보이스 피싱이 여전히 기승을 부리고, 수법도 나날이 진화하고 있습니다. 일반적으로 보이스피싱을 하는 사기꾼들은 각종 사이트에서 탈취한 아이디나 비밀번호, 쇼핑몰에서 유출된 주소나 연락처, 이름을 바탕으로 범행대상을 물색하는 것으로 보입니다.
그러나 그런 정보만으로는 부족한 경우가 많습니다. "당신 아들이 병원에... 당신 계좌가 압류되어... 당신 핸드폰이 범행에 이용되어..."로 시작되는 사기를 치기 위해서는 사기꾼들도 피해자의 부가정보를 얻어야 성공 가능성이 높아지기에 여러 경로로 불특정다수의 정보를 탈취하려는 시도를 하곤 합니다.
아이폰 사용자는 휴대폰의 특성상 피싱에 잘 당하지 않는 편으로, 자연스레 안드로이드 이용자가 피싱의 표적이 됩니다. 가장 대표적인 방법이 문자를 통한 APK파일 설치유도입니다.
아래 그림은 대한통운 홈페이지에서 캡쳐한 내용입니다. '미수령택배, 택배분실, 주소불일치'는 다소 고전적인 방법으로 너무 흔한 방법이라 이젠 속는 사람이 드물 것 같습니다.
얼마전에 받은 문자는 'ㅇ월 ㅇ일에 배달될 물건의 택배주소가 모호하니 배송주소를 확인'바란다는 메세지였습니다. 잡동사니 구매는 주로 인터넷을 이용하는 터라 일주일 중에 두세번은 택배로 물건 배송을 받는 입장에서는 자세히 읽어볼 수 밖에 없는 메세지네요.
링크를 눌렀더니 대한통운 홈페이지의 운송장 조회 화면이 떴습니다. 당연히 인터넷주소는 엉터리입니다. 문자를 받은 직후에는 습관적으로 내 주소, 이름, 폰번호를 입력할 뻔 했습니다.
지금은 통신사(KT)에서 자체적으로 차단해놓아서 KT 이용자는 해당링크에 접속할 수 없도록 된 상태입니다.
혹여 가짜 사이트에서 요구하는대로 APK파일을 폰에 설치하여 내 휴대폰에 대한 제어권을 해커에게 모두 넘겨주는 실수를 하는 어르신들도 계십니다. 일단 APK 파일을 설치하면 해커는 제 주소록, 문자목록, 어플목록을 열람할 수 있겠죠. 심한 경우엔 마이크나 카메라, GPS 제어권까지 가져가서 제 일거수일투족을 알 수도 있겠네요.
20여년 전, 휴대폰이 없었을 때, 보이스피싱범이 제 어머니께 전화를 걸어 "당신 아들이 교통사고 뺑소니에 당해 병원에 기절해서 누워있고, 나는 목격자인데 치료비가 필요하다. 얼른 내게 송금해야 수술을 시작할 수 있다"고 정신없이 재촉하는 바람에 집에 난리가 난 적이 있습니다. 다행히 어머니는 제가 있던 곳까지 직접 확인하러 오서서 제 상태를 직접 확인한 후 안도하며 가셨습니다.
모두가 폰을 쥐고 다니는 지금, 한 놈이 아들을 담당하여 계속 장난전화를 걸어 아예 폰을 꺼놓도록 유도한 후, 다른 한 놈이 부모에게 전화를 걸어 '당신 아들이 교통사고로...'등의 멘트로 송금을 유도하는 수법도 이미 고전이 되어버렸습니다.
10여년 전, 직장 선배가 출장으로 먼 지역에 자차로 운전하고 가던 중, '범칙금 안내, ㅇ월ㅇ일 과속 및 신호위반' 어쩌고 하는 문자를 받았습니다. 마침 본인이 과속에 걸렸다고 생각하던터라 링크를 눌러 apk 파일을 다운받았더니 그 직후부터 화면캡쳐 할 때처럼 화면 모서리가 번쩍번쩍 거렸다고 하네요. 아마 마이크나 카메라, 위치 등 모든 권한이 해킹 어플에 넘어갔을지도 모른다고 판단한 그는 당장 핸드폰 전원을 끄고 목적지에서 초기화를 할 수 밖에 없었다고 합니다.
또 어떤 방식의 피싱, 스미싱이 등장하게 될까요. 기본 대처방안은 문자를 받으면 해당 발신번호로 전화를 걸어보는 것, 링크를 받으면 정상적인 링크인지 확인해 보는 것, 어플 다운로드를 요구하는 경우 다시 한 번 해당 어플에 대해 조사해보는 것 외에는 없을 것 같습니다. 연말연시를 맞아 조금 더 조심할 필요가 있을 것 같네요.
아래 내용은 피싱·파밍·스미싱에 대한 중앙일보 기사글을 발췌한 것입니다.
- 피싱: 개인정보(Private data)와 낚시(Fishing)의 합성어로, 악성코드를 심거나 e메일·즐겨찾기 등으로 가짜 은행사이트로의 접속을 유도함, 이후 보안카드번호 전부를 입력하도록 요구하는 등의 방식으로 금융정보를 빼내고 자신들의 계좌로 돈을 이체하도록 유도함
- 파밍: 파밍은 악성코드에 감염된 PC를 조작(Farming)해 금융정보를 빼내는 수법. 피싱이 진짜 사이트처럼 생긴 링크(예를 들어 kbstarx.com)로 접속을 유도한다면 파밍은 이용자가 진짜 사이트(kbstar.com)의 링크로 접속해도 가짜 사이트로 접속되며 이용자는 정상적인 사이트로 착각하여 개인정보를 몽땅 털어놓게 됨
- 스미싱: 스미싱은 문자메시지(SMS)와 피싱(Phishing)의 합성어
