“○○지원금 대상자입니다” 문자 링크 터치하면 낚인다

중앙선데이

입력

업데이트

지면보기

윤혜인 기자

설 연휴 앞두고 피싱 주의보

피싱

“특별 경제회복 지원기금의 승인대상으로 선정되셨지만 현재까지 미신청으로 분류되어 다시 안내드립니다. 상품 내용을 확인하신 후 기한 내로 신청해주시기 바랍니다.”

이모(44)씨는 지난달 ‘신용보증재단’ 기금의 지원 대상이라는 문자를 받았다. 최대 2억원을 연 금리 1~3%대로 무담보에 대출받을 수 있다는 내용이었다. 보증기간, 상환방법 등 내용도 구체적이었다. 일반적인 광고 형식에 ‘대출유사형 보이스피싱 주의’까지 언급한 이 문자는 신용보증재단을 사칭한 보이스피싱 미끼 문자였다. 보이스피싱은 음성(Voice), 개인정보(Private Data), 낚시(Fishing)를 합성한 단어로 전화로 개인정보를 불법적으로 알아내 범죄에 이용하는 금융사기다. 보이스피싱 피해 금액은 2016년 1468억원에서 2020년 7000억원으로 늘었다. 예방 캠페인이 많아 요즘 누가 낚이겠나 싶지만 피해 규모가 4년 새 4.7배로 늘어난 것이다.

# 최근 금융기관을 사칭한 대출 안내 문자로 전화를 유도하는 수법이 급증하고 있다. 지난해 상반기 한국인터넷진흥원에 신고된 은행 사칭 대출 문자는 46만2462건으로 2020년 상반기(7만6863건)와 비교해 1년 사이 6배 이상 증가했다. 대부분 코로나19 희망회복자금 등 정부 지원 제도와 유사한 이름의 대출 상품 대상자로 선정됐다는 내용이다. 저리 대출을 제시하고 마감 기한을 임박하게 설정해 신청을 유도한다. 상담 번호부터 수신 거부 번호까지 문자와 관련된 모든 번호는 보이스피싱 조직과 연결된다. 전화가 연결되면 ‘정확한 상담’을 이유로 주민번호, 소득, 직장, 기존 대출 현황 등 개인정보를 요구한다.

압수한 발신번호 조작용 휴대전화. [사진 서울강북경찰서]

수법은 한층 고도화됐다. 한국어가 유창함은 물론 다양한 기술을 활용해 개인 정보를 수집한다. 은행원을 사칭하면서 코로나19로 인해 비대면 전자신청서만 접수한다며 은행앱으로 둔갑한 악성앱 설치를 유도한다. 피해자가 설치 URL을 누르면 자동으로 원격 조종앱 및 전화 가로채기앱이 설치된다. 이후 피해자가 휴대전화에서 작성하는 모든 정보는 실시간으로 보이스피싱 조직 서버에 전송된다. 지난달 5일 강원도경찰청과 국정원에 따르면 이미 국내 4만4000여 명의 개인정보가 해외 사이버범죄 조직의 악성앱에 유출됐다. 김현수 경찰청 금융범죄수사계장은 “통신수단이 고도화되며 보이스피싱 수단도 고도화됐다”며 “원격 조종앱으로 피해자 몰래 오픈뱅킹 예금이나 마이너스 통장 대출을 당겨 돈을 갈취하고, 전화 가로채기앱으로 다른 곳에 건 전화를 보이스피싱 조직으로 연결한다”고 말했다.

역할을 분담해 피해자를 압박하기도 한다. 기존 대출 이력이 파악되면 새로운 조직원을 투입하는 방식이다. 그는 피해자가 이전에 대출받았던 은행의 직원 행세를 하며 지금 다른 은행에서 새로 대출을 받는 건 계약 조건에 위반된다고 압박한다. 신규 저리 대출이 절박해진 피해자는 다른 방법이 없냐고 물어본다. 김 계장은 “이때 보통 공범이 기존 대출금을 우선 상환하는 방법을 제시한다”며 “피해자는 저리 대출을 받기 위해 어떻게든 기존 대출 금액을 마련해 공범에게 건네주는 경우가 많다”고 설명했다. 피해자의 빚이 2배가 되는 과정이다.

허위결제 문자메시지로도 보이스피싱 조직으로의 문의 전화를 유도한다. 국내 휴대전화 가입자를 상대로 “○○몰 결제 승인 완료, 본인 아닌 경우 연락 요망”이라는 내용의 문자를 무작위로 보내 전화를 유도하는 방법이다. 26일 경기남부경찰청이 중국 공안과 협업해 검거했다고 밝힌 보이스피싱 조직 10명(한국인 6명, 중국인 4명)도 이와 같은 수법으로 2019년 1월부터 최근까지 한국인 236명에게 83억원을 갈취한 혐의를 받고 있다. 이들 역시 허위 결제 문자를 무작위로 전송하는 데이터베이스(DB)팀과 소비자보호센터, 수사기관 등을 사칭해 “개인정보가 유출돼 추가 피해를 막기 위해 계좌에 있는 돈을 안전 계좌로 옮겨야 한다”고 속여 이체를 종용한 기망팀으로 역할을 분담해 체계적으로 콜센터를 운영했다.

그래픽=박춘환 기자 park.choonhwan@joongang.co.kr

중계기를 활용해 국외전화를 국내전화로 조작한 사례도 있다. 지난해 11월 19일 서울 강북경찰서는 서울, 부산 등 5개 지역에 국외 발신전화번호를 010으로 시작하는 번호로 조작하는 중계기 389대를 설치한 보이스피싱 조직원 14명을 검거했다고 밝혔다. 이들은 지난해 6월부터 2개월 동안 금융기관 또는 가족을 사칭해 55명으로부터 약 17억원을 편취한 혐의를 받는다.

# 범죄 유형은 계좌이체에서 피해자에게 직접 현금을 전달받는 대면편취로 변했다. 지난해 1월부터 10월까지 계좌이체형 보이스피싱은 3078건으로 전년 동기 대비 69% 줄어든 반면, 대면편취형 보이스피싱은 1만9630건으로 전년 대비 77.7% 늘었다. 이는 현재 전기통신금융사기 특별법에서 ‘사기이용계좌’를 피해자의 자금이 ‘송금·이체된 계좌’로 규정하고 있기 때문이다. 대면으로 현금을 편취하면 경찰이 피의자의 계좌번호를 확인해도 바로 계좌를 중지시키기가 어렵다. 계좌 지급정지제도나 지연인출제도도 회피할 수 있다.

협찬을 가장해 카카오톡 계정을 탈취하는 피싱도 있다. 지난 11월 김모(25)씨는 인스타그램 메시지로 협찬 제안을 받았다. 협찬사는 “홍보비만 받고 연락이 두절되는 사례가 많다”며 “개인정보 확인을 위해 카카오톡 계정과 비밀번호가 필요하다”고 말했다. 협찬 절차라고 생각한 김씨는 고민 끝에 비밀번호를 넘겼다. 이후 김씨의 카카오톡 계정은 광고 계정으로 쓰였고, 서비스 운영정책 위반으로 정지됐다.

정부는 대책 마련에 나섰다. 대전경찰청이 지난해 7월부터 도입한 ‘하이퍼클라우드 V1’ 프로그램이 대표적이다. 대전청이 김준엽 라바웨이브 대표에 의뢰해 개발된 이 프로그램은 보이스피싱 조직이 전화를 가로챌 때 활용하는 서버를 차단한다. 악성앱이 깔리면 금융기관에 전화를 해도 보이스피싱 조직과 연결되지만, 프로그램이 서버를 차단하면 실제 금융기관으로 전화가 연결된다. 김현정 대전경찰청 반부패경제범죄수사대장은 “지난해 7월부터 11월 30일까지 차단한 서버가 5011개”라며 “프로그램 도입 후 대전시 월평균 보이스피싱 발생 건수가 상반기 대비 29% 줄었다”고 말했다.

정부는 설 연휴를 앞두고 선물 배송 확인, 코로나19 관련 손실보상금 등 다양한 문구를 활용한 보이스피싱이 증가할 것으로 예상된다며 주의를 당부했다. 20일 과학기술정보통신부는 금융위원회, 경찰청, 금융감독원, 한국인터넷진흥원과 함께 설 연휴를 앞두고 “정부는 각종 지원금 신청을 전화 또는 문자메시지를 통해 받지 않으며, 신분증 등 개인정보도 요구하지 않는다”며 “이를 요구하는 행위에 응하지 말아야 하고, 부득이 확인이 필요한 경우 직접 확인할 것을 권고한다”고 밝혔다. 이병기 서울경찰청 사이버수사과장은 “보이스피싱으로 의심되는 경우 즉시 경찰(112)에 신고하고 가까운 경찰서에 방문해 진정서를 접수해달라”고 강조했다. 경찰은 설 연휴 기간 전후로 발생하는 사이버 범죄에 대해 단속을 강화할 계획이다.

은행·경찰·검찰, 전화·문자로 금융정보 요구 안 해

갈수록 진화하는 보이스피싱 피해를 예방하는 가장 좋은 방법은 스스로 개인정보를 제공하지 않는 것이다. 금융감독원은 “제도권 금융회사는 전화·문자로 개인정보, 자금, 뱅킹앱 설치를 요구하지 않는다”며 “수상한 링크는 누르지 말고, 개인정보 및 자금 이체 요청은 무조건 거절해야 한다”고 말했다.

금감원과 금융업체들이 공통적으로 지적하는 보이스피싱 예방의 첫걸음은 침착하게 대응하는 것이다. 갑자기 “가족이 교통사고를 당했다” “자녀를 납치했다”는 전화를 받으면 놀랄 수밖에 없다. 피싱범의 요구대로 돈을 송금하거나 금융거래 정보를 제공하면 피해를 볼 수밖에 없다. “경찰인데 당신 계좌가 범죄에 사용됐다. 공범으로 구속될 수 있다” “해외에서 거액을 카드로 결제했다” “대출이 연체됐다”는 등의 전화를 받는 경우도 있다. 확인 후 연락하라며 자신의 연락처를 알려주기도 한다. 그 연락처조차 가짜일 가능성이 크다. 해당 경찰서나 금융업체의 대표번호로 전화해 사실 여부를 확인해야 한다. 어떤 경우에도 경찰·검찰이나 금융 업체가 전화로 계좌번호, 카드번호, 비밀번호 등을 묻거나 수수료·보증료 등의 입금을 요구하지 않는다. 가족을 사칭하며 휴대전화 수리비 등을 요구하거나, 채용됐으니 출입증 발급과 급여이체에 필요한 계좌와 비밀번호를 달라는 등의 고전적인 수법에도 넘어가면 안 된다. 출처불명의 파일을 내려받거나 모르는 사람이 보낸 인터넷 주소를 클릭하는 것도 위험하다. 금감원 관계자는 “금감원이나 금융업체 팝업창이 뜨고 보안 인증을 위해 계좌번호, 비밀번호, 보안카드 번호 등을 입력하라는 창이 뜨면 100% 보이스피싱”이라며 “피해가 발생하면 즉시 신고 후 피해금 환급 신청을 해야 추가 피해를 방지할 수 있다”고 말했다.

윤혜인 기자 yun.hyein@joongang.co.kr