공공기관이나 지인을 사칭하거나 악성 애플리케이션 설치를 유도하는 스미싱 공격이 갈수록 기승을 부리고 있다. 스미싱은 문자메시와 피싱을 합친 말로, 상대방을 속여 금전적 이득을 취할 목적의 사기행위 중 하나다. 최근 청첩장, 부고장 등 지인을 사칭하거나 과태료 납부 등 공공기관을 사칭하는 빈도가 늘어나면서 문자메시지를 열어보기가 무서울 정도다.
한국인터넷진흥원(KISA)이 공개한 지난해 스미싱 사칭 유형별 탐지대응 건수에 따르면 공공기관 35만건, 택배 9만1159건, 지인 5만9565건 순으로 나타났다. 특히 지인 사칭의 경우 2021년 25건, 2022년 4건에 불과했던 것에서 작년 5만9565건으로 폭증했다. 부고를 사칭한 URL을 전송해 피싱 사이트에 연결되거나 악성앱이 설치되도록 한 후 이들의 개인정보를 탈취해 다시 연락처를 통해 제2, 제3의 피해를 만들어낸 결과다. 악성 앱은 정상적인 앱과 달리 연락처나 문자메시지 받기 등 과도한 권한을 요구하는데 이를 동의할 시 연락처를 비롯한 각종 개인정보를 탈취당하거나 스마트폰 화면, 카메라, 통화 등을 제어당하게 된다. 해커는 탈취한 연락처를 통해 지인을 사칭한 스미싱 문자를 발송하고, 화면 제어를 통해 소액결제 사기, 보이스피싱, 대포폰이나 비대면계좌 개설 등 금융사기에 활용한다.
김은성 KISA 탐지대응팀장은 "연락처를 가져간 후 또 다른 스미싱 문자를 전송해 피해자를 양산하는, 일종의 피라미드 구조가 만들어진다"며 "핸드폰 제어권을 빼앗기면 피해자는 알림을 확인할 수 없어 피해 여부를 인지하지 못하게 된다"고 경고했다.
KISA는 탐지부터 분석까지 스미싱 대응체계를 가동하고 있다. 악성앱의 경우 통신사에 상황 전파문을 보내 차단을 요청하고 수사기관에 관련 정보를 제공한다. 작년 문자 탐지 수는 50만건, 악성앱 분석 대응 수는 907건에 달했다.
앞으로는 스미싱 대응 체계를 더욱 강화할 계획이다. 스미싱 메시지 수집 채널을 확대하고 인력이 필요했던 분석 단계를 자동화한다. 긴급차단체계를 운영해 3시간 걸렸던 대응 시간을 10분 이내로 단축한다.
김 팀장은 "해커들이 대응 기관을 회피하기 위해 공격 수법을 고도화하고 있어 악성앱 분석에 많은 시간이 걸리는데 이를 최대한 자동화하고자 한다"면서 "분석 후 차단하던 방식에서, 앞으로는 징후가 농후할 경우 선차단 후 분석 체계로 변경해 10분 만에 차단 가능하다"고 설명했다.
KISA는 스마트폰 제조사, 통신사와 협력해 차단하는 한편 일반 국민이 쉽게 확인할 수 있도록 '스미싱 확인 서비스'도 내놨다. 카카오톡에서 친구 추가를 한 후 문자 내용을 복사해 카카오톡 대화창에 붙여넣기 하면 정상·주의·악성 유형으로 구분해 알려준다. 국민들이 호기심으로 네이버 주소 등 문제없는 링크를 질의할 경우에 대비해 화이트리스트 DB도 준비했다.
김 팀장은 "악성 블랙리스트와 화이트리스트 DB를 갖췄다. 질문이 누적될수록 DB가 축적돼 답변 속도가 더욱 빨라질 것"이라며 "이전에 질문받았던 유형은 5분 이내로 답변을 제공하며, 첫 유형은 분석에 좀더 시간이 걸린다"고 말했다.
사이버 사기의 근원적 해결을 위해 악성앱 공동 대응체계도 강화한다. 김 팀장은 "경찰로부터 악성앱 유포자 정보를 공유받고 차단·분석·수사를 지원한다"며 "금융보안원에 정보를 제공해 피해가 발생되지 않도록 공조를 펼치고 있다"고 설명했다. 김영욱기자 wook95@dt.co.kr
