" 택배 문자를 확인했을 뿐인데... 전 재산이 증발했다고? "

최근 추석 명절을 앞두고 택배를 사칭한 문자 사기가 증가하고 있습니다. 특히 이 같은 스미싱 범죄의 경우 수 년 전부터 꾸준히 피해 사례가 알려져 왔고, 그 피해액의 규모도 커져 주의가 요구되고 있는데요. 오늘은 많은 사람을 울게 한 문자메시지 범죄, ‘스미싱’ 에 대하여 함께 알아보도록 하겠습니다.

「스미싱이란?」

‘스미싱(SMiShing)’은 휴대폰의 텍스트 메시지를 이용해 바이러스를 주입시켜 개인 정보를 빼내거나 다른 휴대폰으로 바이러스를 확산시키는 해킹 기법 입니다. 맥아피(McAfee) 시큐리티 소프트웨어 회사의 연구원에 의해 만들어진 용어로 휴대폰 문자메시지를 뜻하는 ‘SMS(Short Message Service)’와 개인정보 탈취를 뜻하는 ‘피싱(phishing)’의 합성어죠.

예를 들면 “택배 배송 주소지 오류로 반송 예정입니다. 상세 주소를 정확히 입력해 주세요.”라는 내용의 메시지가 휴대폰 사용자에게 전송됩니다. 문자를 받은 사용자는 정확한 주소 입력을 위하여 홈페이지 링크(인터넷 주소·URL)를 터치(클릭)하게 되는데, 이렇게 사이트로 이동하는 순간 트로이 목마 바이러스* 등에 감염되는 것입니다.

* 트로이 목마 바이러스: 사용자가 원하는 무언가로 위장하여 시스템 방어망을 뚫고 들어가는 악성코드.

최근에도 큰 규모의 스미싱 피해가 발생하여 논란이 되었는데요. 매체에 따르면 부산의 한 자영업자가 ‘택배 주소를 정정해달라’는 문자메시지를 받고, 스미싱 사기를 당해 약 3억 8천만 원의 피해를 본 것으로 나타났습니다.

진술에 따르면 해당 피해자 역시 택배 수신 주소 정정을 요구하는 문자 메시지를 받아 메시지의 인터넷 주소를 눌렀고, 이틀 뒤 휴대전화가 먹통이 됐다고 합니다. 이후 같은 날 오후부터 다음 날 새벽까지 총 29회에 걸쳐 스마트뱅킹을 통해 약 3억 8천만 원이 인출됐다고 합니다. 피해자는 마지막 피해가 발생한 날 오전 9시, 은행의 연락을 통해 피해 사실을 알게 됐는데요. 이후 경찰에 신고하고 자금 동결 조치를 했지만 이미 계좌에서 돈이 빠져나간 뒤였던 것으로 확인됐습니다.

특히 해당 사건은 거액의 돈이 수십 차례에 걸쳐 계좌이체 되는 동안 금융기관도 해당 사실을 발견하지 못한 것으로 드러났으며, 피해자 역시 “실물 OTP를 직접 보관하고 있었다”며 “어떻게 돈이 빠져나갔는지 모르겠다. 핸드폰 문자 해킹으로 평생 모은 자산이 순식간에 증발했다”고 주장하고 있는데요. 경찰은 범인이 어떤 방식으로 모바일뱅킹을 이용해 계좌이체를 했는지에 무게를 두고 수사에 착수했으나 사고가 발생한 후 20여 일이 지난 지금까지 용의자를 특정하지 못한 상황입니다.

스미싱의 특징


① 인터넷 주소

스미싱은 악성코드에 감염된 스마트폰을 이용한 사이버사기 수법으로 악성앱을 설치하기 위한 인터넷 주소가 문자메시지에 포함되어 있습니다. 이러한 인터넷 주소는 대체로 일반 인터넷 주소와 다른 형태를 띄고 있었으나 최근에는 URL 단축 서비스가 널리 사용되고 있어 구분이 더 어려워진 것이 특징입니다. 또한 해당 링크를 클릭하면 정상적인 사이트와 매우 유사하게 모방하여 제작된 가짜 홈페이지(피싱 사이트)로 연결 될 수 있습니다.

날이 갈수록 인터넷 주소와 홈페이지가 점점 실제와 유사해지고 있기 때문에 이용자가 웹사이트 정보를 알기 어렵습니다. 때문에 평소 인터넷 주소가 삽입되어 있는 문자를 수신했을 경우 확인에 각별한 주의가 요구됩니다.

② 악성 애플리케이션(앱)

일부 스미싱은 휴대전화에 일반적으로 많이 설치된 정상 앱(예: 크롬, Play 스토어, 민원24, 유명 모바일 백신 등)을 사칭하여 악성 앱 설치를 유도하기도 합니다. 이 같은 악성 앱은 전화 권한이나 위치 정보 뿐 아니라 △ 문자메시지 관리 △ 개인정보 조회 △ 저장소 조회 △ 기기관리자 권한 요구 등 정상 앱 보다 과도한 권한을 포함 하고 있으므로 앱 설치 단계에서부터 주의해야 합니다.

또한 악성 앱이 악성 행위를 직접 수행하기도 하지만 또 다른 악성 앱을 설치하도록 유도하는 기능이 탑재된 경우도 있습니다. 크롬, 뱅킹, 백신 등 특정 애플리케이션이 실행될 경우 ‘업데이트 파일입니다’라는 형태로 업데이트를 안내하여 이용자들이 악성 앱을 다운로드하도록 유도하는 것입니다.

③ 관심을 유도하는 문자 메시지

스미싱은 사용자가 피싱 사이트로 이동하거나 악성 앱을 설치할 수 있게 하기 위해 관심을 유도하는 다양한 형태의 문자메시지를 보냅니다. 대표적으로 △ 지인 사칭 유형(청첩장, 돌잔치 초대장, 부고 메시지 등) △ 택배 사칭 유형 △ 공공기관 사칭 유형 △ 사회적 이슈 유형(사고 구조 현황 또는 정보 전달 등을 사칭, 명절 이슈 활용 등) △ 이벤트 응모 또는 당첨 사칭 유형 등이 있습니다.

특히 이중 택배를 사칭하는 스미싱 문자가 전체의 80%에 이를 정도로 흔하게 발생하고 있으니 각별히 주의하시기를 바랍니다.

스미싱 피해 예방 및 대응 방법

스미싱 피해를 예방하기 위해서는 평상시

1) 출처가 불분명한 문자를 수신한 경우 문자 내의 인터넷 주소(링크) 클릭 자제

2) 링크를 클릭하기 전 정상 사이트의 도메인과 일치하는지 확인

3) 휴대폰 번호, 아이디, 비밀번호 등의 정보는 신뢰할 수 있는 사이트에서만 입력

합니다.

또한 만약 스미싱 피해가 예상된다면 즉시 아래와 같이 대응하시기를 바랍니다.

① 악성 애플리케이션 및 설치 파일(APK) 삭제

문자메시지에 포함된 인터넷 주소를 클릭하는 것만으로는 악성코드에 감염되지 않는 경우가 많습니다. 하지만 인터넷 주소를 통해서 특정 애플리케이션을 설치했다면 악성코드 감염을 의심해야 합니다. 만약 악성 앱 감염이 의심되면 즉시 해당 앱을 삭제하고 모바일 백신 이용, 서비스 센터 방문 등을 통해 스마트폰을 점검해 봅니다.

필요합니다. 때문에 악성 앱을 삭제할 때는 앱 뿐 아니라 설치 파일까지 삭제해야 합니다. 이를 위해서는 스마트폰 기본 앱인 ‘파일관리자’ 또는 ‘내 파일’ 등 파일 관리 애플리케이션에서 ‘Download(다운로드)’ 폴더에서 확인하여 삭제할 수 있습니다.

② 모바일 결제 확인 및 취소

스미싱 악성 애플리케이션에 감염되면 모바일 결제 피해가 발생할 수 있습니다. 따라서 이동통신사 고객센터를 통해 모바일 결제 내역이 확인하도록 합니다.

③ 공인인증서 폐기 및 재발급

스미싱 악성 앱에 감염되었던 스마트폰으로 모바일 금융서비스를 이용했다면 공인인증서, 보안카드 등 금융거래에 필요한 정보가 유출되었을 가능성이 있습니다. 따라서 해당 정보를 폐기하고 재발급을 받아야만 유출된 금융 정보로 인한 2차 피해가 발생하는 것을 예방할 수 있습니다.

또한 스마트폰에 공인인증서가 저장되어 있지 않았더라도 보안카드 등 금융 거래에 필요한 정보를 사진첩, 메모장에 기록했다면 폐기처분한 후 재발급을 받아야 합니다.

④ 2차 피해 예방

해커는 악성코드에 감염된 스마트폰을 새로운 사이버범죄 도구로 사용합니다. 악성 앱이 주소록을 조회하여 다른 사람에게 유사한 내용의 스미싱을 발송하는 등 2차 피해가 발생할 수 있으므로 주변 지인들에게 스미싱 피해 사실을 알려야 합니다. 또한 특정 악성 앱에는 전화 및 문자메시지 수신을 차단하는 기능을 포함하고 있어 악성앱 삭제 방법을 확인 후 삭제를 해야 추가적인 2차 피해를 예방할 수 있습니다.

최근 스미싱 피해가 급증하는 가운데 지난 8월 탐지된 스미싱 문자가 6만건을 넘은 것으로 나타났습니다. 이는 올들어 가장 높은 수치입니다. 스미싱 범죄의 피해 건수가 늘어나고 유형이 다양해짐에 따라, 정부가 실태를 실시간으로 파악하고 예방 노력을 다해야 할 것으로 보입니다. 이와 관련해 관계 부처에서는 오는 국정감사에서 이 사안을 적극적으로 다룰 예정이라고 밝혔습니다.

추석 명절을 앞두고 스미싱 범죄의 증가가 예상되는 만큼, 이용자분들은 항상 문자메시지 이용에 주의를 기울일 수 있기를 바랍니다.