김규태 안산대학교 IT응용보안과 학과장

스미싱이란 용어가 대중에게 등장한지는 불과 2~3년 밖에 되지 않은, 휴대폰 사용자를 겨냥한 신종 사기수법이다. 그럼 이 생소한 용어, 스미싱이란 무슨 뜻일까?

스미싱(Smishing)은 문자메시지를 의미하는 SMS(Short Message Service)와 전자통신 방법으로 사용자의 정보를 빼내는 기술인 피싱(Phishing)의 합성어이다. 따라서 SMS Phishing 이라고도 한다. Phishing은 다시 낚시를 의미하는 fishing과 전화망해킹을 뜻하는 phreaking으로부터 왔다.

즉, 전화망에서 문자메시지를 이용하여 사용자의 정보를 낚아 빼내는 기술이다. 이렇듯 스미싱은 신뢰할 수 있는 지인 또는 기업이 보낸 문자로 가장하여 개인 비밀정보를 요구하거나 휴대폰 소액 결제를 유도한다.

스마트폰의 보급률이 세계 1,2위를 다투는 우리나라에서는 스미싱 사기문자를 한 번도 받아보지 않은 사람을 찾기가 쉽지 않을 만큼 스미싱은 널리 퍼져있다. 더욱이 그 기법은 날로 진화하고 있으나 범인을 찾기가 쉽지 않으며 스미싱으로 인한 피해가 날로 증가해가고 있다는 데에 그 심각성이 크다.

가장 일반적인 방법으로는 문자와 카카오톡을 통하여 돌잔치 초대장이나 결혼 청첩장 등을 보내어 주소를 클릭하게 함으로써 악성코드를 휴대폰에 설치하게 하여 휴대폰 내의 정보를 빼가는 수법이다. 얼마 전만 해도 은행대출, 무료쿠폰, 돌잔치, 청첩장 등을 위장하여 보내더니 최근에는 사람들이 관심을 가질만한 사회적 이슈나 경찰, 법원 등 공공기관을 사칭한 수법까지 나와 사용자들을 그야말로 ‘낚고’ 있다.

‘법원 등기 발송하였으나 전달불가(부재중)하였습니다. 조회 http://*****’

‘[알리미]형사소송건으로 법원출석서가 발부되었습니다. 내용확인 xuto.**/court’

‘고객님의 대출이 승인되었습니다. 담당자 연락처 070-xxxx-xxxx’ 뭐 이런 식이다.

최근에는 법원 등기가 발송됐다거나 추석 연휴를 맞아 우편물을 확인하라는 내용 그리고 내란음모죄로 소환장이 발부됐다는 내용까지 등장했다. 인터넷 주소가 아닌 전화번호가 있는 경우도 적지 않은데 이곳으로 전화를 할 경우 자동으로 국제전화로 넘어가게 하여 고액의 통화비를 결제하게 만들기도 하며 전화를 걸었을 때 실제로 사람이 받아 통화과정에서 개인정보를 빼내는 나이든 어르신들을 겨냥한 매우 ‘효과적인’ 사기수법도 나왔다. 지난해 발견된 스미싱 악성코드는 총 29개인데 올해 8월까지 발견된 악성코드는 총 2,433개에 달하는 것으로 알려졌다. 무려 84배가 증가한 수치다. 이 가운데 금전적 피해를 입히는 악성코드는 삼분의 일이 넘는다고 한다. 범인 잡기도 쉽지 않다 하니 정말 답답할 노릇이다. 그렇다면 이러한 스미싱 사기를 예방하는 방법은 없는 것일까? 조금이나마 위안이 되시라고 예방법을 정리하였다.

통신사 고객센터에 전화해서 소액결제를 차단한다.

이동통신사는 매달 30만원의 소액결제 한도를 기본으로 제공하고 있는데 소액결제 기능을 없애 버리면 스미싱 사기를 봉쇄 할 수 있다. 당신의 휴대폰에서 114 전화 한 통화면 된다.

인터넷 주소링크는 절대, 절대로 클릭하지 않는다.

호기심이 발동해도 그냥 참으시라! 그런데 지인으로부터 사진 등을 인터넷에서 공유하기 위하여 보내온 주소는 어떻게 해야 할까? 정답은 그 지인과 음성통화로 확인을 하기 전에는 절대로 클릭하지 않아야 한다. 왜냐하면 많은 스미싱 문자는 지인 연락처가 해킹당하여 마치 지인이 보낸 것으로 가장하여 오기 때문이다. 특히, 링크주소가 ‘.apk’로 끝나는 것은 웹문서가 아닌 안드로이드 스마트폰용 프로그램 파일이며 클릭할 경우 설치가 곧바로 시작되니 절대로 클릭해서는 안 된다.

스마트폰용 백신프로그램을 설치하고 주기적인 업데이트로 악성코드 설치를 차단한다.

애플 앱스토어, 구글 플레이스토어 또는 통신사의 오픈마켓만을 통하여 앱(App)을 설치한다.

전화통화 중 개인정보는 절대로 알려주지 않는다.

- 쇼핑몰에서 물건 구매 후 오결제 등을 이유로 승인번호를 물어오는 경우(이 경우 피해구제 불가)

- 은행직원이라고 하면서 카드번호, 비밀번호, 결제암호, 암호카드 번호 등을 물어오는 경우

- 인터넷뱅킹 사이트에서 이러한 번호를 요구하는 경우 입력금지(이를 피싱사기라고 함)

- 형사라고 하면서 사기 등에 연루되어 확인하려고 하니 개인정보를 대라고 하는 경우

필자도 위와 같은 스미싱 문자를 거의 대부분 받아보았으나 위의 예방법으로, 우리 조교와는 달리, 다행이도 아직 한 번도 ‘낚이지’ 않았다. 그러나 만일 이미 스미싱 피해를 이미 받은 경우에는 어떻게 해야 할까?

이 경우엔 곧바로 은행 등 피해가 예상되는 기관에 전화를 걸어 조치를 해야 한다. 그리고 경찰서에 스미싱 피해 내용을 신고하여 ‘사건사고사실확인원’을 발급받고 발급받은 ‘사건사고사실확인원’을 이동통신사, 게임사, 결제대행사, 은행 등 관련 사업자에 제출하면 결제 청구를 보류, 취소하거나 경우에 따라서는 이미 결제된 피해액을 돌려받을 수도 있다.

지인으로부터 온 문자마저 의심을 해야 하는 이러한 상황은 아무도 좋아하거나 원하지 않지만 문제가 현실인 만큼 스미싱 사기범보다 조금은 더 지혜로울 필요가 있다. ‘단언컨대’, 사람과의 소통을 디지털기계에 갇힌 가상의 형상이 아닌, 실제 사람과 한다면 스미싱은 절대로 성공할 수 없을 것이다. 스미싱 사기범이 노린 것이 바로 ‘사람과의 단절’이기 때문이다.

김규태 안산대학교 IT응용보안과 학과장  webmaster@ansansm.co.kr

<저작권자 © 안산신문, 무단 전재 및 재배포 금지>