"당황하셨어요?" 피싱·스미싱·파밍 사기 안당하려면…

지난해보다 건수, 피해금액 모두 10배 이상 증가…

스미싱 문자 사례(왼쪽), 스마트폰 보안 설정(오른쪽) ⓒ데일리안

"당황하지 마세요. ○○님의 신용카드가 부정 사용됐습니다. 본인 확인을 위해 카드번호와 유효기간 그리고 카드 뒷면에 CVC 숫자를 알려주세요."

금융사기의 원조인 '보이스피싱'의 전형적인 수법이다. 최근 금융사기가 첨단화되고 있어 스마트폰을 이용한 금융거래에서 주의가 요구된다.

금융기관을 가장해 개인정보를 빼내는 '피싱(Phishing)'은 '개인정보(Private data)'와 '낚시(Fishing)'의 합성어다. 여기서 낚시는 흔히 '속았다'는 표현으로 사용되는 '낚였다'에서 나왔다.

17일 관련 업계에 따르면, 피싱 방법은 첨단화돼 악성코드를 이용한 '파밍(Pharming)'과 문자메시지(SMS)를 통해 악성 앱을 설치하는 '스미싱(Smishing)'이 활기를 치고 있다. 특히 스마트폰 보급률이 증가하면서 최근 스미싱 피해가 늘고 있다.

스미싱은 '할인쿠폰', '모바일 청첩장', '돌잔치 초대', '이벤트 당첨', '기프트콘', '택배 배송' 그리고 최근에는 문자를 받는 사람의 이름까지 언급하며 관심을 유도한다. 스미싱 피해자 대부분 문자메시지에 포함된 사이트 주소를 무심코 눌러 금융사기로 이어진다.

예컨대 '○○님 12월 카드 명세서'라는 메시지에 포함된 인터넷 주소를 누르면 악성코드가 포함된 앱이 스마트폰에 설치된다. 이 앱은 스마트폰에 전송되는 문자메시지를 제3자에게 전달하는 기능이 있다. 따라서 결제에 필요한 인증번호가 노출돼 불법거래가 진행된다.

스미싱에 이용된 악성 앱(한국인터넷진흥원 자료 재구성) ⓒ데일리안

한국인터넷진흥원이 올해 차단한 스미싱에 이용된 악성 앱은 지난달 말까지 2068건에 이른다. 지난해 17건과 비교하면 많이 증가했다. 문제 앱으로 피해가 접수된 건수는 올해만 2만8469건(10월말 기준)으로 지난해 2200여건보다 10배 이상 많아졌다. 피해금액도 54억5300만원으로 지난해 5억원에서 10배 이상 불어났다.

스미싱이 주로 모바일 소액결제에 한정돼 신용카드 관련 금융사기는 미미하다. 아직은 카드정보를 빼내는 수준이다. 하지만 카드 없이 스마트폰을 통해 신용카드 결제가 진행되는 앱카드나 공인인증서, 보안카드 정보를 스마트폰에 담아두는 경우가 많아 각별한 주의가 필요하다.

일부 카드사는 백신 앱은 물론 가상 카드번호와 안심번호 등으로 회원의 금융정보를 보호하고 있다.

롯데카드는 '스마트롯데' 앱으로 회원에게 일회용 가상 카드번호 서비스를 제공하고 있다. 스마트롯데 앱을 실행한 후 '안심쇼핑서비스'를 선택하면 쉽게 가상 카드번호가 생성된다. 회원은 결제 시 필요한 카드번호 입력란에 자신의 기존 카드번호를 입력했던 것처럼 일회용 카드번호를 입력하면 결제가 정상 처리된다.

하나SK카드도 자사 앱을 통해 안심클릭 거래에서 사용할 수 있는 가상 카드번호를 제공하고 있다.

아울러 이들 카드사 모두 안심번호 서비스도 제공한다. 이는 휴대폰 번호가 유출되는 것에서부터 스미싱이 이루어진다는 점에서 카드 회원의 휴대폰 번호를 숨기는 기능이다.

생성된 안심번호는 앱을 통해 만들 수 있고 최대 15일 동안 사용이 가능하다. 카드 회원은 안심번호를 인터넷·모바일 결제에서 '주문자 정보란'에 입력하면 된다. 안심번호는 '착신' 기능이 있어 임시번호로 연락하면 자신의 휴대전화로 문자나 전화가 온다.

카드사 한 보안담당자는 "아직 스미싱을 이용한 신용카드 범죄는 거의 없는 수준"이라면서도 "피싱 수법이 점점 첨단화되고 공인인증서나 보안카드를 스마트폰에 담아놓는 경우가 많아 주의가 필요하다"고 알렸다.

이어 "모르는 번호로 온 메시지나 사기로 의심스러운 문자에 포함된 인터넷 주소는 누르지 않는 게 최선"이라며 "스마트폰 백신을 주기적으로 업데이트하고, 보안 설정에서 '알 수 없는 소스'는 '허용하지 않음'으로 유지해야 한다"고 당부했다.