[취재파일] 보이스피싱과 결합한 신종 스미싱, 대응은 빨랐지만…

세상은 때로 기다리는 사람에게는 좀처럼 기회를 주지 않습니다. IT 업계의 이런저런 일들을 취재하면서 제가 생각해도 꽤 자주 기사로 써 왔던 '스미싱'도 그렇습니다. 기자로서의 호기심과 취재 욕심에 '언젠가 스미싱 전화가 오면 녹취를 하면서 한 번 자세하게 물어보리라'고 생각해 왔는데, 그런 전화를 지금까지 한 번도 받지 못했다는 얘깁니다.

서울 장지동에 사는 강OO 씨는 그동안 스마트폰으로 날아오는 스팸 문자를 틈틈이 정부 산하기관인 한국인터넷진흥원(KISA)에 신고해 왔습니다. 물론 귀찮고 번거로운 일이었지만 신고를 하면 혹시 모를 피해를 막을 수 있고, 스팸 대응책을 마련할 때 도움이 될 수 있으리라는 생각에서였습니다. 몇 번의 스팸 제보를 통해 강 씨는 한국인터넷진흥원이 마침 본인이 살고 있는 곳과 멀지 않은 곳에 있다는 것을 알게 되었고, 인터넷진흥원의 전화번호도 알게 됐습니다.

그런 강 씨에게 수상한 전화가 걸려온 것은 지난 주 수요일 오후였습니다. 전화를 받자 마자 상대방은 본인이 인터넷진흥원의 보안팀장이라고 소개하며 빠르게 말을 이어갔습니다. 강 씨의 스마트폰이 악성코드에 감염돼 있으니 빨리 치료하지 않으면 개인정보가 유출될 수 있다, 악성코드 분석과 치료를 위해 긴급하게 문자를 하나 보내줄 테니 링크를 눌러 설치하기 바란다는 내용이었습니다. 이미 인터넷진흥원 전화번호가 서울 국번(02)의 4로 시작한다는 것을 알고 있는 강 씨는 의심을 거둘 수가 없었습니다. "말씀은 잘 들었는데, 진짜 제 전화가 악성코드에 감염된 게 맞나요?" 강 씨가 의심하기 시작했다는 것을 직감한 상대방은 기다렸다는 듯 몇 가지를 확인하기 시작했습니다. 강 씨의 이름과 주소, 그리고 주민등록번호 앞자리(생년월일)을 말하며 믿을만한 국가기관, 즉 인터넷진흥원이 맞다고 안심시키려 했습니다. 강 씨는 일단 잘 알았다고 하고 전화를 끊었습니다.

전화를 끊자마자 바로 문자 메시지가 날아왔습니다. "안녕하세요. S-cop 보안팀장 박민수입니다"로 시작하는 문자 메시지에는 전화 통화 내용대로 접속하라는 인터넷 주소가 들어 있었고, 차단이니 진단 분석이니 하는 전문적인 말들이 들어 있었습니다. 마지막에는 '무료 서비스 이행해 드리도록 하겠습니다'라면서 친절(?)하게 무료라는 점도 강조해 놓았습니다. 캡쳐한 사진에는 없지만, 문자 발신 번호는 처음 보는 일반 휴대전화 번호였습니다.


수상한 사람과 통화할 때부터 의심을 갖고 있던 강 씨는 통화와 문자 발신번호가 이미 알고 있는 인터넷진흥원의 전화번호가 아닌 점, 문자메시지 속의 인터넷 주소가 인터넷진흥원의 것이라고 보기 어려운 점 등을 종합해 자신이 보이스피싱과 스미싱을 결합한 신종 사기의 대상이 됐다는 결론을 내렸습니다. 그리고 링크를 누르는 대신 문자와 통화 내용을 인터넷진흥원에 신고했습니다. 대담하게도 정부 산하기관을 사칭한 신종 스미싱 사기를 접한 인터넷진흥원은 강 씨의 신고 내용을 분석한 뒤 해당 사이트의 접속을 차단하고 경계를 발령했습니다. 그 결과 강 씨도 다행히 피해를 입지 않은 것은 물론, 유사한 피해사례도 아직까지 접수되지 않았습니다. 강 씨의 빠른 대응과 신고정신이 빛을 발한 사건이었습니다. 

다만, 이번 사건은 중요한 시사점을 남기고 있습니다.  그동안 숫자를 조합해서 만든 전화번호로 무차별 문자를 보내 피해자를 끌어 모으던 '막가파'식 스미싱이 변하기 시작했다는 겁니다. 전화번호와 이름, 주소, 그리고 주민등록번호까지 갖추고 있는 모종의 '리스트'에 기반한, 좀 더 세밀하고 정확한 스미싱이 된 거죠. 스미싱 사기범들은 이미 많은 언론보도 등을 통해 모르는 번호로 온 문자 속의 링크는 누르지 않는 것이 좋다는 인식이 확산되자 기존 방식의 스미싱으로는 예전만큼 성공하기가 어렵다고 판단한 것 같습니다. 그래서 기존의 대규모 고객정보 유출 사례 등으로 이미 암시장에서 거래되고 있는 개인정보를 입수한 뒤 그 리스트에 있는 사람들에게 하나하나 전화를 걸고, 경계를 해제시킨 뒤 문자를 보내기 시작한 것으로 추정됩니다. 사기의 앞 부분은 '보이스피싱'이, 뒷부분은 '스미싱'이 담당하는, 이른바 '하이브리드' 스미싱입니다. 

취재진은 개인정보 암거래의 실태를 확인하기 위해 페이지 검색 등 몇 가지 경로를 통해 중국에 있는 판매상과 전화로 접촉했습니다. 이름과 주민등록번호, 포털사이트 아이디 등은 이른바 '세트'로 구성돼 보란 듯이 거래되고 있었습니다.  여기에 추가로 비용을 지불하면 전화번호까지 포함된 리스트를 따로 구매할 수도 있었습니다. 판매자는 전화번호와 소유주 정보가 적게는 20%에서 많아야 60% 정도의 일치율을 보인다며 '개인정보가 틀려도 판매자 책임은 아니'라고 하는 말까지 하고 있었습니다. 나쁜 마음을 먹고, 얼마간의 돈을 건넨다면 수만 명의 개인정보를 입수하는 게 전혀 불가능한 일은 아니었습니다.

이번 '하이브리드 스미싱'에 대한 관계당국의 대처는 상당히 빠른 편이었습니다. 그 부분은 충분히 평가받아야 한다고 생각합니다. 그러나 스미싱이 아직까지는 궁극적으로 사라지지 않고 있는 현실에서 하루가 다르게 진화하고 있고, 여기에 그동안의 보안사고가 만들어 온 정보사회의 그늘이 짙게 드리워져 있는 부분에 대해서는 보다 근본적인 대책이 시급합니다. 범죄의 특성상 당국이 한 발 늦게 쫓아갈 수 밖에 없는 상황이기는 하지만, 현명하게 대응하고 생각을 앞질러간다면 사기범들의 '운신의 폭'을 한층 줄일 수 있을 것입니다.  또한 이런 대응이 힘을 가지려면 강 씨와 같은 시민 의식이 무엇보다 필요합니다. 조금 귀찮더라도 뭔가 수상한 전화나 문자메시지가 온다면 한 단계 더 발전한 최신 사기는 아닐까 의심하고, 신고하셨으면 좋겠습니다.