"신분증 사진으로 대출까지"…'간편금융'이 늘린 '피싱' 피해

중앙일보

입력

#지난해 80대 여성 A씨는 자녀를 사칭한 피싱(Phishing, 전기통신수단 등을 통해 개인정보를 낚아 올린다는 의미의 합성어) 사기꾼에 속아 신분증 사진을 찍어 보냈다. 피싱범은 이 신분증 사진으로 알뜰폰을 개통한 뒤, 은행 앱을 깔아 오픈뱅킹을 통해 여러 은행에 나누어진 A씨의 재산을 모두 들여다봤다. 곧이어 A씨가 들어둔 정기예금을 담보로 한 3500만원의 대출이 실행됐고, 4억2000만원 상당의 정기예금 계좌 4개가 중도 해지돼 여기저기로 인출됐다. 피싱범은 신분증 실물도 아닌 사진 한장으로, A씨인 것처럼 본인 인증까지 마쳤다. 은행에서 보낸 본인 확인 문자도 범행을 막지 못했다. 문자는 피싱범이 개통해둔 A씨 명의의 알뜰폰으로 향했기 때문이다.

A씨의 딸은 “신분증 사진 한장이 유출됐다는 이유로 이렇게 어마어마한 금융사고로 번질 수 있느냐”며 “금융사가 신분증 실물인지 사진인지도 판별할 수 없는 상황에서 비대면 거래를 허용하고 있다”고 지적했다. A씨는 2억이 넘는 돈을 하루아침에 잃은 데다 피싱범이 A씨 이름으로 빌린 돈까지 갚아야 한다. 폰뱅킹마저 불안해 수십년간 은행 창구에서만 거래를 해왔던 A씨는 충격에 몸져누웠다.

신분증 사진만 가로채면…당국 지침도, 금융사 앱도 ‘프리패스’

28일 신분증 사본 인증 피해자 모임 공동대책위원회에 따르면 A씨와 비슷한 피해를 당해 모임을 찾은 이들이 700명이 넘는다. 금융위원회 고시는 금융사가 비대면으로 실명을 확인할 때 ①신분증 ②영상통화 ③기존 계좌를 활용한 1원 송금 등의 의무 사항 중 2가지 이상을 지키도록 하고 있다. 하지만 영상통화가 필수가 아닌 이상, 도용 신분증으로 피해자 명의의 알뜰폰까지 개통해둔 피싱범에게 본인인증은 어렵지 않은 과제다. 비대면 모바일 OTP 발급, 오픈뱅킹을 통한 계좌 조회 등도 속전속결로 이뤄질 수 있다.

김주원 기자

금융사는 금융결제원 시스템을 활용해 신분증 진위를 판별하는데, 아직 도용 여부는 걸러내지 못한다. 금융결제원은 연내 안면 인식 시스템을 구축해 신분증 얼굴 사진과 거래 당사자 얼굴을 비교하겠단 계획이지만 피해자들은 늑장 대책이란 입장이다. 박정경 공대위 대표는 “영상 통화를 통한 확인 시스템은 기술적으로도 어렵지 않아 외국 여러 나라에선 이미 시행 중”이라며 “경쟁적으로 비대면 거래를 늘리던 금융사가 비용 핑계를 대며 미루고, 금융당국은 지금껏 눈감아준 셈”이라고 비판했다. 금융위 관계자는 “현재 금융사들이 시스템 구비를 위한 준비를 마쳤는지 확인하고 있는 단계”라며 “금융결제원 안면 인식 시스템 구축 등이 마무리되는 대로 가이드라인 개정 작업에 나설 예정”이라고 말했다.

김주원 기자

금융결제원의 신분증 진위확인 시스템 활용이 '의무'가 된 것도 불과 지난해 일이다. 이전에는 중소형 증권사 등 일부 금융사가 사실상 신분증 숫자만 대조해 위조 신분증마저 걸러내기 어려웠다. 오픈뱅킹 시대에 한 곳에서 구멍이 뚫리면 피해는 걷잡을 수 없이 커졌다. 실제로 지난해 금융감독원이 사기 이용계좌 수를 따져보니, 진위확인시스템 활용이 저조한 증권사 계좌가 이용된 사례가 오픈뱅킹 시행 이후 두 배 이상 늘었다.

신분증 도용에서 시작된 피해가 불어나자 관련 업계도 뒤늦게 움직이고 있다. 피해자도 모르게 개통되는 알뜰폰이 범행 물꼬를 트자, 알뜰폰 사업자들은 본인 확인 절차 손질에 나섰다. 한국정보통신진흥협회(KAIT)는 휴대전화 가입 현황 조회, 신규가입 제한 서비스 등을 내놨다. 은행들은 지난해 말부터 하나둘 인공지능(AI) 기반 신분증 원본 검증 시스템이나 영상통화를 이용한 이상거래 모니터링 시스템을 구축하고 있다.

법원도 “영업 편의 위해 절차 간소화한 금융사, 책임져야”

법원도 최근 금융사 책임을 묻는 추세다. 다른 사람이 실행한 대출까지 갚게 된 피해자들이 금융사를 상대로 낸 채무부존재확인 소송 등에서다. 금융사 측은 “규정상 본인확인 절차는 다 지켰으니 문제없다”고 주장해왔지만, 법원은 “실제 고객의 확인은 없었다”는 점에 주목하고 있다. 지난달 부산지법 동부지원은 관련 사건에서 “신분증 사진을 인식시키는 방식으로 신분증 인증이 이뤄진 것은 본인확인 조치의무가 제대로 이행됐다고 보기 어렵다”고 봤다.

지난 5월 서울남부지법도 “비대면 금융거래는 거래 당사자를 직접 확인할 수 없고 명의도용 가능성이나 조작 실수 등 착오로 의사를 표시했을 가능성이 높다”며 “법령을 해석할 때 소비자 보호를 고려해야 할 필요성이 크다”고 판시했다. 재판부는 또 “금융사가 영업 편의를 위해 절차를 간이하게 해서 발생하는 위험은 원칙적으로 금융사가 부담해야 한다”고 짚었다.

오효정 기자 oh.hyojeong@joongang.co.kr