[취재후] ‘레터피싱’·‘큐싱’…은행원도 당한다

■ 고객님 많이 당황하셨어요?

지난해 KBS 개그콘서트에서 유행했던 코너 '황해'를 기억하십니까? 허술한 조선족 조직의 보이스피싱 사기 시도를 소재로 큰 웃음을 줬지요. 코미디로 희화화가 될 정도로 보이스피싱은 전 국민이 다 아는 범죄가 됐습니다. 10년 동안 우리 주변에서 5만 3천여 건의 피해, 5,700억 원의 피해액이 발생하며 여러 차례 언론에 보도됐고, 그러면서 점차 익숙해졌습니다. 보이스피싱을 막기 위한 여러 가지 수칙들도 상식처럼 널리 알려졌습니다.

그런데 이상한 건, 그렇게 알려졌는데도 피해가 좀처럼 줄지 않는다는 겁니다. 최근까지도 피싱으로 수백만 원, 수천만 원을 잃고 되찾지 못하는 사람들이 계속 나타나고 있습니다. 제가 취재 도중 만난 한 피해자는 심지어 금융회사에서 일하는 30대 남성이었습니다. 평소에 회사에서 배운 대로 개인정보도 꼼꼼하게 관리하고, 낯선 전화는 받지도 않았는데, 어느 순간 개인 정보를 도난당해 통장에 들어있던 돈 천만 원이 사라졌다고 합니다. 금융회사 직원도 당하는데 일반인이 당하지 말라는 법 없겠지요.

조성목 국장

■ “금융감독원 조성목 과장인데요”

피해가 줄지 않는 건 그만큼 피싱도 수법이 더 교묘해지고 있기 때문입니다. 최근에 취재한 사례 중에선 보이스피싱 근절을 담당한 금융감독원 담당자 이름을 사칭한 경우가 가장 황당한 경우였습니다. 금융감독원에 실제 조성목 국장이라는 사람이 있는데, 자신이 이 사람이라고 속이는 대범함을 보인 겁니다. 실무자가 아니라면 도저히 알 수 없는 내용을 술술 말하더니, 못 믿겠으면 당장 공문을 보내겠다고도 했다고 합니다. 피해자들이 어리숙해 속은 게 아니라는 겁니다.

뿐만이 아닙니다. 사건에 연루됐다며 위조한 검찰 소환장을 우편으로 보내고, 가짜 콜센터 번호로 전화를 유도하는 신종 수법, 이른바 '레터(Letter) 피싱'이 생겨서 꽤 많은 사람들이 깜빡 속아 넘어갔습니다. QR 코드를 인식하면 정보를 빼내 가는 큐싱(QR코드+스미싱의 합성어), PC에 악성 코드를 감염시켜 가짜 금융사이트로 유도하는 파밍(Pharming) 등 상상도 못 할 새로운 수법이 계속 생겨납니다. 또 예전엔 국세청, 검찰청 같은 곳만 사칭했다면 이제는 한국자산관리공사, 국민건강보험공단과 같은 기관들을 사칭해 의심을 피해가고 있습니다.

레터피싱

▲ 사기범이 우편으로 보낸 위조 서류(레터피싱)

■ “지금 당장 휴대폰을 확인해보세요”

그렇다면 어떻게 해야 피해를 막을 수 있을까요? 보이스피싱 분야의 권위자인 고려대학교 정보보호대학원의 김승주 교수를 만나 해법을 들어봤습니다. 김 교수는 멀리서 해답을 찾지 말고 지금 당장 자신의 스마트폰부터 확인해보라고 조언했습니다.

일단 스마트폰에 비정상적인 방법으로 다운로드 받은 애플리케이션이 있는지부터 확인해보라고 했습니다. 구글 플레이스토어나 애플 앱스토어가 아니라 인터넷 사이트를 통해 비정상적으로 앱을 다운받아 설치할 경우 개인정보를 빼내는 프로그램이 들어있을 확률이 매우 높다고 합니다. TV 프로그램을 무료로 보여주거나 게임을 무료로 설치하는 애플리케이션은 특히 조심해야 합니다.

그리고 SKT T가드나 V3,알약 안드로이드, 360 시큐리티 등과 같은 백신 엔진을 반드시 설치해서 주기적으로 휴대폰을 검사해야 합니다. 드라이브를 업데이트하면 최신 피싱이나 스미싱도 대부분 잡아낼 수 있는데, 귀찮다는 이유로 신경 쓰지 않는 경우가 많다고 합니다.

뿐만 아니라 T전화나 후후, 후스콜, 뭐야이번호 등과 같이 발신자 정보를 알려주는 애플리케이션을 깔아야 합니다. 애플리케이션을 설치해서 전화에 의심스러운 전화번호가 뜨면 아예 받지 않고 수신 거부를 할 수 있습니다.

이러한 앱들 중에 가장 믿을만한 건 경찰청에서 만든 '사이버캅'과 한국인터넷진흥원, KISA에서 만든 '폰키퍼'입니다. 인터넷 사기와 스미싱, 사칭 사이트 피해를 기능적으로 예방해주고 신종 사이버 범죄 발생 시 경보를 발령해서 피해 확산을 막도록 도와줍니다. 이렇게 비정상적인 앱을 없애고, 백신 프로그램을 주기적으로 가동하고, 발신 정보 프로그램만 잘 활용하면 기본적인 방어는 할 수 있습니다.

계좌 확인

■ “안심통장 꼭 가입하세요”

더 나아가 은행에서 안심통장 서비스에 가입하는 게 좋습니다. 안심통장 서비스는 입금계좌지정제라고도 하는데, 사전에 등록한 계좌에서만 이체 한도 범위 내에서 자유롭게 이체가 가능하도록 하고, 사전에 등록하지 않은 계좌에선 최대 백만 원 한도 내에서만 이체가 가능하도록 조정하는 서비스입니다. 갑작스럽게 다른 계좌로 백만 원이 넘는 돈을 이체할 때 불편함을 느낄 수 있지만, 계좌 예금을 안전하게 보호할 수 있다는 점에서 감내할 수 있는 불편함으로 여길 수 있습니다. 이 서비스는 시중 17개 은행에서 이용이 가능합니다.

그리고 또 하나. 통장에서 출금될 때 문자로 알려주는 서비스를 은행마다 빼놓지 말고 신청하셔야 합니다. 자신도 모르는 사이 개인 정보를 도난당해서 예금이 출금될 수 있는데, 문자 서비스를 신청해놓으면 피해 즉시 알 수 있어서 대처할 수 있습니다.

지연인출제를 활성화하는 것도 중요합니다. 개인 금융정보를 도난당하더라도 인출은 할 수 없도록 시간을 버는 겁니다. 보이스피싱의 특징은 범죄를 저지르고 빠른 시간 안에 돈을 인출해서 잠적한다는 겁니다. 그런데 돈을 인출하는데 걸리는 시간을 30분 이상 지연시키면 그 사이에 소비자가 눈치를 채고 신고할 수 있는 계기가 마련됩니다.

김승주 교수는 우리나라처럼 돈을 빨리 찾을 수 있는 나라가 없다고 설명합니다. 해외의 경우 계좌 이체를 했다고 하더라도 서류 같은 것을 확인해야 하고, 길게는 하루나 이틀이 지난 뒤에야 돈을 찾을 수 있는데, 우리는 인터넷 뱅킹으로 즉각 거액을 송금할 수 있어서 보이스피싱이 범죄에 노출되기 쉽다는 겁니다.

은행들이 이상거래탐지시스템, FDS를 이용해 금융사기를 막는 것도 필요합니다. FDS는 예금주의 평소 거래 습관을 기억해두었다가, 전혀 다른 패턴의 거래가 시도되면 '진짜 예금주가 아니다'라고 의심하고 일단 거래를 차단하는 시스템입니다. 누군가 정보를 훔쳐서 중국에서, 새벽 시간대에 거액을 출금하려고 한다면 이런 시도를 우선 막을 수 있는 거죠. 은행 스스로도 사실상 유명무실한 FDS 시스템의 정확도를 높이고 시스템을 고도화해야 할 필요성이 있습니다.

[연관 기사]
☞ 10년간 5,700억 피해…진화하는 보이스피싱(2015.12.2)