"엄마, 나 급해서"…딸에게 문자와도 비번은 절대 주지마세요

◆ 진화하는 전화금융사기 ◆

보이스피싱이 갈수록 교묘해지면서 소비자 피해가 커지고 있다. 최근 3년간 경찰이 파악한 보이스피싱 관련 범죄조직만 100개에 달한다. 특히 최근에는 신종 메신저피싱이 기승을 부리고 있다. 메신저피싱이란 지인의 메신저 아이디를 도용해 로그인한 뒤 메시지로 금전을 요구하는 수법이다. 주로 자녀나 조카 등 친인척으로 위장한다. 요즘 메신저피싱은 다양한 경로로 스마트폰에 미리 악성 앱을 설치해 개인정보를 빼낸 뒤 사칭하는 수법이 많다. 곽원섭 금융감독원 불법금융대응단 금융사기대응팀장, 최정수 라온화이트햇 핵심연구팀장, 경찰대와 보이스피싱 탐지 앱을 서비스하는 유경식 인피니그루 대표 등 보안 전문가들이 실제 피해 사례와 수법을 예로 들어 대응법을 알려줬다. 다음은 일문일답.
―딸을 사칭한 카톡 메시지에 속아서 개인정보를 줄 뻔했다. 어떤 피해를 입을 수 있나.
▷메신저피싱의 경우 제일 먼저 달라고 하는 게 신분증, 계좌번호, 비밀번호 등이다. 기존 계좌 정보로 해당 계좌에 있는 돈을 빼 갈 수 있다. 또 신분증, 계좌 정보, 휴대폰 통제 등을 통해 공동인증서를 발급해 새로운 계좌를 만들 수도 있다. 이렇게 만든 새 계좌에 '오픈뱅킹'을 신청해서 피해자가 갖고 있는 모든 계좌가 다 뜨게 한 뒤, 다른 대포통장으로 피해자의 돈을 몽땅 이체하는 수법 등이 있다.
―나 몰래 휴대폰 개통 및 비대면 계좌 개설도 가능한가.
▷가능하다. 알뜰폰은 본인 확인 절차가 상대적으로 간소화돼 있어 좀 더 손쉽게 개통된다. 물론 비대면 계좌 개설도 가능하다. 더 큰 피해는 대출을 받는 경우다. 보이스피싱 조직은 금리나 위험성을 고려 안 하고 무조건 최대한 대출이 많이 나오는 곳에서 받는다. 범죄자가 만든 계좌로 대출한 돈을 보내서 돈을 다 빼 가든지 사기용 계좌로 보내는 방식이다. 만약 피해자가 예금 상품이나 저축성 보험을 들어놨으면 그걸 해지해서 목돈을 편취하는 경우도 있다.
―모르고 이미 정보를 다 보내버렸다. 피해를 막으려면 뭘 어떻게 해야 하나.
▷잘못을 깨닫는 순간 바로 카드사에 전화해 카드를 정지시키고 공인인증서 등이 재발급되지 않았는지 휴대폰 문자 등을 확인한다. 카드나 신분증 사진을 보낼 때는 받는 사람이 맞는지 확인하고, 특히 비밀번호는 절대 '비대면'으로 알려주지 않는 습관을 들여야 한다. 딸인 척 카톡 메시지를 보냈다면 이미 다른 경로로 내 스마트폰에 악성 애플리케이션(앱)이 깔려 있을 수도 있다.
―속도 위반 청구서, 택배 주소 확인, 국민지원금 해당자 조회 등의 문자를 받고 링크를 클릭했다. 어떤 정보가 빠져나가나.
▷접속한 휴대폰 기종, 사용 중인 통신사 같은 기본 정보다. 만약 출처가 불분명한 링크(예를 들면 택배 조회 사이트)를 클릭해 본인 휴대폰 번호를 입력했다면, 나도 모르게 해킹 앱이 깔리는 경우도 흔하다. URL을 클릭했다고 바로 피해가 있다기보다는 2단계, 3단계로 넘어가 추가 정보를 얻어내려는 시도를 한다고 보면 된다. 특히 한 번 속아서 전화번호를 입력한 경우 한동안 주의하는 게 좋다. '잘 속는 사람'으로 분류된 데이터베이스에 올라가 또 다른 범죄의 표적이 될 수 있어서다.
―'원격 조종 앱'이 깔린 것 같다. 내 스마트폰을 남이 마음대로 할 수 있나.
▷원격 조종 앱, 전화 가로채기 앱 등이 있을 수 있는데, 메신저피싱을 통해서도 많이 깔린다. 원격 조종 앱이 깔리면 휴대폰에 자기 신분증을 찍어놓거나 정보를 적어놓은 경우 그 정보들이 유출될 수 있다. 하지만 피해자가 직접 정보를 제공하게 유도하는 경우가 많다. 새 계좌를 만들고 대출받는 등의 행위가 원격 조종 앱만으로 되는 건 아니다. 피해자가 (가족인 줄 알고) 직접 보내준 신분증과 금융 거래 정보가 있거나 비밀번호, OTP 번호를 알려줬을 경우다.
―"저리로 대환대출을 해주겠다"는 전화를 받아서 악성 앱을 깔았다. 어떤 피해를 입을 수 있나.
▷이런 악성 앱은 보통 전화 가로채기 앱이다. 전화를 받거나 문자를 받아서 악성 앱을 깔게 되는 것이다. 앱이 깔리고 나면 피해자가 은행이나 금감원에 전화해도 모든 전화가 다 사기 조직으로 걸린다. 사기꾼이 받아서 거짓으로 안내를 해주지만 피해자 입장에서는 공식 번호로 걸었으니 '정말인가 보다' 하고 믿게 된다. 조금이라도 의심이 간다면 유선전화나 다른 사람의 스마트폰으로 걸어서 물어보는 게 좋다.
―스미싱 링크를 클릭한 후 큰 피해 없이 넘어갔다. 휴대폰을 안 바꾸고 초기화하고 써도 되나.
▷휴대폰은 안 바꿔도 되지만 초기화만 할 게 아니고 악성 앱을 지우고 써야 한다. 하지만 악성 앱은 겉으로 잘 보이지 않는 경우도 있어서 일반인들은 혼자 처리하기 어렵다. 서비스센터에 가서 확실히 제거하고 사용하는 게 좋다.
[신찬옥 기자 / 서정원 기자][ⓒ 매일경제 & mk.co.kr, 무단전재 및 재배포 금지]