[취재파일] "불법은 성실하다"…문자 피싱 주의하세요!

이제는 모르는 사람을 찾아보기도 힘든 유명 팟캐스트 '나는 꼼수다'가 늘 주장했던 말이 있습니다. 바로 '불법은 성실하다'인데요, 이를 온몸으로 실천하는 분야가 바로 '피싱(phishing)'입니다. 이메일 피싱, 메신저 피싱은 이제 옛말이 되어버린 듯 하고, 스마트폰이 대중화되면서 급기야 문자(SMS) 피싱까지 나오기에 이르렀습니다. 정말 어떤 의미로는 참 꾸준하고 치밀합니다. 혀를 내두를 만 합니다.

문자 피싱은 2001년부터 시작된 '휴대전화 소액결제'를 악용한 겁니다. 휴대전화 소액결제는 온라인에서 콘텐츠나 제품을 구매할 때 휴대전화로 전송된 개인 인증번호를 결제 사이트에 입력해서 다음달 통신요금 청구액에 포함시키는 방법입니다. 한국인터넷진흥원이 발표한 자료에 따르면 2001년 842억 원이던 시장규모가 2002년에는 2천 894억으로 증가했고, 매년 2천억 원씩 꼬박꼬박 증가해 2007년에는 1조 3천억 원 규모까지 성장했습니다. 2010년 기준으로는 1조 8300억 원에 달하는 등 엄청나게 성장한 시장입니다. 워낙 편리하기 때문이겠죠.

저도 웹하드에서 자료를 다운로드하기 위해 이용요금을 결제하거나 주말에 볼 영화를 인터넷으로 예매할 때처럼 금액이 크지 않은 온라인 결제를 할 때는 공인인증서나 카드를 꺼내는 대신 간편한 휴대전화 소액결제를 많이 이용하는데요, '성실한(?)' 피싱 사기꾼들이 이런 곳을 외면하기도 힘들겠다는 생각이 듭니다.

휴대전화 문자 메시지를 캡쳐한 사진입니다. 기본적으로 휴대전화 소액결제 한도는 월 30만 원인데 이 한도에 근접한 25만원이 'OO캐시'에서 결제가 완료됐다면서 안내를 가장해 날아온 메시지입니다. 다짜고짜 이런 문자 메시지가 날아온다면 여러분은 어떻게 하시겠습니까? '어, 내가 무슨 결제를 했다고? 전화해서 따져야겠다!'며 뒤에 링크된 전화번호를 바로 누르는 게 당연하지 않겠습니까? 그 다음 진행은 이렇습니다. 따르릉~ 신호가 가고, 상담원이 전화를 받습니다.

1. 피해자 : 제가 결제도 안했는데요, 결제를 했다고 메시지가 왔거든요. 이거 빨리 취소해주세요. 2. 상담원 : 네, 죄송합니다. 바로 취소해 드리겠습니다. 본인 확인을 위해 고객님 휴대전화로 인증번호를 전송해 드릴텐데요, 메시지로 번호가 뜨면 저한테 불러주세요. 3. 피해자 : 네. 잠깐만요. 아, 문자 왔네요. 000000번입니다. 4. 상담원 : 네, 처리됐습니다. 불편을 드려 죄송합니다.

휴대전화 소액결제는 본인 명의의 휴대전화와 인증번호, 단 두 가지만으로 가능합니다. 위의 가상 대화에서 실제로 피싱 사기꾼들이 결제를 하는 순간은 3번과 4번 사이입니다. 취소를 해 주겠다는 게 아니라, 고객(?)이 분통을 터트리며 알려준 인증번호로 그제서야 결제를 하는 거죠. 전화번호는 이미 서버에 저장돼 있고, 인증번호로 결제를 하고 나면 실제 결제 완료 메시지가 피해자의 전화로 전송이 되겠죠? 이미 때는 늦었습니다. 화를 내며 해당 번호로 아무리 전화를 해도 통화 연결이 안될 겁니다. 이미 사기를 완료(?)한 전화번호는 리스트에서 지워버리고, 일종의 '착신 거부'를 해 놓습니다. 070으로 시작되는 전화는 인터넷 전화로 발신지 추적도 불가능합니다. 이른바 '떴다방' 형식으로 사무실을 마련했다가 일정 시간이 지나면 단속을 피해 다른 곳으로 옮겨다니며 '메뚜기 영업'을 하고 있을 것으로 추정됩니다.

편리함은 그 자체로 나쁘지 않습니다만, 이렇게 범죄자들이 악용하기도 쉽습니다. 휴대전화 소액결제와, 스마트폰 운영체제(OS)의 '터치 한 두 번으로 전화걸기' 모두 편리하기 위해 만들어졌지만, 결국 이렇게 편리함에 익숙해져버린 이용자들의 뒷통수를 때리기도 하는 겁니다. 통신사업자들과 전자결제 업체들로 구성된 한국전화결제산업협회는 이런 신종 문자 피싱 사례를 접수하고 결제 서비스 대행사, 방송통신위원회, 경찰청 사이버수사대 등 관계 기관의 협조를 통해 사기 수법 근절과 단속에 힘쓰겠다고 밝혔습니다.

그러나 당하고 나면 이미 지난 일입니다. 이용자들의 각별한 주의가 필요합니다. 당연한 얘기가 될지도 모르겠지만, 이 글을 읽으신 분들은 딱 한 마디만 기억하셨으면 좋겠습니다.  그건 바로 '인증번호는 남에게 알려주는 게 아니라 직접 입력해야 한다'는 겁니다.