AI 기반 자동 법인 설립과 기업 탈취의 첨단 수사기법

1. 서론: "AI가 회사를 만들고, AI가 회사를 탈취한다"

2026년 3월, 전 세계 개발자들이 사용하는 소프트웨어 Axios가 해킹당했다. 해커는 실존 기업의 신원을 통째로 복제했다. 로고와 브랜딩을 입힌 업무 메신저 채널, 가짜 팀원 프로필, 화상회의까지 정교하게 꾸몄다. 관리자는 "모든 것이 극도로 전문적이었다"고 회고했다[citation:15]. 배후는 북한 해킹 그룹 UNC1069였다. 이들은 지난해 1월 이후 주요 개발자 생태계에 1,700개 이상의 악성 프로그램을 유포했다[citation:15].

이 사건은 AI 기반 합성 법인(Synthetic Entity)의 위험을 극명하게 보여준다. 전통적 기업 사기에서 범죄자는 실존하는 회사를 사칭하거나 서류를 위조했다. AI 시대에는 회사 자체를 처음부터 끝까지 생성할 수 있다. 등록증명서, 은행명세서, 재무제표, 임원 프로필, 화상회의 참석자 — 이 모든 것이 AI로 생성된다.

본 연구의 핵심 질문은 다음과 같다: AI는 어떻게 법인을 자동으로 설립하고, 그 법인을 통해 기업을 탈취하는가? 그리고 이를 어떻게 탐지·증명·추적할 것인가?

2. 이론적 틀: 합성 법인의 경제학과 범죄기회구조

2.1 합성 법인의 비용 구조

Full-Spectrum Synthetic Organizations 연구에 따르면, 완전한 합성 법인을 구축하는 비용은 약 450달러에 불과하다[citation:9]. 구체적 내역은 다음과 같다:

이 비용 구조의 핵심은 비대칭성이다. 합성 법인 구축 비용은 수백 달러에 불과하지만, 수동 실사로 이를 탐지하는 비용은 수천 달러와 수 주가 소요된다. 자동화된 검증은 스캔당 1달러 미만으로 초 단위 결과를 반환하지만, 73%의 조직이 공식 AI 거버넌스 정책을 결여하고 있다[citation:9].

2.2 KYB 검증의 구조적 취약성

Signzy의 2026년 보고서는 KYB 검증의 구조적 취약성을 실증한다[citation:4]:

• 교차 문서 일관성: 생성된 파일은 구성상 교차 문서 일관성 테스트를 통과한다. 위조 파일은 실제 파일보다 더 내부적으로 일관성이 높은 경우가 많다 — 실제 기업은 오타, 구주소, 연도별 불일치 서식이 존재하기 때문이다.
• 연쇄 사기(Serial Fraud): 2025년에서 2026년 사이 7배 증가했으며, 80%의 캠페인이 25일 이내에 종료된다. 이는 분기별 사기 검토에서 패턴이 발견되기 전에 이동하는 생산 라인이다.
• GenAI 문서 사기 탐지: 2025년 1월에서 12월 사이 90배 성장했다.

3. AI 기반 법인 설립의 세 가지 경로

3.1 경로 1: KYB 문서 위조

AI는 KYB 검증에 필요한 모든 문서를 생성할 수 있다. Signzy의 데이터는 문서 유형별 사기 비율을 보여준다[citation:4]:

이 패턴의 핵심은 모든 고위험 문서 유형이 온보딩에서 업로드로 접수되고 이미지로 검사된다는 점이다. 이미지로 검사되는 한, 그 뒤에 있는 기업이 실제로 존재하는지는 증명되지 않는다[citation:4].

3.2 경로 2: 합성 신원(Synthetic Identity)

AI는 법인의 인적 구성요소를 생성할 수 있다. OpenAI의 2025년 악용 보고서는 일부 행위자들이 ChatGPT를 사용하여 가짜 이력서 생성, 미국 기반 직원 신원 생성, 구직 신청 자동화, 원격 근무 프로세스 조작을 시도했음을 문서화한다[citation:2]. 이들은 단순히 가짜 프로필을 생성하는 것에 그치지 않고, 회사가 직원에게 할당한 노트북에 원격 접근을 용이하게 하는 방법에 대한 모델 지원을 사용했다[citation:2].

실시간 딥페이크는 라이브 검증의 마지막 신뢰할 수 있는 수동 검증 수단을 제거한다. 소비자용 GPU에서 얼굴 교체 기술이 인지할 수 없는 지연으로 작동하며, 15초 샘플에서 복제된 음성은 화상회의 중 일상적 검사를 통과한다[citation:9]. 이로써 가짜 "CEO"가 투자자 미팅, 파트너십 논의, 컨퍼런스 패널에 참석할 수 있다.

3.3 경로 3: AI 학습데이터 오염

가장 은밀한 경로는 AI 학습데이터 오염이다. 합성 법인이 Medium, LinkedIn, ResearchGate, 프리프린트 서버에 콘텐츠를 게시하면, AI 모델이 이 콘텐츠를 학습 데이터로 수집한다. 이후 실사 담당자가 AI 모델에 합성 법인의 존재를 질의하면, 모델은 합성 법인을 사실로 확인한다[citation:9].

4. AI를 통한 기업 탈취 메커니즘

4.1 iLearning 사례: AI 기반 기업 탈취의 원형

2026년 4월, 미국 브루클린 연방법원은 iLearningEngines의 전 CEO Harish Chidambaran과 전 CFO Farhan Naqvi를 10개 혐의로 기소했다[citation:10]. iLearning은 "AI 기반 디지털 교육 회사"로 포장된 나스닥 상장사였으며, 시가총액이 한때 15억 달러에 달했다[citation:16].

기소장에 따르면, 2019년 1월부터 2025년 4월까지 피고인들은 체계적 사기를 통해 회사를 운영했다[citation:10]:

• 매출 부풀리기: 연간 매출의 90% 이상이 허위였다. 2023년 보고 매출 4억 2,100만 달러, 1,000개 이상의 기업 고객, 440만 라이선스 사용자가 모두 허구였다.
• 가짜 고객 실체: iLearning은 직원, 친인척, 친구들이 소유·통제하는 셸 엔티티와 일련의 가짜 계약을 체결했다. 이들은 인도, UAE, 미국에서 회사를 등록하고 iLearning 고객 명의로 은행 계좌를 개설했다.
• 왕복 자금 이체(Round-Trip Transfers): iLearning이 투자자·대출 기관으로부터 자금을 받아 가짜 고객에게 이체하고, 그 자금이 다시 iLearning으로 돌아오는 순환 거래를 수년간 반복했다. 총액은 1억 4,400만 달러를 초과했다[citation:16].

4.2 AI 합성 법인을 통한 탈취 메커니즘

iLearning 사례를 AI 합성 법인 구조와 결합하면, 다음과 같은 탈취 메커니즘이 도출된다:

4.3 배치 패턴(Batch Pattern)의 탐지 가능성

2026년 9월, AiPrise의 AI 에이전트 Athena는 대규모 사기 링을 탐지했다. 모든 사업체가 개별 검사는 통과했다: 등록됨, 레지스트리에서 활성, AML 히트 없음, EIN 검증됨. 표면적으로는 아무 문제가 없었다[citation:11].

Athena가 전체 풀(pool)을 가로질러 분석했을 때 패턴이 드러났다:

• 이 사업체들의 배치(batch)가 같은 날 설립되었다.
• 이름이 모두 주(州)의 유명 랜드마크였다.
• UBO들의 생년월일이 1/1, 2/2, 3/3, 4/4와 같은 패턴이었다.

이는 실제 회사 세트가 아니라 생성된 목록이었다. "전통적 검사는 각 사례가 개별적으로는 깨끗해 보이기 때문에 이를 놓친다. 강력한 분석가 팀조차 사례가 분할되면 어려움을 겪을 것이다. Athena가 전체 링을 잡았다."[citation:11]

5. 4단계 AI 합성법인 탐지 프레임워크

5.1 1단계: 레지스트리 교차검증

Signzy의 KYB 검증 방법론은 레지스트리 검증을 최우선 게이트로 설정한다. 회사의 등록번호, 법적 명칭, 상태, 신고 이력을 정부 레지스트리와 직접 대조한다: 인도의 MCA, 미국 주 Secretary of State, 영국 Companies House[citation:4].

핵심 원칙: 생성된 등록증명서는 레지스트리 항목이 없다. 이 단일 검사가 계좌 개설 시 위조 증명서의 15%를 게이트에서 무효화한다[citation:4].

5.2 2단계: 배치 패턴 탐지

개별 검사는 통과하지만 전체 풀을 분석할 때 드러나는 패턴을 탐지한다:

• 시간적 클러스터링: 동일 날짜 또는 인접 날짜 설립
• 명명 체계: 주(州) 랜드마크, 유사 접두어·접미어 반복
• UBO 생년월일 패턴: 1/1, 2/2, 3/3 등 순차적 날짜
• 주소 클러스터링: 동일 가상오피스, 동일 등록대행사
• 설립-거래 시간 간격: 설립 후 30일 이내 거래 시작

5.3 3단계: AI 오염 탐지

합성 법인의 온라인 존재가 AI 모델에 의해 "사실"로 학습되었는지 탐지한다:

• 콘텐츠 출처 추적: 합성 법인의 웹사이트, 소셜 미디어, 프리프린트의 생성 패턴 분석
• AI 모델 질의 테스트: 동일 법인에 대해 여러 AI 모델에 질의하여 상충하는 응답 확인
• 인용 네트워크 분석: 합성 법인 간 상호 인용 패턴 탐지

5.4 4단계: UBO 신원 바인딩

UBO의 실제 신원을 검증하고, 합성 신원을 식별한다:

• 생체 인증: 라이브니스 검사, 딥페이크 탐지
• 이력서 교차검증: AI 생성 이력서의 패턴 탐지
• 과거 고용 검증: 이전 직장, 교육 기관 직접 확인
• 디지털 발자국 분석: LinkedIn, GitHub, 출판 기록의 일관성 검증

6. 데이터 분석 쿼리 및 탐지 알고리즘

6.1 쿼리 1: 배치 설립 패턴 탐지

6.2 쿼리 2: UBO 생년월일 패턴 탐지

6.3 쿼리 3: 레지스트리 교차검증 불일치 탐지

6.4 탐지 알고리즘: AI 합성법인 위험 점수

7. 증명 전략: AI 생성 문서의 법적 증거력

7.1 문서 진위의 입증 부담

AI 생성 문서는 구성상 교차 문서 일관성을 통과한다. 실제 기업 문서는 오타, 구주소, 연도별 서식 불일치가 존재하지만, 생성된 문서는 더 일관성이 높을 수 있다[citation:4]. 이는 전통적 문서 포렌식의 전제를 뒤집는다.

따라서 증명 전략은 문서 자체가 아니라 문서 뒤의 실체에 집중해야 한다:

7.2 AI 오염의 증명

AI 학습데이터 오염은 새로운 증명 과제다. 합성 법인이 AI 모델에 의해 "사실"로 확인될 때, 이는 순환적 정당화를 창출한다. 증명 전략:

• 시간적 분석: 합성 법인의 온라인 콘텐츠 게시 시점과 AI 모델의 학습 데이터 컷오프 비교
• 출처 추적: AI 모델이 인용하는 출처가 모두 합성 법인 자체 콘텐츠인지 확인
• 모델 간 상충: 여러 AI 모델에 동일 질의 시 상충하는 응답 확인

8. 국제공조 및 자산회수 전략

8.1 합성 법인의 다관할권 분산

iLearning 사례에서 합성 법인은 인도, UAE, 미국에서 등록되었다[citation:16]. AI 기반 합성 법인은 더 많은 관할권에 걸쳐 분산될 수 있으며, 각 관할권의 레지스트리 검증 수준이 상이하다.

8.2 국제공조 채널

• MLAT(상호법률지원조약): 합성 법인의 등록 문서, 은행 기록, 통신 기록 확보
• Egmont Group: FIU 간 의심거래보고 정보교환
• CFATF: 카리브해 관할권 합성 법인 조사
• JIT(공동수사팀): 다국적 AI 사기 링 공동 수사

8.3 자산회수의 우선순위

AI 기반 합성 법인 사기에서 자산회수의 핵심은 속도다. 합성 법인은 25일 이내에 이동하며, 80%의 캠페인이 분기별 검토 전에 종료된다[citation:4]. 따라서:

• 1단계: 합성 법인 계좌 동결 (설립 후 30일 이내)
• 2단계: UBO 실제 자산 동결
• 3단계: 순환 거래 자금 추적 및 회수

9. 결론

본 연구는 AI 기반 자동 법인 설립과 이를 통한 기업 탈취의 구조적 메커니즘을 분석하고, 이를 탐지·증명하기 위한 4단계 금융공학적 수사 프레임워크를 제시하였다.

핵심 발견은 다음과 같다:

• 비용 비대칭: 합성 법인 구축 비용은 $450에 불과하지만, 수동 실사 비용은 수천 달러와 수 주가 소요된다[citation:9].
• 문서 위조의 진화: AI 생성 문서는 교차 문서 일관성을 구성상 통과하며, 실제 문서보다 더 일관성이 높을 수 있다[citation:4].
• 배치 패턴: 개별 검사는 통과하지만, 설립일·이름·UBO 생년월일의 전체 풀 패턴이 범죄 링을 노출한다[citation:11].
• AI 오염: 합성 법인의 온라인 존재가 AI 모델에 의해 "사실"로 학습되어, 순환적 정당화를 창출한다[citation:9].

수사 전략의 핵심은 개별 문서의 진위가 아니라 문서 집합의 패턴에 있다. 단일 법인에 대한 완벽한 KYB 검증은 AI 생성 문서를 탐지하지 못할 수 있다. 그러나 전체 풀을 분석할 때 — 같은 날 설립된 배치, 순차적 생년월일, 랜드마크 이름 — 생성된 목록이 드러난다.

효과적 대응을 위해서는 (i) 레지스트리 교차검증을 최우선 게이트로 설정하고, (ii) 배치 패턴 탐지를 위한 전체 풀 분석 역량을 구축하며, (iii) AI 오염 탐지를 위한 모델 간 상충 분석을 도입하고, (iv) UBO 신원 바인딩을 생체 인증·이력서 교차검증으로 강화해야 한다.

"AI가 회사를 만들고, AI가 회사를 탈취한다"는 명제는 더 이상 가설이 아니다. 수사기관의 임무는 AI가 생성한 실체와 실제 실체를 구별하는 것이다.

참고문헌