고도 보여 줄 수 있습니다.

3줄 요약

1. 주소만 받은 AI가 제 블로그 첫 화면을 복제하면서 원본의 이미지 파일과 픽셀 폰트, 내부 링크 경로까지 그대로 가져왔습니다.

2. 가짜 사이트도 HTTPS를 쓸 수 있어서 정교한 화면과 작동하는 메뉴, 자물쇠 표시만으로는 진짜 서비스인지 판단할 수 없습니다.

3. 주소에서는 첫 슬래시 앞의 호스트 이름을 보고, 의심스러우면 평소 쓰던 공식 앱이나 확인해 둔 주소로 다시 접속해 같은 안내가 있는지 봅니다.