< Consumer >QR코드에 악성 앱 심어 ‘인증’ 요구뒤 돈 빼가

클릭하시면 더 큰이미지를 보실 수 있습니다

추석 앞두고 ‘택배사칭’ 문자 난무
보이스 - 스미싱 융합 범죄도 활개
3년동안 피해액 4704억원 달해

출처 알수 없는 앱 다운받지 말고
보안점검 앱 ‘폰키퍼’로 감염 방지

A 씨는 최근 “고객님, 택배 회사에서 배달할 주소가 기재되지 않아 배송 불가합니다. 반송 처리할 예정이오니 주소지 확인(변경요망)해주세요”라는 문자 메시지를 한 통 받았다. 문자 메시지 안에는 인터넷사이트의 링크도 포함돼 있었다. 추석을 앞두고 마침 택배로 받을 물품이 있었던 A 씨는 의심하지 않고 클릭을 하였으나, 나중에 알고 보니 택배 회사에서 보낸 문자가 아니었다. A 씨는 악성코드 감염 및 소액결제 피해를 걱정하고 있다.

추석 명절을 앞두고 ‘택배 사칭’ 문자가 기승을 부리고 있다. 17일 금융감독원에 따르면 택배 사칭 문자는 휴대전화 문자메시지에 “택배를 배달할 주소가 기재되어 있지 않아 반송하겠다”라는 문구와 함께, “사실확인을 위해 문자에 표시된 링크를 클릭하라”는 내용을 담고 있다. 문자에 포함된 링크를 클릭할 경우 스마트폰을 악성코드에 감염시키거나 가짜 인터넷뱅킹 사이트로 연결시키는데, 전형적인 ‘피싱(Phishing)’사기수법이라고 금감원은 설명했다.

클릭하시면 더 큰이미지를 보실 수 있습니다

추석을 앞두고 이런 택배 사칭 문자뿐만 아니라 추석 택배 지연에 따른 배송조회, 인사 및 선물확인, 이벤트 교환권 등을 사칭한 문자나 기차 승차권 등을 싼값에 판다며 피해자를 유인하는 등의 피싱 사기도 기승을 부리고 있는 것으로 확인됐다. 경찰청에 따르면 추석 명절 전후인 지난해 9월 1일부터 15일까지 2주간 사이버 범죄 신고 시스템에 접수된 인터넷 거래 사기 피해는 △상품권 81건 △공연 예매권 9건 △승차권 5건으로 총 95건이다.

이처럼 음성전화·문자·웹사이트 등에서 공공기관·은행 등을 사칭해 사용자의 금융정보나 개인정보를 빼낸 후 금품을 갈취하는 피싱 사기는 나날이 다양하고 교묘한 형태로 진화하며 급증하고 있다.

현재에도 청첩장이나 돌잔치 초대, 교통범칙금 조회 등을 미끼로 문자 메시지에 첨부된 누리집 주소에 접속하게 한 뒤 스마트폰에 악성코드를 심어 소액결제를 하도록 하는 전통적인 방법이 횡행하고 있다. 또 개인정보 및 금융거래정보를 빼가는 ‘스미싱(Smishing)’ 악성프로그램에 감염된 PC를 조작해 가짜 은행사이트로 접속하게끔 유도해 금융거래정보를 빼낸 후 금전적인 피해를 입히는 ‘파밍(Pharming)’ 수법 등은 여전하다.

최근에는 한 단계 진화된 형태로 2차원 바코드(QR코드)를 통한 ‘큐싱(Qshing)’이나 ‘보이스-스미싱’ 융합 범죄가 기승을 부리고 있다. 신종 금융수법으로 기승을 부리고 있는 큐싱은 QR코드와 피싱(Fishing)의 합성어로, 폰뱅킹 사용자에게 인증 등이 필요한 것처럼 속여 악성 애플리케이션을 내려받도록 유도하는 금융사기 기법을 말한다. QR코드는 격자무늬의 2차원 코드로, 스마트폰으로 스캔하면 각종 정보를 내려받는 기술이다.

해커는 안드로이드 기반의 스마트폰 뱅킹 사용자에게 인증이 필요한 것처럼 속인 후, QR코드를 통해 악성 앱을 다운로드 받도록 유도한다. 사용자 스마트폰에 악성 앱이 설치되면 이를 이용해 해커는 보안카드, 전화번호, 문자메시지 등의 정보를 탈취하고 문자 수신을 방해한다. 그동안 안드로이드 사용자를 겨냥한 대부분의 모바일 악성코드 유포는 스미싱을 통해 이루어졌다. 하지만 이러한 스미싱 형태의 악성 앱에 대한 정보가 사용자들에게 널리 알려지면서 악성코드 제작자는 새로운 유포 방식이 필요했고, 그중 하나가 큐싱의 형태로 나타나고 있다.

일례로 지난 3월 B 씨는 스마트폰으로 은행 스마트뱅킹 서비스를 이용하던 중, 자금이체를 진행하려면 추가인증이 필요하다는 QR코드가 포함된 문자 메시지를 받았다. B 씨는 메시지에 따라 애플리케이션을 설치한 뒤 자신의 보안카드를 스마트폰에 비췄다. 순간 금융사기가 의심돼 동작을 멈췄지만 이미 게임머니로 35만 원이 소액결제된 뒤였다.

금감원 관계자는 “큐싱은 은행 앱으로 위장한 후 ‘보안을 강화해야 하니 보안카드를 스캔하라’는 알림을 띄운다”면서 “이미 악성코드에 감염된 휴대전화의 카메라를 보안카드에 갖다 대기만 해도 스캔이 돼 범인들에게 전달되는 방식이라 매우 위험하다”고 설명했다.

문자를 이용한 스미싱과 전화 사기인 보이스피싱이 결합된 일명 보이스-스미싱 사기도 진화된 피싱 사기 유형으로 급증하고 있다. 이 수법은 일단 소액결제 승인 문자를 보내고, 바로 전화를 걸어 “소액결제를 취소해줄 테니 문자로 수신된 승인번호를 입력하라”고 요청한다.

지난 2월 대전에 거주하는 C 씨는 ‘30만 원 소액결제처리’ 문자 수신 직후 통신사 직원으로부터 전화가 걸려와 “소액 결제를 취소해 줄 테니 승인번호를 입력해 달라”고 요구받았다. 통신사 직원의 말에 따라 승인번호를 입력하고 전화를 끊었으나 30만 원이 소액 결제된 뒤였다.

이런 피싱 사기를 피하기 위해서는 스마트폰 보안점검 앱인 ‘폰키퍼’ 등을 활용해 악성코드 감염을 방지하고, 스마트폰 보안 설정을 통해 알 수 없는 출처의 앱은 다운 받지 않아야 한다고 금감원은 강조했다. 금감원 관계자는 “소액결제를 이용하지 않는 경우에는 기능을 차단해 피해를 원천적으로 막아야 한다”면서 “스마트뱅킹 때 보안카드나 계좌번호 입력 등 통상적이지 않은 요구가 나올 때는 행위를 중단하고 악성코드 치료를 위해 휴대전화 서비스센터에 방문해야 한다”고 권고했다.

국회 안전행정위원회 김동철(새정치민주연합) 의원이 금감원으로부터 제출받은 자료에 따르면 2012년부터 올해 7월까지 금감원에 접수된 보이스피싱·파밍 등 금융 사기 건수는 9만3704건, 피해액은 4704억 원에 달하는 것으로 나타났다.

박정경 기자 verite@munhwa.com