자동입국 시스템, 위조 탐지 기술이 무력화된 사례 분석

전 세계 공항에서는 입국 절차의 간소화와 보안 강화를 동시에 실현시키기 위해
자동입국 시스템을 도입하고 있다.
이 시스템은 여권 정보와 함께 생체정보(지문, 얼굴, 홍채 등)를 실시간으로 인식하여
자동으로 신원 확인을 수행하며,
인간 심사관이 개입하지 않아도 일정 수준의 검증이 가능한 것이 특징이다.
이 과정에서 핵심 역할을 하는 것이 바로 실시간 위조 탐지 기술이다.

이 기술은 가짜 지문, 사진, 3D 마스크, 딥페이크 영상 등을 탐지하고 차단하도록 설계되었다.

하지만 기술이 아무리 정교해져도, 그 기술을 우회하려는 시도 또한 계속해서 진화하고 있다.
실제로 몇몇 국가에서는 자동입국 시스템의 보안 장치를 교묘하게 무력화하여
입국 제한 대상자가 입국에 성공하거나,
전혀 다른 신분으로 위장한 인물이 통과한 사례가 보고되었다.
이러한 위조 탐지 기술 무력화 사건은
공항 보안의 최종 보루가 뚫렸다는 점에서 매우 중대한 문제로 간주된다.

이 글에서는 자동입국 시스템의 위조 탐지 기술이 실제로 실패하거나 우회된
실제 사건들을 분석하고, 어떤 방식으로 기술이 무력화되었는지,
어떤 보안상의 허점이 존재했는지를 구체적으로 설명한다.
또한 이 사건들을 계기로 각국이 어떠한 보안 개선 조치를 시행했는지도 함께 살펴본다.

 

미국: 3D 프린팅 마스크를 이용한 얼굴 인식 우회 사례

2019년 미국 로스앤젤레스 국제공항에서는
자동입국 시스템을 악용한 위장 입국 사건이 일어났다.
해당 사건은 3D 프린팅 기술을 활용한 얼굴 위조를 통해
자동입국 게이트를 통과한 것으로 알려졌으며,
이로 인해 미국 세관·국경보호청(CBP)의 얼굴 인식 시스템 신뢰성에 심각한 의문이 제기되었다.

해당 사건에서 사용된 위조 방식은,
입국 대상자의 실제 얼굴 정보를 기반으로 정밀 3D 마스크를 제작하고,
이를 쓴 사람이 자동입국 게이트 앞에 서는 방식이었다.
이때 자동입국 시스템은 얼굴 인식 기술만으로
실제 사람의 얼굴인지, 마스크인지 구분하지 못했고,
입국이 정상적으로 승인되었다.
이 사건은 이후 수개월이 지나고 나서야
관제 영상과 출입국 기록을 재검토하는 과정에서 뒤늦게 밝혀졌다.

문제의 본질은 자동입국 시스템이
표면 이미지의 정확도에만 의존한 나머지,
실시간 생체 반응(눈 깜빡임, 표정 변화, 체온 측정 등)을 감지하지 못하는 구조였다는 점이다.
즉, 위조 탐지 알고리즘이 단순히 이미지 유사도 기반으로 작동했기 때문에
물리적 마스크를 정밀하게 제작한 경우
사람과 마스크의 차이를 판별하지 못했다.

이 사건 이후, 미국 CBP는
모든 자동입국 게이트에 적외선 기반 온도 감지 기능, 눈동자 움직임 추적 센서, 피부 반사율 판별 알고리즘을 추가하기 시작했다.
또한 입국자가 일정한 표정을 지어야 인증이 완료되는
동작 기반 인증 프로토콜을 시범 도입하였다.
이 사건은 자동입국 시스템이 단순 시각 정보만으로는
결코 안전하지 않다는 사실을 여실히 보여주는 대표적 사례로 남았다.

 

중국: 딥페이크 영상 기반 인증 우회 시도

중국 광저우 바이윈 국제공항에서는 2021년,
딥페이크 기술을 악용한 자동입국 시스템 우회 시도가 적발되었다.
이 사건은 완전한 위장 입국에는 실패했지만,
자동입국 시스템이 실제로 딥페이크 영상을 인증 요청으로 오인했다는 점에서
기술적 취약성이 크게 드러난 사례로 평가된다.

사건의 개요는 다음과 같다.
한 입국자는 사전에 영상 편집 기술을 통해
자신과 닮은 인물의 얼굴을 AI 딥러닝을 활용해 실시간으로 조작한 영상을 준비했다.
그리고 공항 게이트 앞에서 고해상도 태블릿 화면에 이 영상을 출력한 뒤,
기계를 속이기 위해 기기와 화면 사이를 조정하며 촬영된 영상이 실제 촬영처럼 보이도록 조작했다.

자동입국 시스템은 이 영상을 실제 사람의 얼굴로 오인하고,
초기 인식 단계에서는 인증 통과 판정을 내렸다.
그러나 이후 게이트 통과 직전 단계에서
별도 센서를 통해 안면 반응(눈 깜빡임, 체온 등)이 감지되지 않아
보안 요원이 추가 조사를 실시하게 되었고,
그 과정에서 조작 영상이 사용된 사실이 확인되었다.

이 사례는 기계 시각만을 활용한 생체인증 기술의 한계를 드러냈으며,
중국 당국은 이후 자동입국 시스템에
심박 측정, 맥박 변동, 마이크 기반 음성 반응 분석 기능을 추가하도록 지시했다.
또한 딥페이크 탐지 알고리즘이 강화된
딥러닝 기반 위조 감지 모듈이 모든 입국 게이트에 적용되었다.

이 사건은 영상 위조 기술이 공항 보안 시스템까지 위협할 수 있다는
현실적인 위험성을 보여주었고,
딥페이크 대응 기술의 필요성을 전 세계에 알리는 계기가 되었다.

 

유럽: 쌍둥이 신원 도용을 통한 자동입국 우회 사례

프랑스 샤를 드골 공항에서는 2020년,
일란성 쌍둥이를 통한 신원 도용 사건이 발생했다.
이 사건은 위조 기술이 아닌 유전적 유사성을 이용한 신분 위장 사례였으며,
자동입국 시스템이 생체정보만으로는 완벽한 신원 확인을 할 수 없다는
기본적 한계를 보여주었다.

사건은 형사 처벌 이력이 있어 입국이 제한된 A씨가
입국이 가능한 형제 B씨의 여권을 이용해
자동입국 게이트를 통과하려 한 시도에서 발생했다.
두 사람은 일란성 쌍둥이였고,
얼굴 생김새, 지문, 홍채 패턴까지 거의 유사했기 때문에
자동입국 시스템은 B씨로 판단하고 입국을 허용했다.

하지만 출국 시 보안 인터뷰 과정에서
말투와 출국 이력이 일치하지 않는다는 점이 지적되었고,
정밀 대조 후 A씨가 신원을 위장한 사실이 밝혀졌다.

이 사건은 위조 탐지 기술이
‘진짜 사람 vs 가짜 영상’ 구조에는 강력하지만,
‘진짜 사람 vs 유사인물’ 구조에는 취약할 수 있다는 문제를 드러냈다.
실제 대부분의 자동입국 시스템은
단일 생체정보(얼굴, 지문 등)를 기준으로 인증하며,
유전적 유사성을 고려한 복합 인증 체계를 갖추고 있지 않다.

이 사건 이후, EU 일부 국가에서는
고위험군 입국자에 대해 2가지 이상의 생체정보를 복합적으로 비교하는 다중 인증 시스템을 시범 도입하였고,
쌍둥이 또는 가족 간 생체정보 유사성을 반영할 수 있는
행동 패턴 분석 기술을 도입하기 위한 기술 표준을 검토하기 시작했다.

 

위조 탐지 실패 사례의 공통점과 보완 방향

앞서 소개한 세 가지 사례는 모두 서로 다른 기술적 수단을 이용했지만,
결과적으로 자동입국 시스템의 위조 탐지 기술이 일정 부분 우회되거나 실패했다는 점에서
공통된 문제점을 안고 있다.
이러한 사례들에서 드러난 핵심 공통점은 다음과 같다.

첫째, 기계의 단일 판단 구조이다.
현재 자동입국 시스템의 상당수는 얼굴 인식 하나, 지문 하나, 홍채 하나와 같이
단일 생체정보에 의존한 단방향 인증 방식을 사용한다.
이는 고정된 패턴을 통해 정보를 판단하기 때문에
정교하게 위조된 경우나 유사 생체를 가진 경우에
인증이 오작동할 위험이 높다.

둘째, 하드웨어 의존형 구조이다.
위조 탐지 기술이 고성능 카메라나 센서에만 의존하는 경우,
해커 또는 위조자가 기기 외부에서의 조작만으로도 쉽게 시스템을 속일 수 있다.
이러한 구조는 물리적 위조에 특히 취약하다.

셋째, 사용자 행동 기반 분석의 부재이다.
실제 생체 반응은 정적인 이미지로는 구현되지 않으며,
미세한 동작, 피부 색 변화, 반응 속도 등 다양한 변수가 있다.
이러한 요소를 정밀하게 분석하지 않는 시스템은 실제 인물과 위조 대상의 차이를 구별하기 어렵다.

향후 자동입국 시스템은 반드시
하나, 다중 생체정보 인증(지문 + 얼굴 + 홍채),
둘, 행동 기반 인증(눈동자 움직임, 표정 변화, 반응 시간 등),
셋, 비식별화 및 일회성 인증 구조,
넷, 딥페이크 및 영상 위조 탐지 전용 AI 모듈 탑재와 같은
정밀하고 다층적인 보안 설계가 필요하다.

결국 기술이 발전할수록 위조의 방식도 함께 발전한다는 점에서,
자동입국 시스템은 정기적인 보안 업데이트, AI 학습 강화,
그리고 사람의 판단을 보완할 수 있는 시스템 설계가 함께 이루어져야 한다.
기계가 전부 판단하는 것이 아니라,
기계와 사람이 공동 책임을 나누는 보안 구조가
미래 공항 보안의 핵심이 될 것이다.