무슨 일이 있었나
미국의 유명 사업가이자 투자자인 마크 큐번(Mark Cuban)이 페이스북이 AI 딥페이크 사기 광고를 알면서도 내보내고 있다고 비판했어요. 딥페이크는 AI로 특정 인물의 얼굴이나 목소리를 가짜로 만들어 내는 기술이에요. 유명인이 '이 투자 상품은 제가 보증합니다'라고 말하는 영상을, 본인이 찍지도 않았는데 만들어 내는 거죠.
이 비판이 가볍게 들리지 않는 건 숫자 때문이에요. 2025년 11월 로이터가 보도한 메타 내부 문서에는 2024년 매출의 약 10%, 금액으로 약 160억 달러가 사기 광고와 금지 상품 광고에서 나올 것이라는 회사 자체 추정이 담겨 있었어요. 우리 돈으로 20조 원이 넘는 규모예요.
다만 꼭 짚고 넘어갈 부분이 있어요. 메타는 이 문서가 선별적인 시각을 담고 있고, 해당 추정치는 정상 광고도 많이 포함된 거친 수치였다고 반박했어요. 그러니까 '160억 달러가 전부 사기로 확정된 매출'이라고 단정하면 안 돼요. '알면서 돌렸다'는 표현도 큐번의 주장이고요.
결국 임계값 문제였어요
이 사건이 개발자에게 흥미로운 이유는, 사기 광고가 시스템 설계와 임계값의 문제이기도 하거든요.
로이터 보도에 따르면 메타의 자동 시스템은 광고주가 사기를 저지를 가능성을 예측하는데, 확신이 95% 이상일 때만 광고주를 차단했어요. 그보다 낮으면 어떻게 했을까요? 의심스러운 광고주에게 더 비싼 광고 단가를 물리는 방식이 쓰였다고 해요. 억제 장치라는 취지였겠지만, 위험한 광고에서 돈을 더 받는 구조가 아니냐는 비판을 피하기 어려웠죠.
문서에는 이용자들이 하루 약 150억 건의 '고위험' 사기 광고에 노출된다는 내부 추정도 있었어요. 광고주 검수 팀이 매출의 0.15%, 약 1억 3,500만 달러를 넘는 손실을 낳는 조치를 할 수 없었다는 내용도 보도됐고요. 메타는 이 수치가 고정된 한도는 아니었다는 입장이에요.
여기서 머신러닝 이야기를 조금 해 볼게요. 분류 모델에는 '이 점수를 넘으면 사기로 본다'는 임계값이 있어요. 임계값을 낮추면 사기꾼을 많이 잡는 대신 멀쩡한 광고주도 막히고요. 이걸 거짓 양성이라고 해요. 임계값을 높이면 정상 광고주는 안전하지만 사기꾼이 빠져나가요. 이건 거짓 음성이고요.
중요한 건 임계값에 기술적 정답이 없다는 거예요. 어떤 오류의 비용을 누가 떠안을지 정하는 결정이거든요. 공항 보안 검색대를 떠올려 보세요. 기준을 느슨하게 하면 줄은 빨리 줄지만 위험물이 통과하잖아요. 95%라는 높은 문턱은 플랫폼이 광고주를 잘못 막아서 잃는 매출은 줄이는 대신, 놓친 사기의 피해를 이용자가 떠안게 만들 수 있어요.
생성형 AI가 바꾼 것
사기 광고는 오래된 문제지만, 생성형 AI가 비용 구조를 바꿔 놨어요. 예전에는 유명인 영상을 조작하려면 편집 기술과 시간이 꽤 필요했어요. 이제는 공개된 영상을 재료로 얼굴과 목소리를 흉내 낸 광고를 훨씬 싸고 빠르게 만들 수 있죠. 소재를 조금씩 바꾼 변형을 대량으로 찍어 내면 단순한 중복 탐지는 피해 가기도 쉬워요.
공격하는 쪽은 한 번에 수백 개를 밀어 넣고, 막는 쪽은 한 건 한 건 판단해야 하니 비대칭이 더 커지는 거예요. 메타도 손 놓고 있던 건 아니에요. 2024년에는 유명인 사칭 광고를 얼굴 인식으로 잡는 기능을 시험한다고 발표했고, 로이터 보도 당시에는 18개월간 이용자의 사기 광고 신고가 58% 줄었다고 밝혔어요.
규제는 어디로 가고 있나
세계 각국의 쟁점은 하나로 모여요. 플랫폼이 중립적인 통로인가, 광고비를 받는 당사자인가죠. EU의 디지털서비스법은 대형 플랫폼에 시스템 위험을 평가하고 줄일 의무를 지우고 있어요. 영국 온라인안전법에는 사기 광고 대응 의무가 들어갔고, 호주는 2025년 플랫폼과 은행, 통신사에 사기 방지 의무를 부과하는 법을 만들었어요.
한국도 남 이야기가 아니에요. 2024년에는 유명인들이 '유사모(유명인 사칭 온라인 피해 방지 모임)'를 꾸려 플랫폼의 대응을 촉구했을 정도로, 유명인을 앞세운 투자 사기 광고가 사회 문제가 됐거든요.
한국 개발자에게 주는 시사점
광고, 커머스, 커뮤니티, 핀테크처럼 외부 사용자의 콘텐츠를 받는 서비스라면 바로 가져갈 교훈이 있어요.
- 임계값의 근거를 문서로 남기세요. 거짓 양성과 거짓 음성의 비용을 누가 지는지 적어 두면, 나중에 왜 그렇게 정했는지 설명할 수 있어요.
- 안전 지표를 매출 지표와 분리하세요. 탐지 팀의 판단이 매출 목표에 막히면 시스템은 조용히 느슨해지기 쉬워요.
- 신고 피드백 루프를 만드세요. 이용자 신고는 모델이 놓친 사례를 알려 주는 귀한 학습 데이터예요.
- 광고주 확인은 가입 시점에서 끝내지 마세요. 계정 탈취로 멀쩡한 계정이 사기에 쓰이기도 하니까, 결제 수단이나 소재가 갑자기 바뀌는 신호도 함께 봐야 해요.
마무리
한 줄로 정리하면, 사기 탐지의 어려움은 모델 성능만이 아니라 그 모델의 문턱을 누구의 이익에 맞춰 정하느냐에 있어요. 여러분 서비스라면 정상 사용자 1명을 잘못 막는 것과 사기꾼 1명을 놓치는 것 중 어느 쪽을 더 무겁게 두시겠어요? 그리고 플랫폼은 광고로 생긴 피해에 어디까지 책임져야 한다고 보시나요?
🔗 출처: Hacker News