“건강검진 한 적 없는데 결과 통보?”…무심코 눌렀다가 다 털린다

한국인터넷진흥원 발표
작년 공공기관 사칭 문자 35만건
교통범칙금 등 구실로 스미싱 공격
모바일 청첩장·부고장 미끼로 쓰기도
‘보호나라’ 카톡 통해 악성여부 확인을

사기. [사진 제공=연합뉴스]

교통범칙금이나 건강검진 안내 등을 구실로 공공기관을 사칭해 정보를 탈취해가는 스미싱 공격이 급증하고 있는 것으로 나타났다. 모바일 청첩장, 부고장 전달을 미끼로 지인을 사칭한 스미싱도 증가하고 있어 사용자들의 주의가 요구된다.

31일 한국인터넷진흥원(KISA)에 따르면 지난해 스미칭 사칭 유형별 탐지 대응 건수는 총 50만3300건을 기록했다. 스미싱은 문자메시지를 활용한 피싱 행위를 뜻한다.

2021년 20만2276건, 2022년 3만7122건에서 급증한 수치다.

특히 공공기관을 사칭한 스미싱이 2022년 1만7726건에서 지난해 35만10건으로 매우 증가했다. 지인 사칭 스미싱도 지난해 5만9565건을 기록했다.

김은성 KISA 탐지대응팀장은 “2023년도부터 공공기관 사칭과 지인 사칭이 많이 늘어났다. 공공기관 사칭의 경우 주로 건강검진이나 과태료 등의 내용을 사용하며, 지인 사칭의 경우는 청첩장과 부고장을 유포하는 방식”이라고 설명했다.

스미싱 설명 [출처 = 한국인터넷진흥원]

특히 공공기관 사칭의 경우 문자에 특정 시청이나 군청처럼 지자체명이나 기관명을 표기하는 방식으로 문자 수신자의 경계심을 낮춘다.

발신자들은 이러한 문자에 링크(URL)을 넣어 피싱사이트 접속이나 악성 앱 설치를 유도한다.

피싱 사이트의 경우는 이름과 주민등록번호와 같은 정보 제공을 유도하고, 악성 앱은 앱을 깔게 만든 다 음 앱을 통해 휴대폰 정보를 탈취해가는 방식이다.

특히 악성 앱을 깔 경우 연락처, 문자 메시지, 계정 정보, 사진과 동영상, 금융인증서 등 대부분의 정보를 수집하고 악용할 수 있다.

공격자들은 악성 앱을 통해 탈취한 연락처로 다시 지인사칭 스미싱 문자를 보내거나, 문자 인증을 활용해 소액 결제 사기를 실행하기도 한다.

김은성 팀장은 “악성앱은 과거에도 많았지만, 그때는 정보 입력을 유도하는 피싱 사이트와 별반 다르지 않았다”면서 “지금은 고도화되면서 원격 제어 기능이 탑재됐고, 휴대폰 정보를 실시간으로 감시할 수 있게 되어 파괴력이 크다”고 설명했다.

스미싱 사칭 유형별 탐지 대응 건수 [출처 = 한국인터넷진흥원]

현재 KISA는 스미싱 문자에 대해 자체 탐지와 함께 이동통신3사, 알약이나 후후와 같은 보안·백신앱, 스마트폰 제조사 등과 협업해 스미싱 문자 차단과 악성앱 차단에 주력하고 있다.

또한 국민이 스미싱 의심 문자를 수신했을 때 스미싱 여부를 확인할 수 있는 서비스인 ‘스미싱 확인 서비스’를 지난 29일 개시했다.

KISA는 인터넷침해대응센터인 ‘보호나라’를 통해 악성 여부를 확인해 스미싱 여부를 ‘정상’, ‘주의’, ‘악성’으로 구분해 답변한다. 보호나라 카카오톡 채널을 통해 제공하는 것이 특징이다.

사용자가 스미싱 의심 문자를 수신할 경우, 해당 문자를 복사해 보호나라 카카오톡 채널에 카톡을 보내면 수분 이내에 답변을 제공한다.

김은성 팀장은 “사용자들이 악성 앱 여부를 인터넷 포털이나 커뮤니티 이런 곳에 질문하는 것을 보고 공인기관에서 답변해주는 것이 필요하겠다고 생각했다”고 출시 배경을 설명했다.

이어 “접근성을 위해 국민이 가장 많이 활용하는 메신저 플랫폼을 통해 구현했다”며 “수집해둔 스미싱 유형과 같은 유형의 문자면 5분 이내에 답을 제공할 수 있다. 완전히 새로운 유형인 경우 시간이 걸릴 수 있다”고 말했다.