3370만명 고객정보 무단 노출 확인중국 국적 전 직원이 정보 빼돌린 듯카드·통신 사고 이어 불안감 확산 국내 1위 온라인 유통 기업인 쿠팡에서 우리나라 국민의 절반이 넘는 약 3370만명의 고객 계정 정보가 무단으로 노출되는 초유의 사고가 벌어지면서 국민 불안이 소위 포비아(공포증) 수준으로 치닫고 있다. 역대 최대 규모의 고객 정보 유출인 데다 쿠팡이 5개월간 지속된 개인정보 탈취 시도조차 인지하지 못했기 때문이다. 이번 사고가 중국 국적의 내부자 소행이라는 언급도 나온다. 전문가들은 이 사태가 스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격)이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고했다. 쿠팡이 고객 계정의 이름, 이메일, 배송지 주소록(입력한 이름·전화번호·주소), 일부 주문 정보가 노출된 사실을 지난 29일 확인한 가운데 박대준 쿠팡 대표는 30일 정부서울청사에서 “국민 여러분께 불편을 끼쳐 드려 진심으로 사과드린다”며 첫 사과에 나섰다. 쿠팡은 지난 18일 약 4500개 계정의 개인정보가 노출된 사실을 인지했다고 밝혔지만 후속 조사에서 7500배나 많은 3370만개가 유출된 것으로 확인됐다. 쿠팡 구매 이력이 있는 고객 수(2470만명)보다 900만명이나 많고, 역대 최대 과징금인 1348억원 처분을 받은 SK텔레콤의 개인정보 유출 규모(2324만명)도 크게 웃돈다. 쿠팡은 지난 6월 24일부터 5개월 동안 지속된 개인정보 탈취 시도를 전혀 파악하지 못했다는 점에서도 책임을 피하기 어려워 보인다. 여기에 중국 국적의 전 쿠팡 직원이 고객 정보를 유출했다는 의혹도 제기됐다.  경찰은 쿠팡으로부터 서버 기록 등 이번 사건과 관련한 자료를 임의 제출받아 분석 중이다. 경찰은 “모든 가능성을 열어 두고 절차에 따라 수사하고 있다”고 전했다. 다만 쿠팡 측은 내부 직원 소행 가능성에 대해선 확인이 어렵다는 입장이다. 쿠팡은 이날 오후 웹사이트와 애플리케이션에 게재한 사과문에서 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않아 고객이 계정 관련해 조치를 취할 필요는 없다”고 밝혔다. 하지만 전문가들은 이번 사고가 스미싱이나 보이스피싱 등 추가 피해로 연결될 가능성을 경고한다. 한국인터넷진흥원(KISA)은 ‘피해 보상’이나 ‘피해 사실 조회’, ‘환불’ 등의 키워드로 피해 기업(쿠팡)을 사칭하는 스미싱이나 보이스피싱 등에 주의할 것을 권고했다. 김기형 아주대 사이버보안학과 교수는 “최근 주문 건에 문제가 있다며 주소나 연락처를 다시 확인하라는 식의 피싱이 대표적”이라면서 “문자, 전화, 카카오톡 등 어떤 채널에서도 모르는 링크는 클릭하지 않는 것이 중요하다”고 말했다. 정보 유출 경로가 오리무중인 상황에서 피해를 본 소비자들은 분통을 터뜨리고 있다. 빠른 배송 때문에 쿠팡을 애용했다는 구정순(62)씨는 이번 사태가 터지자마자 쿠팡을 탈퇴했다. 구씨는 “회사가 정확한 진단이나 대책을 내놓지 못해 정보가 유출된 피해자만 발을 동동 구르고 있다”며 “‘전화번호는 노출됐는데 카드 정보와 비밀번호는 노출되지 않았다’는 회사의 설명을 어떻게 믿겠느냐”고 말했다. 일부 고객 사이에서는 공동 현관 비밀번호도 털렸을 수 있다는 불안감이 높은 상황이다. 쿠팡의 경우 음식이나 택배 배송 요청란에 아파트 공동 현관 비밀번호를 쓰는 경우가 많고 이를 배송 정보로 관리하기 때문이다.

쿠팡에서 국내 인구 4분의 3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생하자, 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있어서 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보로 복제폰을 만드는데 악용될 가능성이 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유가 중국에 개인정보가 넘어갈까봐였는데, 이번 사태로 개인이 식별되는 정보가 넘어가게 될 경우 중국 이커머스가 고객 타겟팅을 더 정교화하는데 쓰일 수 있다”고 말했다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”면서 “3차 피해는 쿠팡 때문인지 특정할 수도 없고 피해 규모를 규명하기도 어려워 소비자 피해가 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개의 배송지 정보를 입력했을 가능성이 높기 때문이다. 이 경우 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이란 전망도 나온다. 전문가들은 피해를 본 소비자라면 보이스피싱, 스미싱 등에 유의할 것을 당부했다. 한국인터넷진흥원(KISA)은 출처가 불분명한 사이트 주소(링크)가 포함된 문자 메시지를 받은 경우 클릭하지 말고 바로 삭제하라고 권고한다. 의심되는 사이트 주소는 정상 사이트와 일치하는지 확인하는 편이 좋다. 카카오톡 채널 ‘보호나라’를 활용해 스미싱·피싱 사이트 여부를 확인하고 신고할 수 있다. 번호 도용 가능성이 의심된다면 이동통신사에서 제공하는 ‘번호도용문자 차단서비스’를 신청할 수 있다. 개인정보보호위원회가 운영하는 ‘개인정보포털’은 개인정보의 다크웹 유출 여부, 분쟁 조정 등의 서비스를 제공한다.

‘(부고)아버지가 11월 14일 12시 세상을 떠났습니다. 장례식장 위치입니다. http://g***.co/VYX’’ 이런 부고장이나 청첩장 등의 문자메시지에 악성 앱 설치 링크를 보내는 방식으로 120억원을 가로챈 스미싱 조직이 경찰에 붙잡혔다. 피해액을 기준으로 국내 최대 규모다. 서울경찰청 사이버수사과는 스미싱 조직 총책인 중국 국적 A(38)씨를 비롯한 일당 13명을 정보통신망법·통신사기피해환급법 위반 등 혐의로 검찰에 송치했다고 26일 밝혔다. 중국에서 범행을 지시한 해외 총책 2명에 대해선 인터폴 적색 수배령을 내렸다. 경찰에 따르면 이들은 2023년 7월부터 올해 6월까지 청첩장, 부고장, 교통법규 위반 고지서 등으로 꾸민 문자를 보낸 것으로 조사됐다. 문자에 첨부된 인터넷 주소 링크를 클릭하면 악성 앱이 설치되고, 이후 휴대전화 개인정보가 도용되는 구조였다. 권한을 탈취한 이들은 개인정보를 통해 알뜰폰을 개통한 뒤 피해자의 금융계좌 등에서 본인 인증을 거쳐 자금을 빼냈다. 이들에게 당한 피해자는 1000명 이상으로 지금까지 확인된 피해 금액만 120억원대로 파악됐다. 50대 이상 피해자가 전체 80~90뉴에 달했으며, 가장 큰 피해를 본 경우는 60대로 모두 4억 8500만원을 뜯겼다. 이들이 저지른 스미싱 범죄에는 전국 수사관서에 미제로 남겨진 사건 900여건이 포함된 것으로 파악됐다. 경찰은 수사 과정에서 본인인증 체계의 취약점을 확인해 통신사 2곳과 금융기관 2곳에 보안 강화 후속 조치를 주문했다. 경찰 관계자는 “지인 명의의 문자메시지라도 전화를 통해 확인하는 등 경각심을 가져야 한다”고 말했다.

‘(부고)아버지가 11월 14일 12시 세상을 떠났습니다. 장례식장 위치입니다. http://g***.co/VYX’’ 이런 부고장이나 청첩장 등의 문자메시지에 악성 앱 설치 링크를 보내는 방식으로 120억원을 가로챈 스미싱 조직이 경찰에 붙잡혔다. 피해액을 기준으로 국내 최대 규모다. 서울경찰청 사이버수사과는 스미싱 조직 총책인 중국 국적 A(38)씨를 비롯한 일당 13명을 정보통신망법·통신사기피해환급법 위반 등 혐의로 검찰에 송치했다고 26일 밝혔다. 중국에서 범행을 지시한 해외 총책 2명에 대해선 인터폴 적색 수배령을 내렸다. 경찰에 따르면 이들은 2023년 7월부터 올해 6월까지 청첩장, 부고장, 교통법규 위반 고지서 등으로 꾸민 문자를 보낸 것으로 조사됐다. 문자에 첨부된 인터넷 주소 링크를 클릭하면 악성 앱이 설치되고, 이후 휴대전화 개인정보가 도용되는 구조였다. 권한을 탈취한 이들은 개인정보를 통해 알뜰폰을 개통한 뒤 피해자의 금융계좌 등에서 본인 인증을 거쳐 자금을 빼냈다. 이들에게 당한 피해자는 1000명 이상으로 지금까지 확인된 피해 금액만 120억원대로 파악됐다. 50대 이상 피해자가 전체 80~90％에 달했으며, 가장 큰 피해를 본 경우는 60대로 모두 4억 8500만원을 뜯겼다. 이들이 저지른 스미싱 범죄에는 전국 수사관서에 미제로 남겨진 사건 900여건이 포함된 것으로 파악됐다. 경찰은 수사 과정에서 본인 인증 체계의 취약점을 확인해 통신사 2곳과 금융기관 2곳에 보안 강화 후속 조치를 주문했다. 경찰 관계자는 “지인 명의의 문자메시지라도 전화를 통해 확인하는 등 경각심을 가져야 한다”고 말했다.

최근 개인정보 탈취, 해킹 사태 등으로 정보 보안에 대한 경각심이 커진 가운데 통신사들이 보이스피싱 피해를 막기 위한 대응책 마련에 나섰다. SK텔레콤은 최근 인공지능(AI) 서비스인 ‘에이닷’에 최신 글로벌 AI 거대언어모델(LLM)을 도입하고 문자 보안 기능인 ‘AI 메시지’를 새롭게 추가하는 업그레이드를 단행했다. AI 메시지는 △발신번호 △문자 내용 △링크(URL) 등을 AI가 분석해 스팸·피싱이 의심되는 문자를 자동으로 분류한다. 의심 문자는 △사칭주의(가족·금융기관 등 사칭) △사기주의(대출·취업 빌미) △링크주의(악성 앱·개인정보 탈취 링크 포함) 등으로 분류된다. 위험 문자 자체가 앱 내에서 보이지 않도록 설정할 수 있는 ‘주의할 메시지 숨기기’ 기능도 있다. 안드로이드 운영체제(AOS)에서는 에이닷 전화 앱에서, iOS에서는 에이닷 앱 내 ‘전화’ 메뉴에서 사용할 수 있다. 추석 연휴 기간 365일 연중무휴 24시간 운영되는 ‘T 안심 24시간보안센터’도 운영한다. △피싱·스미싱·해킹 등에 대한 즉각 차단과 긴급 조치 △2차 피해 방지를 위한 보안 점검·예방 서비스 안내 및 기관 신고 지원 △피해조사, 보상 및 사후 관리까지 피해 복구를 지원한다. KT는 화자 인식과 딥보이스(AI로 만든 가짜 음성) 탐지 기능을 통합한 ‘AI 보이스피싱 탐지서비스 2.0’을 적용하고 있다. 실제 음성 데이터를 기반으로 위험 여부를 탐지하고, 보이스피싱 고위험 통화로 판단될 경우 강제 종료시킨다. 국립과학수사연구원이 보유한 실제 보이스피싱 통화 내역을 활용해 보이스피싱 탐지 정확도를 높였다. 올해 보이스피싱 탐지율 95% 이상, 약 2000억 원의 피해 예방을 목표로 하고 있다. 스팸 문자 메시지에 대해선 실시간 AI 키워드 등록 시스템을 이용해 투자 유도형, SNS 대화 유도형 등 새로운 유형의 변종 스팸에 대응할 수 있도록 필터링 구조를 지속해서 업데이트하고 있다. LG유플러스는 ‘익시오’ 앱을 통해 실시간 보이스피싱 경고 알림을 받을 수 있다. AI 통화 서비스인 익시오는 실증특례를 통해 보이스피싱범의 성문 데이터를 기반으로 탐지 정확도를 높였다. 악성 앱이 설치되면 카카오톡 알림톡으로 위험 앱이 설치됐다는 통보도 받을 수 있다. 또 전국 1800여개의 모든 대리점에서 스미싱 문자 수신, 악성 앱 감염 등 위협이 의심되는 고객에게 맞춤 상담과 보안 조치를 지원한다. 대리점을 방문해 보안 조치를 요청하면 각 매장에 배치된 보안 전문 인력이 악성 앱 대응에 나선다.

추석 연휴를 맞아 이동통신 3사는 특별 소통 상황실을 운영하는 등 비상 대응 체계를 강화한다. 영상통화 무료 제공 등 추석 혜택도 제공한다. SK텔레콤은 2~9일 특별 소통 상황실을 운영하고 자회사 및 관계사와 총 1만 2000여명의 인력을 투입해 전국 통신망을 24시간 모니터링한다고 2일 밝혔다. 추석 당일인 6일에는 데이터 사용량이 평시보다 19% 증가할 것으로 예상하고 사전 점검을 마쳤으며, 국제 로밍 사용량은 최대 30% 증가할 것으로 예상해 해외 중계 사업자와의 협력을 강화하기로 했다. KT도 추석연휴 기간 전국에 4000여명의 네트워크 전문가를 매치해 네트워크 집중 관제 체계를 가동한다. 과천 네트워크 관제센터를 중심으로 통신 서비스를 24시간 상시 모니터링 할 예정이다. 교통 정체가 예상되는 주요 고속도로와 휴게소, 인파 밀집 지역인 터미널, KTX·SRT 역사, 공항 등 665곳을 집중관리 지역으로 선정해 이동통신 기지국 증설과 서비스 품질 점검을 마쳤으며, 안부 인사나 선물 택배 등을 가장한 스미싱이나 디도스 등 사이버 공격에도 대비해 실시간 감시와 차단을 강화하기로 했다. LG유플러스도 서울 마곡사옥에 종합상황실 열고 24시간 집중 모니터링 돌입한다. 명절 통화량 및 데이터 사용량 추이를 분석해 주요 고속도로 요금소 및 휴게소 상습 정체구간 등 중요 거점지역에 현장요원을 배치하고, 상시 출동 준비태세를 갖췄다. 추석 연휴를 맞아 추가 혜택도 있다. SK텔레콤과 LG유플러스는 가족, 친척, 지인들과 안부인사를 나눌 수 있게 3~9일 7일간 영상통화 서비스를 무료 제공한다.

정부 전산망 ‘마비’와 추석·소비쿠폰 지급 등이 겹치며 ‘스미싱’ 피해 주의보가 발령됐다. 1일 세종시에 따르면 대전 국가정보자원관리원(국정자원) 화재로 전산망 복구 기간 전화나 문자메시지로 대체 사이트 접속과 앱 재설치 등을 유도하는 범죄에 각별한 주의를 당부했다. 이어 국정자원 화재로 인한 정부24 변경 주소 안내 및 접속유도, 서비스 장애에 따른 납세 지연 사유 신청, 민원 서비스 장애로 인한 일상생활 피해 국민 보상금 신청 등을 사례로 들었다. 선물 배송이 많은 추석과 2차 민생 회복 소비 쿠폰 지급과 맞물려 유통·금융기관 등을 사칭한 전화금융사기(보이스피싱)와 문자메시지 사기(스미싱) 등도 우려되고 있다. 세종시 관계자는 “시민의 소중한 재산과 안전을 지키기 위해 정부와 긴밀한 협력체계를 강화하고 있다”며 “예방수칙을 실천해 피해를 보지 않도록 경각심을 가져야 한다”고 강조했다. 앞서 정부는 국가 전산망 장애와 관련해 정부·공공기관 등으로 속인 스미싱 공격에 대한 주의를 당부했다. 스미싱은 문자메시지(SMS)와 피싱(Phishing)의 합성어로, 악성 앱 주소가 포함된 휴대전화 문자를 대량 전송해 이용자가 악성 앱을 설치하거나 전화하도록 유도해 금융정보·개인정보 등을 탈취하는 수법이다. 정부 전산장애를 빌미로 임시 본인인증을 거론하며 신분증과 계좌번호, 비밀번호 같은 개인정보 입력을 요구한다. 정부와 지자체, 금융기관 등은 시스템 장애 등 재난 상황 알림 안내 문자 발송 시 인터넷주소(URL)가 포함된 문자메시지를 발송하지 않는다고 강조했다. 경찰청·인터넷진흥원 등은 스미싱 공격에 대한 모니터링을 강화하고, 피해 신고 시 즉시 수사에 착수하는 등 신속 대응체계를 가동하고 있다. 보안업체 관계자는 “사이버 위협은 추석 선물 배송이나 교통법규 위반 과태료 같은 전형적인 스미싱 수법을 넘어 첨단 AI까지 동원해 교묘해지고 있다”며 “계정 탈취는 지인을 대상으로 한 2차 범죄에 악용돼 더 큰 피해로 이어질 수 있다”고 경고했다.

KT 대표 “펨토셀 외주 허점” 인정과기부 차관 “복제폰 위험성 볼 것”28만명 중 19만명 재발급 등 조치MBK, 롯데카드 매각 계획 재확인증인 채택된 김병주 회장 불출석 24일 국회에서 열린 ‘KT·롯데카드 해킹 사태’ 청문회에서 여야 의원들이 해당 기업들의 관리 소홀과 늑장 대응에 대해 집중 추궁했다. 과학기술정보통신부는 이 자리에서 고의성이 확인되면 경찰 수사 의뢰 등에 나서겠다는 입장을 밝혔다. 김영섭 KT 대표는 이날 청문회에서 허술한 ‘초소형 기지국’(펨토셀) 관리와 늑장 대응 등으로 질타를 받았다. 김 대표는 경찰의 해킹 통보 후 8일이나 지나서야 신고한 것과 관련해 “당시 스미싱으로 오인해 대응이 늦어졌을 뿐, 은폐 의도는 없었다”고 해명했다. 김 대표는 사퇴 의사에 대해선 “사태 수습이 우선”이라며 유보하는 태도를 취했다. 해킹의 주요 경로로 지목된 펨토셀을 부실하게 관리했다는 지적도 잇따랐다. 김 대표는 “외주 관리 체계에 허점이 있었던 것은 인정한다”고 했다. 류제명 과학기술정보통신부 2차관은 “서버 폐기나 신고 지연 등에 고의성이 있는지 파악하는 대로 필요시 경찰 수사 의뢰 등 강력 조치하겠다”고 했다. 그러면서 “(복제폰 생성 위험성도) 면밀히 보겠다”고 덧붙였다. 기업의 보안 부실로 인해 발생한 사태인 만큼 번호 이동 고객에 대한 위약금을 면제해야 한다는 지적이 거듭됐다. 김 대표는 “서버 해킹으로 개인 정보가 유출된 2만 30명에 대한 위약금 면제를 적극 검토하겠다”고 했지만, 전체 고객 위약금 면제 여부에 대해선 “최종 조사 결과를 보고 검토할 예정”이라며 선을 그었다. 류 차관은 “KT가 안전한 통신 제공의 의무를 위반했다면 당연히 위약금 면제 조치가 이루어져야 한다고 생각한다”고 말했다. KT는 무단 소액결제 사태와 관련해 올해 발생한 모든 인증 방식 내용 내역에 대해 전수조사를 실시할 계획이다. 이날 청문회에 출석한 조좌진 롯데카드 대표는 200GB 상당의 고객 정보 유출 사태와 관련 “카드 재발급이 100만명까지 밀려있는 상황으로 이번 주말까지는 대부분 해소가 될 것”이라고 밝혔다. 조 대표는 카드 재발급이 늦어지는 이유에 대해 “하루 24시간을 온전히 가동해서 재발급할 수 있는 캐파(Capa)가 6만장”이라며 이같이 답했다. 롯데카드는 지난달 보안패치 누락으로 해킹 사고가 발생해 회원 297만명의 정보가 유출됐다. KT 서버 해킹 사건과 달리 아직 피해액은 발생하지 않았지만 297만명 중 28만명은 연계정보(CI), 주민등록번호, 카드번호, 유효기간, 보안코드(CVC) 번호 등 부정 사용이 가능한 핵심정보까지 유출됐다. 롯데카드에 따르면 전날 오후 6시 기준 정보가 유출된 전체 고객 297만명 중 카드 재발급 신청을 한 이들은 약 65만명, 카드 비밀번호 변경은 82만명, 카드 정지 11만명, 카드 해지 4만명 등으로 집계됐다. 특히 CVC 번호 등 핵심 정보가 유출된 고객 28만명 중에는 19만명(68%)에게 카드 재발급, 비밀번호 변경, 카드 정지·해지 등 조치를 했다. 롯데카드는 신용정보법과 개인정보보호법을 근거로 총 800억원 이상의 과징금을 부과받을 위기다. 롯데카드는 향후 5년간 1100억원의 정보 보안 투자를 후속 대책으로 내세웠으나, 최대주주인 사모펀드 MBK파트너스의 윤종하 부회장은 이날 청문회에서 보안투자를 강화하겠다면서도 롯데카드 매각 계획을 재확인했다. 증인으로 채택된 김병주 MBK파트너스 회장은 불출석했다.

KT 무단 소액결제 사태가 최소 지난달 초부터 이어져 온 것으로 나타났다. 초기에 KT가 적극적으로 대응하지 않아 피해가 커진 게 아니냐는 지적이 나온다. 17일 국회 과학기술정보방송통신위원회 소속 황정아 더불어민주당 의원실이 KT로부터 제출받은 자료에 따르면 KT가 파악한 피해 고객 수와 결제 건수는 지난달 5일부터 이달 3일까지 278명, 총 527건이다. 피해는 총 16일에 걸쳐 발생했는데 문제는 최초 발생일(8월 5일)이 언론 보도로 관련 사태가 알려지기 시작한 시점보다 한 달이나 앞서 있었다는 점이다. 일일 한 자릿수에 머물던 무단 소액결제는 8월 21일과 26일에 각 33건, 27일에는 106건으로 급증했다. 이후에도 결제 건수는 두 자릿수에서 오르내려 뚜렷이 늘어난 추세를 보였다. 특히 8월 21일을 기점으로 피해 규모가 확대된 점을 들어 일각에선 해커들이 사전에 예행연습을 거쳤다는 추측도 나온다. KT는 이달 1일 수사기관으로부터 소액결제 피해 분석을 요청받았다. 당시엔 일반적인 스미싱 가능성이 크다고 판단해 즉각 대응하지 않았는데, 그러는 사이 2일과 3일 이틀간 109건의 피해가 추가로 발생했다. KT가 비정상 결제를 차단한 건 5일 새벽부터였고 이후엔 유사한 사례가 발생하지 않고 있다. KT는 “수사 문의를 받은 후 구체적 피해 명단 확인과 원인 파악에 최소한의 시간이 필요했다”면서 “사전에 확인하고 조치하지 못한 점에 대해 송구하다”고 밝혔다. 황 의원은 “최소 8월 5일부터 이상 신호가 있었는데 KT의 축소·은폐 시도로 피해가 막대해졌다”며 “과학기술정보통신부가 즉각적인 전수조사를 통해 피해 상황을 국민께 소상히 보고하고 축소·은폐 행위를 발본색원해야 한다”고 했다.

현직 경찰관들을 상대로 정체불명의 괴문자가 무더기로 발송되면서 경찰이 사실 확인에 나섰다. 16일 경찰에 따르면 전날 오후 서울경찰청과 경기남부경찰청 소속 일부 직원들에게 “때로는 조직의 논리가 아닌 자신의 사명을 따라야 한다”는 내용이 담긴 문자가 동시다발적으로 발송됐다. 이 내용과 함께 인터넷 주소인 URL 링크가 첨부됐다. 해당 링크에 접속하면 특정 텔레그램 대화방으로 접속되는 것으로 파악됐다. 경찰을 노린 문자가 광범위하게 퍼지자 경찰들의 연락처가 유출됐을 가능성도 제기된다. 문자를 받은 경찰들은 직장인 전용 온라인 커뮤니티 ‘블라인드’에 “서울(경찰청)인데 사무실 직원들 절반 정도 받음” 등의 댓글이 달렸다. 또 스미싱 사태에 대해 “하다 하다 경찰까지 노리네”, “경찰관 전화번호 DB(데이터베이스)화된 게 유출됐네” 등의 반응이 잇따랐다. 경찰청 사이버테러대응과는 문자 발송 경위에 대해 “사실관계를 확인 중”이라고 밝혔다. 앞서 지난 5~6월에도 대통령 선거 직전 전국 사이버 수사 담당 경찰관 상대로 스미싱 문자가 발송돼 경찰청이 내사(입건 전 조사)에 나선 바 있다.

순천농협 봉화지점이 최근 조례동 호수공원 일대에서 열린 왕조1동 주민총회에서 시민들을 대상으로 보이스피싱 피해예방 및 대포통장 근절 캠페인을 펼쳐 눈길을 끌었다. 최근 ‘민생회복 소비쿠폰 신청’을 빙자한 안내문자 발송 방식의 보이스피싱이 확산되면서 누구나 피해자가 될 수 있는 상황이다. 특히 최신 금융정보에 취약한 계층은 인터넷 주소를 무심코 눌러 피해를 입을 가능성이 높아 각별한 주의가 요구되고 있다. 최남휴 순천농협 조합장은 “추석 명절을 앞두고 민생회복 소비쿠폰 신청 관련 스미싱 피해가 발생하지 않도록 적극적인 홍보 활동이 필요하다”며 “앞으로도 농촌 어르신들과 어려운 서민들이 금융사기 피해를 당하지 않도록 예방활동에 앞장서는 순천농협이 되겠다”고 밝혔다. 한편 순천농협은 전남과 중소도시 지역농협 최초로 상호금융예수금 2조 7000억을 달성해 화제가 되고 있다. 지역 밀착형 영업활동과 고객 신뢰를 바탕으로 신용사업 부문에서 새로운 성과를 기록했다는 평가를 받고 있다.

KT 무단 소액결제 사태의 피해자가 약 200명으로 늘어난 가운데, 반복되는 통신사의 보안 불감증에 대한 비판이 커지면서 해외 사례에도 관심이 쏠리고 있다. 15일 이동통신 업계에 따르면 KT 사태와 유사하게 통신망 허점을 노린 결제 사고는 미국·일본 등 선진국에서도 종종 발생했다. 2022년 미국에서는 암호화폐 거래서 FTX 해킹 사태가 발생했다. 미국 유력 이동통신사인 AT&T의 본인인증 시스템 취약점을 노린 범죄였다. 미 법무부는 지난해 2월 FTX를 해킹해 4억 1500만 달러(한화 약 5146억 원) 상당의 가상화폐를 빼돌린 해커 일당 3명을 기소했다. 2019년에는 AT&T와 버라이즌 직원과 협력업체 관계자가 뇌물을 받고 심 스와핑(SIM Swapping) 범죄에 가담했다가 기소되기도 했다. 심 스와핑은 해커가 타인의 전화번호와 개인정보(이름, 생년월일 등)를 이용해 이동통신사에 피해자를 사칭, 기존 사용자의 유심(USIM) 정보를 복제하거나 재발급받는 방식의 범죄다. 복제한 심 카드를 휴대전화에 넣으면 피해자가 원래 받던 문자, 전화 인증 등을 해커가 모두 탈취할 수 있다. 미국은 유사 사건 방비를 위해 SIM 교체나 번호 이동 문서 처리 전 신원확인 절차를 의무화했다. 또 심 스와핑과 같은 시도가 발생할 경우 처리 전에 고객에게 반드시 통지하도록 했다. 일본에서는 2020년 당시 점유율 1위 통신사인 NTT도코모가 운영하는 전자결제 서비스 ‘도코모 계좌’에서 대규모 부정인출 사건이 발생했다. 공격자는 도용한 개인정보를 사용해 ‘도코모 계좌’를 만든 뒤 다른 사람의 예금을 무단으로 인출했다. 일본은 피해 발생 직후 신규 등록을 일괄 중단하고 피해 방지 대책에 나섰다. 또 결제 계좌 개설 과정에서 2단계 인증을 도입해 본인 확인 체계도 강화했다. 유럽에서는 소액결제 사기 및 과다 청구 사례를 미리 방지하기 위해 소액결제 상한선을 제한했다. 유럽연합(EU)은 2018년부터 이동통신 요금에 합산돼 청구되는 디지털 소액결제의 상한선을 건당 50유로(약 8만 1500원), 월 300유로(약 49만 원)로 제한하고 있다. 허술한 ARS 인증 고수, 결제대행사에 책임 돌리는 한국 통신업계국내에서는 지난달 27일 새벽 경기 광명·서울 금천 등 일부 KT 고객들의 휴대전화에서 본인도 모르게 소액결제가 진행된 것이 처음 확인된 뒤 유사한 피해 신고가 잇따라 접수됐다. 이번 사태는 범인이 불법 초소형 기지국(불법 기지국)을 통해 KT망에 접속, 개인 IMSI((가입자식별번호)등을 유출한 뒤 모바일 상품권 등으로 무단 소액결제를 일으키면서 발생했다. IMSI 유출로 인해 피해자 본인 인증 없이 결제가 이루어졌고, KT 알뜰폰 이용자까지 영향을 받은 것으로 파악된다. 지난 12일까지 경찰에 신고된 무단 소액결제 피해자는 총 199명, 피해액은 1억 2600만원으로 늘어났다. KT 자체 집계는 278건, 피해 규모는 1억 7000만원으로 더 많으며 피해자가 인지하지 못한 추가 사례도 확인하고 있다. 소액 결제의 허점이 그대로 드러난 해킹 사례는 이번이 처음이 아니지만 KT가 그동안 안일한 태도로 문제를 대한 탓에 피해가 눈덩이처럼 불어났다는 지적이 나온다. KT는 지난 10일 국회 과학기술정보방송통신위원회 소속 황정아 의원(더불어민주당)이 사건이 가장 빈번히 일어났을 것으로 추정되는 지난달 27일부터 열흘간의 소액결제 이용자 수, 이용 금액 등을 요구하자 “월별 관리 중으로 정확한 현황을 추출하지 못한다”고 답변했다. 이에 황 의원은 “로그기록과 요금이 모두 시스템상 남아있음에도 전체 소액결제 거래 현황은 파악할 수 없다는 KT의 의문스러운 태도가 결국 해킹 피해 규모를 축소하기 위한 것 아니냐”고 지적했다. 현행법상 기업이 먼저 신고하기 전까지는 현장 조사 불가일각에서는 KT 등 국내 통신 업계가 이미 문제가 입증된 소액 결제의 취약점을 개선하기보다는 허술한 ARS 인증을 고수하고, 소비자 분쟁이 발생하면 앱스토어 운영자나 결제대행사(PG)에 책임을 돌리고 있다는 비난을 내놓는다. 특히 KT 무단 결제 사고의 경우 경찰이 KT에 미리 집단피해 사실을 알렸음에도 “해킹 정황이 없다”고 자체 판단하고 침해 신고를 뒤늦게 한 사실이 알려져 논란이 됐다. 현행법에 따르면 해킹 등 사이버 침해 사고를 당한 기업이 스스로 정부에 신고하기 전까지는 직권 현장 조사가 불가능하다. 당국이 나서서 선제 조처를 취하는 데 한계가 있다는 의미다. 배경훈 과학기술정보통신부 장관은 12일 기자간담회에서 KT 무단 결제 사고 대응과 관련한 질의에 “원인 분석도 중요하지만, 신고 이후에나 조사를 진행할 수 있는 체계를 바꿔야 한다”며 “국화와도 논의 중이며, 정부와 국회 차원에서 할 수 있는 최대한의 고민을 하고 있다”고 밝혔다. 이어 “개인정보도 많고, 워낙 통신 활용도가 높다 보니 통신사를 대상으로 사고가 자주 일어나는 것으로 본다”며 “단말기 제조사 관점에서도 해킹이 근본적으로 일어나지 않도록 관련 앱을 설치하거나, 통신사들도 스미싱 사고 발생이 없도록 차단하는 등 국가 차원에서 종합 보안 대책이 필요하다고 본다”고 덧붙였다.

국민 90%에게 22일부터 1인당 10만원의 2차 민생회복 소비쿠폰이 지급된다. 네이버·카카오·토스·국민은행·신한은행 등 16개 앱과 ‘국민비서(www.ips.go.kr)’ 누리집에서 ‘민생회복 소비쿠폰 안내’ 서비스를 신청하면 15일부터 대상 여부를 확인할 수 있다. 궁금증을 문답으로 정리했다. Q.누가 받을 수 있나. A.소득 하위 90%여야 한다. 지난 6월 본인부담 건강보험료가 외벌이 직장 가입자 기준 1인 가구 22만원·2인 가구 33만원·3인 가구 42만원·4인 가구 51만원 이하면 받을 수 있다. 세전 연봉 기준으론 1인 가구 약 7500만원, 2인 약 1억 1200만원, 3인 1억 4200만원, 4인 1억 7300만원 이하다. 맞벌이 가구는 가구원 수를 1명 더한 기준이 적용된다. 예를 들어 맞벌이 부부와 자녀 1명의 3인 가구는 4인 가구(51만원) 기준이 적용된다. 건보료 기준을 충족해도 지난해 재산세 과세표준 합계가 12억원(공시가격 약 26억 7000만원 상당 부동산)을 넘거나 금융소득이 2000만원을 초과하면 대상에서 제외된다. Q.주소지가 달라도 한 가구인가. A.배우자와 자녀는 주소지가 달라도 건강보험 피부양자로 묶이면 같은 가구다. 부모는 세대가 따로면 피부양자여도 다른 가구로 본다. 맞벌이 부부는 원칙적으로 별도 가구로 보지만, 부부 건보료 합산 기준이 소비쿠폰을 받기에 유리하면 같은 가구로 인정한다. Q.신청·사용 기간은. A.신청은 22일 오전 9시부터 다음 달 31일 오후 6시까지 가능하다. 사용기한은 11월 30일까지며, 기한 내 쓰지 않은 잔액은 소멸한다. Q.어디서 쓸 수 있나. A.연 매출 30억원 초과 대형 매장은 제외되지만, 지역 지역생활협동조합은 예외다. 군인은 복무지 인근에서도 사용할 수 있다. Q.신청 링크를 보내주나. A.아니다. 링크가 포함된 문자는 100% 스미싱 범죄이니 클릭하지 말아야 한다.

배경훈 과학기술정보통신부 장관이 KT 무단 소액결제와 SKT 개인정보 유출 등 잇따르는 통신사 해킹 사태에 대해 “기존보다 반걸음, 한걸음 빠른 대응책을 고민해 해결책을 찾아나가겠다”고 밝혔다. 배 장관은 지난 12일 서울 광화문에서 열린 ‘취임 50일 기자 간담회’에서 반복되는 통신사 사이버 침해 사고에 높아지는 국민 불편·우려에 대한 입장을 묻는 말에 이렇게 답했다. 그는 최근의 KT 사이버 침해 사건에 대해 “(사건 발생 시기로 알려진) 8월 22일 이전부터 문제가 됐던 것들이 지금 터지는 것 아닌가 해서 종합적인 연관 관계를 분석 중”이라고 밝혔다. LG AI연구원장 출신으로 인공지능(AI) 전문가인 배 장관은 “AI에 관심을 가지는 것 이상으로 정보 보호 체계에 대한 관심을 많이 갖고 있으며, AI 대전환 시대에 앞서서 우리가 반드시 해결해야 하는 문제가 해킹 이슈라고 본다”고 강조했다. 그러면서 “AI를 악용한 해킹 기술이 발전하는 상황에서 근본적인 대책을 세워야 하는데 거기에 대한 준비가 되어 있는가에 대한 고민이 매우 많다”고 했다. 이어 “정보 보호 대전환 체계를 만드는 것이 매우 중요하며 류제명 2차관을 단장으로 정보 보호 대응 태스크포스(TF) 팀을 꾸려 할 수 있는 최대한의 대응을 해보고자 한다”고 덧붙였다. 사이버 침해를 당한 기업이 당국에 신고하지 않으면 당국 개입이 어려운 현행 제도 개선 필요성도 언급했다. 정보통신망법은 정보통신 서비스 제공자가 침해 사고를 인지하면 24시간 이내에 과학기술정보통신부 장관이나 한국인터넷진흥원(KISA)에 신고하고 위반 시 3000만원 이하의 과태료를 내도록 규정하고 있다. 하지만 당국의 내부 정보 접근 등을 우려한 기업들이 침해당하고도 ‘쉬쉬’하면서 사이버 보안 역량이 약화하는 상황이 지적돼왔다. 배 장관은 “신고 이후에 당국이 조사할 수 있는 지금 체계를 바꾸기 위해서 국회와 소통 중”이라며 “통신사들도 정부를 믿고 문제가 생겼을 때 바로 신고하거나 상의할 수 있어야 할 것”이라고 말했다. 아울러 휴대전화 출시 단계에서 해킹 예방 애플리케이션 설치, 통신망 차원의 스미싱 차단, 국가적 차원의 화이트해커 육성 등 별도 대책 마련도 언급했다.

2차 민생회복 소비쿠폰 신청·지급을 앞두고 정부가 스미싱 범죄에 대한 주의를 당부했다. 14일 행정안전부는 정부나 카드사, 은행 등을 사칭해 지급 대상·금액을 안내하거나 카드 승인·신청을 해준다며 개인 정보와 금융 정보를 탈취하는 스미싱 공격이 예상된다고 밝혔다. 스미싱은 문자메시지(SMS)와 피싱(Phishing)의 합성어로 ‘인터넷주소 바로가기(URL)’가 포함된 문자를 전송한 뒤 이용자가 해당 URL을 누르면 악성 앱이 설치되도록 하는 범죄 수법이다. 이 같은 스미싱 피해를 예방하기 위해 정부·카드사·지역화폐사는 2차 민생회복 소비쿠폰과 관련해 URL이 포함된 문자와 소셜미디어(SNS) 안내 문자를 일정 발송하지 않을 예정이라고 밝혔다. 유사한 기능을 하는 배너 링크나 푸시 기능도 제공하지 않을 방침이다. 1차 민생회복 소비쿠폰과 관련해 현재까지 관계기관이 탐지·대응한 스미싱 사례는 총 430건으로 실제 피해로 이어진 경우는 없었다. 스미싱 유형 분석 결과, 대부분 불법 도박사이트 광고 및 접속유도였으며 개인정보 탈취형 악성 앱도 있었다. 정부는 개인정보 탈취형 스미싱 악성 앱의 경우 주변인들에게 스미싱 문자를 재유포하는 기능도 탑재돼 특히 주의해야 한다고 당부했다. 만약 스미싱 의심 문자를 받았거나 문자 내 URL을 눌러 악성 앱 감염이 의심된다면 한국인터넷진흥원 118 상담센터로 신고하면 된다. 정부는 2차 민생회복 소비쿠폰 신청·지급 전 ‘스미싱 피해 예방 문자’를 발송하고, 온라인 신청페이지에 스미싱 주의 안내 문구를 포함할 예정이다. 또 금융감독원, 경찰청, 한국인터넷진흥원 등을 통해 스미싱 공격에 대한 모니터링을 강화하고, 피해 신고 시 즉시 수사에 착수하는 등 대응체계를 운영할 계획이다. 2차 민생회복 소비쿠폰은 오는 22일부터 10월 31까지 신청 가능하다. 자산·소득 상위 10%를 제외한 전 국민의 90%를 대상으로 1인당 10만원씩 지급하며 사용 기한은 오는 11월 30일까지다.

경기 이천시는 시민과의 신뢰 있는 소통 강화를 위해 문자 발송 시스템에 ‘안심마크’를 적용한 RCS(Rich Communication Services) 기반 서비스를 도입해 운영을 시작했다고 9일 밝혔다. 발신 번호만 표시된 기존 문자 발송 방식은 수신자가 문자의 출처를 확인하기 어려워, 공공기관의 문자조차 사기 메시지로 오해받는 사례가 잦았다. 이에 따라 이천시는 대표번호(031-644-2000)를 기반으로 한 RCS 문자 발송 시스템을 도입하고, 문자를 받는 시민이 ‘이천시청’ 기관명과 한국인터넷진흥원(KISA)에서 검증한 ‘안심마크’를 직접 확인할 수 있도록 개선했다. 안심마크는 위·변조나 사칭이 불가능해 스미싱 문자와 구별된다. 또한 RCS 기반 문자 시스템은 단순한 텍스트 전달을 넘어 사이트 바로가기, 전화 걸기 등 다양한 기능을 지원한다. 시민은 문자 수신과 동시에 교육 신청, 안내문 다운로드, 문의 전화 연결 등 필요한 정보를 안전하게 이용할 수 있다. 김경희 이천시장은 “사칭 문자로 인한 시민들의 불안이 커지고 있어, 문자 발신의 신뢰성을 높이는 것이 시급했다”라며 “안심마크를 적용한 RCS 시스템 도입으로 시민이 안심하고 문자를 열람할 수 있게 된 것이 가장 큰 성과”라고 말했다. 이어 “앞으로도 디지털 기반의 스마트 행정서비스를 확대해 시민 안전과 행정 효율을 동시에 높이겠다”라고 밝혔다.

오는 22일부터 시작되는 정부의 민생회복 소비쿠폰 2차 지급을 앞두고 정부 기관으로 위장한 스미싱(미끼 문자)이 잇따라 당국이 주의를 당부했다. 지난 4일 방송통신위원회는 소비쿠폰 지급을 악용해 불법 도박 사이트 등에 접속하도록 유도하는 불법 스팸 전화·메시지 피해 주의보를 발령했다. 최근 신고 사례로는 ‘민생회복 쿠폰 도착 안내’, ‘지금 받으러 가기’ 등 허위 안내와 함께 악성 사이트로 이어지는 인터넷주소(URL)가 담긴 문자 메시지가 있었다. 이러한 URL은 대체로 정부 기관 등을 사칭한 위장 사이트로 이어진다. 이때 사용자의 개인정보와 금융정보 탈취를 위한 프로그램과 애플리케이션(앱)이 자동 설치돼 무단 송금 및 휴대전화 원격제어 등 피해가 발생할 수 있다. 피해 예방을 위해서는 출처가 불분명한 메시지에 포함된 URL은 누르지 않고 전화는 그대로 거절하는 것이 좋다. 방통위는 소비쿠폰 2차 지급을 악용한 스미싱에 대응하기 위해 이동통신 3사(SKT·KT·LG U+), 카카오와 협력하고 이용자에게 주의 안내 문자를 발송할 계획이다. 또한 단말기 제조사 등에 지능형 스팸 필터링 강화도 요청했다. 만약 출처가 불분명한 URL이 담긴 메시지를 받았다면 한국인터넷진흥원(KISA)이 운영하는 ‘보호나라’ 서비스를 이용하면 된다. 카카오톡에 접속해 ‘보호나라’ 채널을 실행한 뒤, 해당 문자를 복사-붙여넣기 하면 스미싱 여부를 확인할 수 있다. 불법 스팸을 받았다면 해당 문자 메시지와 전자메일(e-mail) 등을 간편 신고 앱이나 휴대전화 간편 신고 등을 통해 KISA에 신고할 수 있다. 신고된 정보는 불법 여부 확인을 거쳐 경찰청, 금융위원회 등과 공유해 피해 확산 방지에 활용한다.

경찰당국이 필리핀에 도피해 있던 한국인 범죄자 49명을 일괄 강제송환하는 데 성공했다고 3일 발표했다. 이는 단일 국가를 대상으로 한 해외도피사범 송환작전 중 역대 최대 규모로 기록됐다. 이날 오후 4시 30분경 인천국제공항에 도착한 송환 대상자는 남성 43명, 여성 6명 총 49명이다. 대규모 송환으로 인해 별도의 전세기가 투입됐으며, 공항에는 대테러기동대를 포함한 경비인력 100여명이 배치돼 삼엄한 경계 속에서 송환 절차가 진행됐다. 사기·사이버범죄가 대부분…피해액만 605억원송환된 인원을 범죄 유형별로 살펴보면, 보이스피싱 등 사기 사범이 총 25명으로 가장 높은 비중을 차지했다. 이 중 18명은 필리핀을 거점으로 보이스피싱 및 스미싱 범죄를 저질렀던 것으로 조사됐다. 사이버범죄 관련자도 17명에 달했으며, 이들은 주로 불법 도박장 개설 혐의를 받고 있다. 이외에도 특수상해 혐의의 조직폭력배를 포함한 강력사범 3명, 횡령·외국환거래법·조세범처벌법·성폭력처벌법 위반 등의 혐의자들이 각각 포함됐다. 이들의 범행으로 인한 피해 규모는 상당하다. 피해자만 1332명에 이르며 직접적인 금전 피해액은 약 605억원으로 집계됐다. 특히 이들이 운영한 불법 도박 사이트의 도금 규모는 무려 10조 7000억원에 달하는 것으로 나타났다. 최장 16년 도피자도 검거…평균 도피기간 3년 반 송환자들의 도피 기간을 분석한 결과, 평균 3년 6개월 동안 필리핀에 숨어지낸 것으로 확인됐다. 이 중 가장 오랫동안 도피해온 인물은 200억원 규모의 기업 자금을 횡령한 후 16년간 추적을 피해온 것으로 드러났다. 연령대별로는 평균 39세였으며, 최고령자는 63세, 최연소자는 24세였다. 인터폴 적색수배서가 발부된 대상자는 45명이었으며, 이들에 대한 국내 수사기관의 수배 건수만 총 154건에 달했다. 주목할 만한 사례로는 2018년부터 약 5조 3000억원 규모의 온라인 불법 도박사이트를 운영해온 조직원 10명도 이번 송환에 포함됐다. 또한 2024년 필리핀 세부에서 발생한 한국인 대상 강도상해 사건의 주범과 공범들도 함께 송환됐다. 4개월간 국제공조 작전…8년 만에 전세기 집단송환이번 대규모 송환작전에는 총 4개월의 준비 기간이 소요됐다. 지난 6월 한국 경찰관을 필리핀에 파견해 현지 당국과 함께 30여명 규모의 합동 수사를 진행했으며, 현지 주거지 급습을 통해 조직원들을 차례로 검거했다. 송환 과정에서는 국내 경찰관과 경찰병원 의료진 등 130여명이 동원됐다. 외교부, 국토교통부, 인천국제공항경찰단, 인천국제공항공사, 인천공항출입국관리소 등 10여개 국내 기관이 협력해 송환 작전을 뒷받침했다. 전세기를 이용한 한국 범죄자 집단송환은 8년 만에 이뤄진 것으로, 2017년 필리핀에서 47명을 송환한 이후 두 번째 사례다. 당시에는 영화 ‘콘에어’에 빗대어 ‘한국판 콘에어 작전’으로 불리기도 했다. “필리핀은 더 이상 범죄자 도피처가 아니다” 이상화 주필리핀 한국대사는 이날 마닐라 니노이 아키노 국제공항에서 현지 언론 브리핑을 개최했다. 필리핀 이민청장과 한국 경찰청 호송단장이 함께 참석한 이 자리에서 이 대사는 “한국과 필리핀은 전략적 동반자 관계를 바탕으로 필리핀이 더 이상 범죄자들의 도피처가 될 수 없음을 분명히 했다”고 강조했다. 이 대사는 이번 송환을 위해 필리핀 대통령실, 이민청, 법무부 등과 지속적인 교섭을 벌여 신병 인도 절차와 전세기 운항에 필요한 세부 사항들을 조율한 것으로 알려졌다. 이준형 경찰청 국제협력관은 “해외를 도피처로 여기는 범죄자들에게 더 이상 안전한 은신처는 없다는 점을 분명히 보여주는 사례”라며 “앞으로도 해외 도피사범에 대한 추적과 검거 작업을 끝까지 이어가겠다”고 의지를 밝혔다.

경기도 광명시에서 휴대전화 소액결제 피해를 봤다는 신고가 잇따라 경찰이 수사에 나섰다. 4일 연합뉴스에 따르면 경찰은 지난달 27~31일 주로 새벽 시간대 휴대전화로 수십만원 상당의 모바일 상품권 구매와 교통카드 충전 등이 이뤄졌다는 신고를 받고 수사에 착수했다. 경찰이 현재까지 파악한 피해자 수는 26명이다. 이들은 모두 광명시 소하동에 거주 중인 것으로 전해졌다. 피해 규모는 62차례에 걸쳐 총 1769만원이다. 광명시 온라인 커뮤니티 등에는 이날도 “소액 결제 피해로 경찰에 신고했다”는 글이 올라오고 있어 피해 규모는 더 커질 가능성도 있다. 자신을 ‘소하동에 거주하는 KT 이용자’라고 밝힌 한 피해자는 한 온라인 커뮤니티에 올린 글을 통해 “상품권 구매 사이트의 회원 가입이나 결제 관련 인증 문자가 전혀 오지 않았고, 새벽 시간에 한도 상향까지 해서 소액 결제가 된 상황”이라며 150만원 이상의 피해를 봤다고 했다. 처음 신고받은 광명경찰서는 이 사건이 해킹 범죄일 가능성에 무게를 두고 경기남부경찰청으로 사건을 넘겼다. 경찰 관계자는 연합뉴스에 “소액 결제 범죄가 한 지역에 중점적으로 발생한 것은 상당히 이례적”이라며 “어떤 경로로 해킹이 이뤄졌는지 등은 현재로서 알 수 없고 더 수사할 사항”이라고 말했다. 사이버 침해를 조사하는 한국인터넷진흥원(KISA)은 이번 사건에 대한 사실관계를 확인하고 있다고 밝혔다. KISA 측은 “스미싱에 의한 악성 앱 감염 등 여러 가능성을 놓고 피해 사실 및 원인을 파악하고 있다”고 전했다.

수사당국·금융기관 사칭해 접근다크웹으로 개인 정보 미리 빼내 문자메시지로 악성 앱 설치 유도“확인차 연락”한다며 피해자 압박AI 딥보이스 기술 통해 수법 진화가스라이팅 당한 20대 도피 생활 30대 이하·40~60대도 범죄 표적“검거율 낮아… 해외 사법 공조 필요” 올해 1~7월 보이스피싱·스미싱 피해액이 8000억원에 육박하는 등 역대 최고치를 기록한 것은 그만큼 피싱조직의 수법이 진화하고 있어서다. “서울중앙지검 ○○○ 검사입니다”, “금융감독원 ○○○입니다” 등 기관 단 1곳을 사칭해 범죄에 연루됐다며 출금을 유도하는 ‘고전 방식’은 사라지는 추세다. 31일 경찰과 금융당국에 따르면 최근 두드러진 보이스피싱의 유형 중 하나는 정교해진 ‘역할극 기관 사칭 사기’다. 피싱조직은 검사, 금감원 직원, 은행 직원 등으로 역할을 나눠 피해자에게 접근한다. 피해자의 연락처, 이름, 직장 등 일부 개인정보는 다크웹 등을 통해 확보한 상태인 경우가 대부분이다. 이후 이들은 맞춤형 사기를 저지르기 위해 ‘악성 앱 설치’에 사활을 건다. 대표적인 방식은 문자메시지를 통한 ‘배송조회 URL’ 전송이다. 피해자가 링크를 누르도록 유도한 뒤 “신청하지 않은 카드가 배송될 예정이니 보안 점검을 위해 앱을 설치하라”고 안내한다. 저금리 대출 광고에 응한 피해자에게는 ‘대출 전용 앱’, ‘보안 앱’ 설치를 요구하기도 한다. 서울에 거주하는 40대 A씨는 ‘대출 상담을 원한다면 아래 링크를 클릭해 달라’는 문자를 받은 이후 URL을 클릭했고 이후 안내받은 대로 ‘서민금융진흥원 앱’을 설치했다. 경찰 수사 결과 이 앱은 피싱조직의 악성 앱이었다. 하지만 A씨는 카드사를 사칭해 ‘대출금 중 3000만원을 갚으라’는 피싱조직의 요구대로 돈을 보낸 이후였다. 경찰 관계자는 “실제 금융회사 앱과 구별이 어려울 정도로 정교하게 만들어져 있다”고 말했다. 이후 범죄 조직원들은 여러 기관을 사칭하며 피해자를 압박한다. 검찰을 사칭한 조직원이 “당신 명의로 개설된 계좌가 불법 자금 세탁에 이용됐다”고 전화를 하면 곧이어 금감원을 사칭한 조직원이 “최근 계좌 사칭 범죄가 급증하고 있어 확인차 연락드린다”며 다시 전화를 하는 식이다. 이 밖에도 카드배송원이나 우체국 집배원이 “카드 배송을 하러 왔다”고 연락한 뒤 “본인이 신청한 게 아니면 명의가 도용됐으니 고객센터에 전화해 보라”고 속이는 것도 수법 중 하나다. 피해자가 고객센터에 전화를 걸면 이미 설치된 악성 앱이 작동해 통화가 조직원에게 연결된다. 이후 ‘범죄와 연루돼 있으니 다른 계좌로 돈을 옮겨야 한다’는 식으로 송금을 요구하는 등 피해자를 기만한다. 심리적 지배를 통한 ‘가스라이팅’ 방식 사기도 늘고 있다. 피싱조직은 피해자가 완전히 통제당했다고 판단할 때까지 돈을 요구하지 않고 반성문 작성 등을 지시한다. ‘본인이 처벌될 경우 가족이 입을 불이익’을 강조해 불안을 증폭시키는 것이다. 8월 초 전북 익산에 사는 20대 회사원 B씨는 개인정보 유출로 범죄에 연루됐다는 피싱조직의 가스라이팅에 속아 모텔에서 나흘간 먹고 자면서 실제 도피 생활을 했다. “선생님, 유출된 개인정보가 범죄에 활용됐는데요. 우선 안전한 장소로 이동해 계시면 조치를 취해 보겠습니다.” 이 같은 전화를 받은 B씨는 “수사에 협조하지 않으면 구속하겠다”는 조직의 압박에 이성적인 사고를 할 수 없었다고 한다. 이후 5000만원을 피싱조직에 건네려 했지만 다행히도 관련 첩보를 입수한 경찰의 설득으로 거액을 송금하는 일은 벌어지지 않았다. 경찰 관계자는 “예전의 단순한 보이스피싱으로 여겨 ‘나는 당하지 않겠다’고 생각하면 큰 착각”이라고 경고했다. 소셜미디어(SNS) 등에서 확보한 사진과 영상을 가지고 인공지능(AI)으로 목소리 등을 위조하는 ‘딥페이크·딥보이스 기술’도 피해자를 감쪽같이 속이는 데 한몫한다. 한 대학교수는 지난 4월 “아빠 지금 5000만원만 빨리 입금해 줄 수 있을까? 지금 이 계좌로 좀 보내 줘”라는 전화를 딸에게 받았다고 한다. 30년간 들었던 외동딸의 목소리였지만 알고 보니 AI 기술로 딸의 목소리를 흉내 낸 것이었다. 피해자는 연령을 불문한다. 경찰청에 따르면 ‘기관사칭형’ 피해자의 52%는 30대 이하였고, ‘대출빙자형’ 피해자의 80%는 경제활동이 왕성한 40~60대였다. 건당 평균 피해액은 2022년 2326만원에서 올해는 7554만원으로 점점 고액화되는 추세다. 이윤호 동국대 경찰행정학과 명예교수는 “보이스피싱 발생 건수 증가에는 낮은 검거율도 한몫한다”며 “국가 간 사법공조 체제를 강화하는 협정 체결이 효과적일 수 있다. 또 피싱이 합리적인 수준 이상으로 의심되는 경우 금융기관이 경찰에 신고하도록 권한과 의무를 부여하는 방안도 검토할 필요가 있다”고 제언했다.