문자 눌렀다가 내폰이 도청장치로 …'함정'은 그렇게 만들어졌다

50대 사업가 A씨는 지난 2월 초 사업가 지인에게서 '행사에 초대한다'는 문자 한 통을 받았다. 문자 속 링크를 눌러보니 초대장이 떴다. 같은 달 말 오후 6시가 조금 넘은 시각 A씨는 자신의 휴대폰이 먹통이라는 사실을 발견했다. 수신함을 확인해보니 기존 통신사 SK텔레콤과의 계약이 해지됐다는 통보 문자와 알뜰폰 통신사인 'U+유모바일' 가입을 환영한다는 안내 문자가 들어와 있었다. 통신사 영업시간이 종료된 상황이어서 A씨는 당일 이렇다 할 조치를 취하지 못했다.

다음 날 A씨는 통신사 대리점과 은행 영업점을 돌며 본인 계좌 중 하나였던 농협 통장에서 1600만원이 빠져나간 사실을 확인했다. A씨는 경찰서에서 문자 기록을 조회하고 나서야 본인이 스미싱(SMS 피싱)에 당했음을 알았다. 사업하는 지인의 휴대폰이 먼저 해킹당했고 해당 지인의 전화번호부에 있던 사람들에게 스미싱 문자가 일괄 전송됐던 것이다.

통장에서 빠져나간 금액은 대포통장에서 두 번 세탁되고 무기명 비트코인으로도 넘어가 A씨는 결국 돈을 돌려받지 못했다.

소액 결제 문자사기로 시작됐던 스미싱 범죄가 갈수록 치밀하고 악랄해지고 있다. 피해자에게 경제적 타격을 입히는 데 그치지 않고 피해자의 신분을 미끼로 피해자와 신뢰 관계를 맺고 있는 이들에게까지 2차 범죄를 시도하는 지경에 이르렀다.

최근 활개 치고 있는 스미싱은 대개 공공기관을 사칭하는 문자나 지인이 보낸 문자 한 통으로 시작된다. 해당 문자에는 악성 애플리케이션(앱) 설치를 유도하는 인터넷주소(URL)가 첨부돼 있다. 이때 스마트폰에서 수상한 앱이라며 경고 문구를 띄우지만 이를 주의 깊게 보지 않고 앱을 설치하면 '스미싱의 덫'에 빠지게 된다.

악성 앱이 설치되면 피해자의 스마트폰 제어권은 피싱 조직으로 넘어간다. 피해자들은 자신의 스마트폰에 '스파이'가 침투했다는 사실도 모른 채 일상생활을 이어간다. 범인들은 곧바로 범행을 실행하지 않고 때를 기다린다.

우선 피해자 스마트폰에 저장된 개인정보와 금융정보 등을 대거 탈취한다. 다음으로는 스마트폰 마이크와 카메라로 피해자 일상을 엿본다. 이를 통해 범인들은 피해자 상황에 맞춰 범행 시나리오를 짠다.

가령 피해자가 은행 대출을 받으려 하고 있다면 범인들은 이 정보를 기반으로 금융기관 사칭형 보이스피싱을 시도한다. 이때 범인들은 피해자가 언제 어느 은행에서 어떤 대출 상품을 알아봤는지까지 정확히 알고 있다. 사실관계를 확인하기 위해 피해자가 은행 영업점에 전화를 걸어도 피싱단은 이 전화를 가로채 은행 직원을 사칭하며 피해자를 속인다.

스마트폰 카메라에 피해자가 나체로 있는 장면이 잡힌다면 범인들은 사진을 빌미로 협박을 시도하며 금전을 요구하기도 한다.

만약 스마트폰 도청 과정에서 특이점이 발견되지 않으면 범인들은 피해자 명의로 알뜰폰을 무단 개통한 뒤 금융 앱을 설치하고 피해자 통장에서 돈을 빼간다. 이때 피해자가 아무런 대처도 하지 못하도록 피해자가 사용하고 있는 휴대폰의 통신사는 계약을 해지한다.

이 같은 피해를 당한 이들은 범행이 종료된 후 자신의 휴대폰에서 문자 2건을 확인하게 된다. 알뜰폰이 개통됐다는 문자와 기존 통신사가 해지됐다는 문자다. 대개 범행은 저녁께 행해지기 때문에 피해자들은 다음 날 통신사 대리점을 방문해 회선을 되살리고 그제야 자신의 통장에서 돈이 빠져나간 사실을 알아차리게 된다.

범인들은 발신 내역까지 조작한다. 피해자 스마트폰에 저장된 연락처로 스미싱 문자를 무차별 살포하고 발신 내역에서 이를 삭제하는 식이다. 피해자의 지인들은 피해자 이름으로 발송된 부고장 문자 등을 열어보고 무심결에 URL을 누른다. 이 같은 과정을 통해 악성 앱은 바이러스처럼 확산하고 피해 규모는 눈덩이처럼 불어난다.

올해 상반기 스미싱 피해액은 219억원으로 작년 상반기보다 26.6% 증가했다. 피해액만 놓고 보면 보이스피싱 등 5대 피싱 유형 중 스미싱이 피해 규모가 가장 작은 듯 보이지만 이는 과소평가된 측면이 있다. 범죄의 시작점은 스미싱이지만 최종 피해는 보이스피싱 등 다른 유형의 피싱으로 완결되는 사례가 적지 않다.

수사당국은 스미싱을 고도화된 피싱 범죄로 보고 대응을 강화하고 있지만 알뜰폰 비대면 개통 등 제도적 허점을 노린 범행 수단이 열려 있다는 점에서 실효성에 한계가 있다. 알뜰폰 비대면 개통과 관련된 제도 개선과 가입 인증 절차 정비 등 업무는 과학기술정보통신부 소관이다.

경찰 관계자는 "스미싱을 다중피해사기의 대표 유형으로 보고 피싱 범죄와 함께 대응하고 있다"며 "범죄 수단을 차단하기 위한 관계기관들의 노력이 절실하다"고 말했다. 

스미싱(Smishing)

스미싱은 문자메시지(SMS)와 피싱(phishing)의 합성어로, 악성 앱을 설치하거나 개인정보를 탈취한 뒤 금전적 피해를 입히는 범죄 수법을 칭한다. 주로 공공기관이나 금융기관, 지인 등을 사칭하는 문자에 삽입된 인터넷주소(URL) 클릭을 유도해 스마트폰에 악성 앱을 설치한 뒤 명의 도용, 계좌 인출 등 범행을 저지른다.