#스미싱 문자

• 택배·통관부터 과태료·명절 선물까지…일상 파고드는 사칭 문자
• 링크 눌렀다고 무조건 감염되는 건 아냐…‘어디까지 했나’부터 확인
• 클릭→정보 입력→앱 설치→송금…피해 단계 따라 대처법도 달라진다

“배송지 주소가 정확하지 않아 배송이 보류됐습니다. 주소를 확인해 주세요.”

추석을 앞두고 기다리던 선물이 있다면 무심코 손이 갈 만한 문자다. 추석을 보름 남짓 남긴 상황에서 관세청은 이미 지난 7일부터 전국 34개 세관에 24시간 특별통관지원팀을 운영하고 있다. 명절 성수품뿐 아니라 해외직구 선물이 집중적으로 들어오는 시기여서 인천·평택·군산·용당·김포공항세관에는 특송물품 특별통관지원팀도 가동한다. 명절을 앞두고 해외직구 물량과 통관 수요가 늘어나는 시기라는 의미다.

문제는 사기범도 이런 시기를 기회로 본다는 점이다. 택배 배송이나 해외직구 통관을 기다리는 사람이 많을수록 ‘주소 오류’, ‘통관 확인’, ‘배송 보류’ 같은 문구가 자연스럽게 보인다. 공공기관이나 쇼핑몰, 가족과 지인을 사칭하는 문자도 마찬가지다. 이름이나 발신번호만 보고 진짜와 가짜를 구별하기 어려울 정도로 교묘해지는 것도 문제다.

그렇다고 의심스러운 링크를 한 번 눌렀다는 이유만으로 곧바로 휴대전화가 완전히 해킹됐다고 단정할 필요도 없다. 중요한 것은 문자를 받은 뒤 어디까지 행동했느냐다. 링크만 열었는지, 개인정보를 입력했는지, 앱까지 설치했는지, 금융정보를 넘기거나 돈을 송금했는지에 따라 해야 할 조치가 달라진다.

택배만 조심하면 옛말…‘지금 확인하세요’로 움직이게 한다

스미싱(Smishing)은 문자메시지(SMS)와 피싱(Phishing)을 합친 말이다. 문자 속 인터넷주소(URL) 등을 통해 피싱사이트로 유인하거나 악성 앱을 설치하게 만들어 개인정보와 금융정보를 빼내는 수법을 말한다.

한국인터넷진흥원(KISA)이 탐지·대응하는 스미싱도 택배나 청첩장처럼 일상생활에서 흔히 접하는 소재를 폭넓게 이용한다. 최근에는 QR코드를 악용하는 ‘큐싱’까지 대응 대상에 포함돼 있다.

추석을 앞두고 특히 주의할 유형 가운데 하나가 배송·통관 사칭이다. ‘주소 불일치로 배송이 중단됐다’, ‘해외직구 물품 통관정보를 입력해야 한다’, ‘보관기간이 끝나간다’며 링크를 누르도록 유도한다. 실제 주문한 상품이 있다는 사실 때문에 경계심이 낮아질 수 있다.

과태료·범칙금·행정처분 등을 앞세운 공공기관 사칭형은 반대로 불안감을 건드린다. ‘교통법규 위반 사실 확인’, ‘미납 과태료 조회’처럼 당장 확인하지 않으면 불이익을 받을 것처럼 꾸미는 방식이다. 실제 기관명이나 대표번호처럼 보이는 정보가 표시됐다고 안심해서도 안 된다. KISA는 올해 금융·공공기관 대표번호를 도용한 전화와 불법 문자 사례에 대해서도 주의를 당부했다.

‘명절 상품권이 도착했다’, ‘주문이 취소됐다’, ‘결제 오류를 확인하라’는 쇼핑·선물형, 가족이나 지인을 가장해 ‘사진을 확인해 달라’, ‘휴대전화가 고장 났으니 대신 결제해 달라’고 접근하는 방식도 있다.

문구는 달라도 공통점은 비슷하다. 수신자가 생각할 시간을 줄이고 특정 행동을 서두르게 만든다. 배송 취소, 미납, 계정 정지, 환불 마감처럼 긴급성을 강조한 뒤 링크 클릭이나 개인정보 입력, 앱 설치로 이어지게 한다.

따라서 ‘오타가 많으면 스미싱’, ‘해외번호면 스미싱’처럼 문자 모양만으로 판단하는 방법에는 한계가 있다. 무엇보다 살펴야 할 것은 이 문자가 나에게 무엇을 하라고 요구하는가다.

링크 누르기 전 10초…‘문자가 안내한 길’로 들어가지 않는다

스미싱을 피하는 가장 간단한 방법은 의심 문자가 도착했을 때 문자 안에서 문제를 해결하려 하지 않는 것이다. 택배 주소를 확인하라는 문자가 왔다면 링크 대신 평소 사용하는 쇼핑몰이나 택배회사 앱을 직접 연다. 과태료나 범칙금이라면 문자에 붙은 주소가 아니라 해당 공공기관의 공식 앱이나 누리집을 직접 찾아간다.

첫 몇 초 동안에는 발신번호보다 문자가 행동을 재촉하는지부터 본다. ‘오늘까지’, ‘즉시 확인’, ‘미확인 시 취소’, ‘미납 시 처분’ 같은 표현으로 조급하게 만든다면 일단 멈추는 편이 안전하다.

그다음에는 문자 속 URL에 손대지 않는다. 의심된다면 자신이 이용한 공식 앱이나 누리집에서 배송·결제 내역을 우선 확인한다. 문자에서만 확인할 수 있는 ‘특별한 주소’를 굳이 이용할 이유가 없다.

링크를 열었을 때 주민등록번호와 계정 비밀번호, 카드번호, 계좌정보, 본인확인 인증번호 등을 요구한다면 더 진행하지 않는 것이 좋다. KISA 역시 휴대전화 번호와 아이디, 비밀번호 같은 개인정보는 신뢰할 수 있는 사이트에만 입력하고 본인확인 인증번호를 다른 사람에게 전달하지 말 것을 권고한다.

진짜인지 판단하기 어렵다면 직접 확인하는 방법도 있다. 카카오톡에서 ‘보호나라’ 채널을 추가한 뒤 ‘스미싱·피싱 확인서비스’에 의심 메시지를 입력하면 정상·주의·악성으로 판별 결과를 받을 수 있다. 처음 접수된 메시지는 분석을 위해 ‘주의’로 표시될 수 있으며, 약 10분 뒤 다시 확인하면 정상 또는 악성 판정 결과가 제공된다.

기억할 원칙은 단순하다. 문자에 문제가 있다고 적혀 있더라도, 그 문자가 알려준 길로 해결하러 들어가지 않는 것이다.

이미 눌렀다면? ‘클릭했나’보다 그다음 행동이 중요하다

의심스러운 링크를 이미 눌렀다면 가장 먼저 해야 할 일은 당황해서 휴대전화를 무조건 초기화하는 것이 아니다. 클릭 이후 무엇을 했는지를 차례로 확인해야 한다.

*링크만 열었다면> KISA에 따르면 현재 스미싱 대응 안내에서 문자에 포함된 URL을 클릭한 것만으로 악성 앱에 감염되는 것은 아니며, 해당 주소를 통해 실제 애플리케이션을 설치했는지가 중요하다. 따라서 페이지를 열었다가 이상함을 느껴 바로 닫았고, 앱이나 파일을 설치하지 않았으며 개인정보도 입력하지 않았다면 먼저 내려받은 파일이나 새로 설치된 앱이 없는지 확인한다. 모바일 백신 등을 이용한 보안 점검도 해볼 수 있다. 다만 링크 이후 파일 다운로드나 앱 설치, 각종 접근 권한 허용이 있었다면 다음 단계로 봐야 한다.

*개인정보를 입력했다면> 이름이나 전화번호뿐 아니라 아이디와 비밀번호, 신분증 정보 등을 입력했다면 단순 클릭보다 대응 범위를 넓혀야 한다. 계정 비밀번호를 입력했다면 해당 서비스의 공식 앱이나 사이트를 직접 열어 즉시 비밀번호를 변경한다. 같은 비밀번호를 다른 서비스에서도 쓰고 있다면 함께 바꾸는 것이 안전하다. 본인확인 인증번호나 신분증 정보까지 넘겼다면 명의도용 가능성도 살펴야 한다.

통신서비스 명의도용이 걱정될 경우 한국정보통신진흥협회(KAIT)의 명의도용방지서비스(Msafer)에서 자신의 명의로 개통된 통신서비스를 조회할 수 있다. 가입제한 서비스를 신청하면 제3자가 자신의 명의로 이동전화를 신규 개통하거나 번호이동·기기변경·명의변경을 하는 것도 사전에 제한할 수 있다.

*앱까지 설치했다면> 대응이 훨씬 급해진다. 악성 앱을 설치·실행한 것으로 의심되면 먼저 비행기 모드로 전환하거나 스마트폰 전원을 끈다. 이후 금융회사 등에 연락할 때는 감염되지 않은 다른 휴대전화 등 안전한 통신수단을 이용하는 것이 좋다. 모바일 백신으로 점검한 뒤 악성 앱을 삭제하고, 삭제가 어렵다면 휴대전화 제조사 서비스센터의 도움을 받는 방법도 있다. 악성 앱이 설치돼 있던 스마트폰으로 금융서비스를 이용했다면 금융거래에 사용한 인증정보도 다시 점검해야 한다.

주소록을 탈취한 악성 앱이 지인에게 비슷한 스미싱 문자를 보내 2차 피해로 이어질 수도 있다. 앱 감염이 확인됐다면 가족이나 가까운 지인에게도 자신의 번호로 이상한 메시지가 갈 수 있다는 사실을 알리는 것이 좋다.

*금융정보를 입력하거나 돈까지 보냈다면> 이 단계에서는 휴대전화 정리보다 추가 금전 피해를 막는 조치가 먼저다. 카드정보가 노출됐다면 카드사에, 계좌정보가 노출됐거나 송금 피해가 발생했다면 거래 금융회사에 즉시 연락해 필요한 정지 조치를 문의한다. 실제 금전 피해가 발생했다면 경찰 신고도 서둘러야 한다.

현재 전기통신금융사기 통합대응단 대표번호는 1394다. 경찰청은 올해 2월 기존 1566-1188에서 1394로 대표번호를 변경했으며, 보이스피싱 의심 단계부터 악성 앱 설치, 개인정보 유출 우려, 송금 직후까지 신고·상담을 받을 수 있도록 운영하고 있다. 스미싱 의심 문자 확인·상담은 KISA 118을 이용할 수 있고, 전기통신금융사기 신고·상담은 1394에서도 받을 수 있다.

결국 스미싱 피해 뒤 가장 먼저 던져야 할 질문은 ‘링크를 눌렀나’ 하나가 아니다. 링크를 누른 뒤 무엇을 입력했고, 무엇을 설치했으며, 돈이 움직였는가까지 확인해야 대응 순서를 정할 수 있다.

[생활 TIP] 부모님 휴대폰, 추석 전에 이것부터 확인하세요

고령의 부모가 있는 가정이라면 명절 전에 휴대전화 보안 설정을 함께 살펴보는 것도 방법이다. 우선 안드로이드 스마트폰에서는 브라우저나 파일관리자 등을 통해 ‘알 수 없는 앱 설치’가 허용돼 있는지 확인하고, 필요 없는 권한은 꺼둔다. KISA도 명절 스미싱 대응 수칙에서 출처 불명 앱 설치 차단을 권고해 왔다. 기종과 운영체제 버전에 따라 설정 메뉴는 다를 수 있다.

평소 휴대전화 소액결제를 사용하지 않는다면 통신사를 통해 차단하거나 한도를 낮추는 방법도 고려할 수 있다. 카카오톡의 보호나라 채널을 미리 추가해 놓고 “수상한 문자가 오면 링크를 누르지 말고 여기에 붙여넣는다”는 원칙을 알려두는 것도 실용적이다.

가족 사칭에 대비해서는 별도의 기술보다 간단한 규칙이 효과적이다. 자녀나 손자가 ‘휴대전화가 고장 났다’, ‘급하게 송금해 달라’고 문자로 부탁하면 문자에 적힌 번호가 아닌 원래 저장돼 있던 가족 번호로 직접 전화해 확인한다.

명의도용 피해가 걱정된다면 Msafer의 이동전화 가입제한 서비스와 함께 금융권의 비대면 계좌개설 안심차단·여신거래 안심차단도 활용할 수 있다. 비대면 계좌개설 안심차단은 본인이 원하지 않는 수시입출식 계좌의 비대면 신규 개설을 막고, 여신거래 안심차단은 신용대출·카드론·신용카드 발급 등 신규 여신거래를 제한하는 제도다.