"선입금할테니 코인 보내주실분?"…코인방 노리는 메신저피싱

◆ 진화하는 전화금융사기 ◆
"530만원 선입금해 드릴 테니 코인(리플이나 트론 업비트 시세 기준) 500만원어치 보내주실 분 계신가요? 급합니다. 톡 주세요."
이런 문자를 받고 돈을 받은 후 코인을 보낸다면 검찰 수사를 받고, 받은 돈은 추징당하고 가상화폐만 날릴 수 있어 주의가 요망된다.
본인도 모르는 사이에 범죄에 휘말리는 것이다. 요즘 이런 문자를 텔레그램이나 코인 정보방 1대1 대화창에서 받았다는 이들이 많다. 이처럼 사람들이 혹할 만한 문자를 보내고 돈이나 코인을 가로채는 신종 금융사기가 기승을 부리고 있다.
사기범들은 주로 코인 정보 대화방 등에서 개별 메시지를 보내 선입금을 받고 코인을 보내달라는 수법을 쓴다. 실제로 돈이 미리 입금되기 때문에 속아 넘어가기 쉽지만, 이런 돈은 대부분 보이스피싱으로 가로챈 자금이다.
정부 대책으로 자금을 이체할 은행 계좌 확보가 어려워진 데다 현금 인출책들이 잇달아 검거되자 보이스피싱 조직이 추적하기 어려운 가상화폐로 '돈세탁'을 하고 있는 것이다.

금융감독원과 경찰청에 따르면 보이스피싱은 매년 3만건 이상 꾸준히 발생하고 있다. 피해액만 수천억 원에 달하고, 피해자들이 정신적 고통을 호소하는 2차 피해도 크다.
수법은 점점 더 교묘해지고 있다. 나도 모르는 새 스마트폰에 악성 앱이 깔리면서 금융사기에 잠재적으로 노출된 사람이 20명 중 1명 꼴인 것으로 나타났다. 경찰대학 스마트치안지능센터와 악성 앱 탐지 서비스 '시티즌코난'을 공동 개발한 인피니그루에 따르면, 시티즌코난을 내려받아 스마트폰을 검사한 이용자 12만명 중 5800여 명의 스마트폰에서 악성 앱이 탐지된 것으로 집계됐다. 20명 중 1명은 자신도 모르는 사이에 스마트폰에 악성 앱이 깔린 것이다. 하루 100명 이상씩 금융사기의 잠재적 피해자가 발견되는 셈이다.
더욱이 이는 보안에 관심이 있어 적극적으로 앱을 내려받고 검사한 사람들을 대상으로 나온 수치로, 스마트폰 사용자 전체로 보면 악성 앱이 깔린 비율이 더 높을 것으로 추정된다.
악성 앱이 깔려 있으면 공인인증서 등 금융 거래 관련 정보를 탈취당할 수 있고, 지인·금융회사를 사칭한 보이스피싱에 걸려들 수 있다.
보안 업계에 따르면 이 같은 악성 앱만 수백 개로, '전화 가로채기 앱' '정보 탈취 앱' 등이 대표적이다. 전화 가로채기 앱은 경찰이나 금융회사 대표번호, 혹은 지인 번호로 전화를 걸어도 금융사기범에게 연결시켜 속아 넘어가게 만든다. 정보 탈취 앱은 피해자 스마트폰을 원격조종해 주요 정보를 빼내는 데 쓰인다. 공인인증서를 탈취해 무단으로 자금을 이체하는가 하면, 연락처를 복사해 지인들에게 부끄러운 사실을 알리겠다고 협박하는 용도로 활용된다.
출처가 불분명한 링크는 누르지 말고, 금융사기가 의심되면 다른 전화로 대표번호에 문의하라고 전문가들은 말한다. 경찰대학은 시티즌코난과 연계된 경찰관용 앱 '폴리스코난'도 연내에 출시할 예정이다. 시티즌코난에서 악성 앱을 탐지하면 위치 정보를 기반으로 폴리스코난을 설치한 주변 경찰관에게 알려 도움을 받을 수 있도록 할 계획이다.

"엄마, 나 급해서"…딸에게 문자와도 비번은 절대 주지마세요

카톡 등 메신저피싱 기승
가족 사칭해 금융정보 요구
새 계좌에 오픈뱅킹 연결해
모든 계좌 한번에 털어갈수도

휴대폰에 몰래 깔린 악성앱
은행·금감원에 전화 걸어도
피싱조직으로 전화 연결돼
의심될땐 다른전화로 확인해야

사기 피해 예방하려면
비대면 금융정보 제공 금물
보안앱 깔아 악성앱 탐지
택배문자 링크 클릭은 주의
보이스피싱이 갈수록 교묘해지면서 소비자 피해가 커지고 있다. 최근 3년간 경찰이 파악한 보이스피싱 관련 범죄조직만 100개에 달한다. 특히 최근에는 신종 메신저피싱이 기승을 부리고 있다. 메신저피싱이란 지인의 메신저 아이디를 도용해 로그인한 뒤 메시지로 금전을 요구하는 수법이다. 주로 자녀나 조카 등 친인척으로 위장한다. 요즘 메신저피싱은 다양한 경로로 스마트폰에 미리 악성 앱을 설치해 개인정보를 빼낸 뒤 사칭하는 수법이 많다. 곽원섭 금융감독원 불법금융대응단 금융사기대응팀장, 최정수 라온화이트햇 핵심연구팀장, 경찰대와 보이스피싱 탐지 앱을 서비스하는 유경식 인피니그루 대표 등 보안 전문가들이 실제 피해 사례와 수법을 예로 들어 대응법을 알려줬다. 다음은 일문일답.
―딸을 사칭한 카톡 메시지에 속아서 개인정보를 줄 뻔했다. 어떤 피해를 입을 수 있나.
▷메신저피싱의 경우 제일 먼저 달라고 하는 게 신분증, 계좌번호, 비밀번호 등이다. 기존 계좌 정보로 해당 계좌에 있는 돈을 빼 갈 수 있다. 또 신분증, 계좌 정보, 휴대폰 통제 등을 통해 공동인증서를 발급해 새로운 계좌를 만들 수도 있다. 이렇게 만든 새 계좌에 '오픈뱅킹'을 신청해서 피해자가 갖고 있는 모든 계좌가 다 뜨게 한 뒤, 다른 대포통장으로 피해자의 돈을 몽땅 이체하는 수법 등이 있다.
―나 몰래 휴대폰 개통 및 비대면 계좌 개설도 가능한가.
▷가능하다. 알뜰폰은 본인 확인 절차가 상대적으로 간소화돼 있어 좀 더 손쉽게 개통된다. 물론 비대면 계좌 개설도 가능하다. 더 큰 피해는 대출을 받는 경우다. 보이스피싱 조직은 금리나 위험성을 고려 안 하고 무조건 최대한 대출이 많이 나오는 곳에서 받는다. 범죄자가 만든 계좌로 대출한 돈을 보내서 돈을 다 빼 가든지 사기용 계좌로 보내는 방식이다. 만약 피해자가 예금 상품이나 저축성 보험을 들어놨으면 그걸 해지해서 목돈을 편취하는 경우도 있다.
―모르고 이미 정보를 다 보내버렸다. 피해를 막으려면 뭘 어떻게 해야 하나.
▷잘못을 깨닫는 순간 바로 카드사에 전화해 카드를 정지시키고 공인인증서 등이 재발급되지 않았는지 휴대폰 문자 등을 확인한다. 카드나 신분증 사진을 보낼 때는 받는 사람이 맞는지 확인하고, 특히 비밀번호는 절대 '비대면'으로 알려주지 않는 습관을 들여야 한다. 딸인 척 카톡 메시지를 보냈다면 이미 다른 경로로 내 스마트폰에 악성 애플리케이션(앱)이 깔려 있을 수도 있다.
―속도 위반 청구서, 택배 주소 확인, 국민지원금 해당자 조회 등의 문자를 받고 링크를 클릭했다. 어떤 정보가 빠져나가나.
▷접속한 휴대폰 기종, 사용 중인 통신사 같은 기본 정보다. 만약 출처가 불분명한 링크(예를 들면 택배 조회 사이트)를 클릭해 본인 휴대폰 번호를 입력했다면, 나도 모르게 해킹 앱이 깔리는 경우도 흔하다. URL을 클릭했다고 바로 피해가 있다기보다는 2단계, 3단계로 넘어가 추가 정보를 얻어내려는 시도를 한다고 보면 된다. 특히 한 번 속아서 전화번호를 입력한 경우 한동안 주의하는 게 좋다. '잘 속는 사람'으로 분류된 데이터베이스에 올라가 또 다른 범죄의 표적이 될 수 있어서다.
―'원격 조종 앱'이 깔린 것 같다. 내 스마트폰을 남이 마음대로 할 수 있나.
▷원격 조종 앱, 전화 가로채기 앱 등이 있을 수 있는데, 메신저피싱을 통해서도 많이 깔린다. 원격 조종 앱이 깔리면 휴대폰에 자기 신분증을 찍어놓거나 정보를 적어놓은 경우 그 정보들이 유출될 수 있다. 하지만 피해자가 직접 정보를 제공하게 유도하는 경우가 많다. 새 계좌를 만들고 대출받는 등의 행위가 원격 조종 앱만으로 되는 건 아니다. 피해자가 (가족인 줄 알고) 직접 보내준 신분증과 금융 거래 정보가 있거나 비밀번호, OTP 번호를 알려줬을 경우다.
―"저리로 대환대출을 해주겠다"는 전화를 받아서 악성 앱을 깔았다. 어떤 피해를 입을 수 있나.
▷이런 악성 앱은 보통 전화 가로채기 앱이다. 전화를 받거나 문자를 받아서 악성 앱을 깔게 되는 것이다. 앱이 깔리고 나면 피해자가 은행이나 금감원에 전화해도 모든 전화가 다 사기 조직으로 걸린다. 사기꾼이 받아서 거짓으로 안내를 해주지만 피해자 입장에서는 공식 번호로 걸었으니 '정말인가 보다' 하고 믿게 된다. 조금이라도 의심이 간다면 유선전화나 다른 사람의 스마트폰으로 걸어서 물어보는 게 좋다.
―스미싱 링크를 클릭한 후 큰 피해 없이 넘어갔다. 휴대폰을 안 바꾸고 초기화하고 써도 되나.
▷휴대폰은 안 바꿔도 되지만 초기화만 할 게 아니고 악성 앱을 지우고 써야 한다. 하지만 악성 앱은 겉으로 잘 보이지 않는 경우도 있어서 일반인들은 혼자 처리하기 어렵다. 서비스센터에 가서 확실히 제거하고 사용하는 게 좋다.
[신찬옥 기자 / 서정원 기자][ⓒ 매일경제 & mk.co.kr, 무단전재 및 재배포 금지]