한 번 걸리면 1억 빼내…'보이스피싱 앱' 공포

‘악성 앱’을 통한 신종 보이스피싱 범죄가 기승을 부리고 있다. 전문가들은 이 악성 앱이 기존 보이스피싱보다 치밀해졌을 뿐만 아니라 피해를 볼 경우 규모도 훨씬 크기 때문에 사전 예방이 중요하다고 조언했다.


12일 스팸차단 앱 ‘후후’를 운영하는 후후앤컴퍼니에 따르면 올 3분기에만 전화 가로채기 680건이 탐지됐다. 2분기 557건보다 22% 증가했다. 전화 가로채기란 스마트폰에 악성 앱이 깔린 사용자가 금융회사·수사기관 등의 대표 전화번호로 통화를 시도하면 보이스피싱 조직에 자동으로 연결되는 것을 의미한다.

악성 앱의 전화 가로채기가 가능한 이유는 해당 앱이 스마트폰의 기능을 탈취해 ‘좀비폰’으로 만들기 때문이다. 대표적 악성 앱인 ‘카이시’는 설치 시 사용자에게 이 앱을 기본 전화앱으로 하도록 설정을 요청한다. 이를 통해 전화 수신·발신 기능에 접근해 통화 기록을 조작할 수 있게 된다. 사용자가 금융사, 수사기관에 통화를 시도하면 이를 감지한 악성 앱이 바로 단말기 내부에 저장한 해당 기관의 안내음을 재생하고 해킹 일당에게 전화를 연결시킨다. 통화를 끊고 나서는 전화 기록을 실제 전화한 해킹 일당의 전화번호가 아닌 원래 통화하려던 기관의 전화번호로 바꿔 증거도 없앤다.

전화 가로채기 방식의 악성 앱은 고전적인 방식의 보이스피싱보다 건당 피해 규모가 훨씬 크다. 감사원이 지난 7월 발표한 ‘전기통신 금융사기 방지 대책 추진 실태’ 감사보고서에 따르면 2018년 11월부터 2019년 9월까지 원격제어형 악성 앱으로 인한 피해금액은 건당 평균 1억4500만원이었다. 같은 기간 보이스피싱 건당 피해금액(1334만원)에 비해 10배가 넘는다.

보안업계는 악성 앱 피해를 줄이기 위해 △출처가 불분명한 문자메시지 내 URL(인터넷주소)·첨부파일 실행 금지 △앱 다운로드 시 구글플레이 등 정식 앱 마켓 이용 △모바일 백신 설치 등 필수 보안 수칙을 지켜야 한다고 강조했다. 문자에 첨부된 URL이 금융사나 공공기관의 홈페이지 주소인지 확인하기 위해 인터넷 검색으로 주소를 확인하는 것도 피해를 예방할 수 있다. 후후 등 스팸 문자 차단 및 신고 전화번호 안내 앱을 설치하는 것도 방법이다.

문종현 이스트시큐리티 이사는 “편의성과 보안성은 반비례 관계”라며 “정보기술(IT) 발전과 비대면 서비스 강화로 사용자들이 편리해지는 만큼 보안은 취약해지기 때문에 이용자가 이 점을 인지하고 주의하는 것이 최선”이라고 설명했다.

수사기관과 보안업계는 향후에는 통신사와 협력해 보이스피싱, 스미싱 등 범죄에 활용되는 전화번호를 결번으로 만드는 방법도 논의할 필요가 있다고 지적한다. 경찰 관계자는 “통신사에 가입할 때 약관에 ‘해당 기기를 범죄에 이용할 경우 자동 가입이 해제되는 것을 감수한다’ 등의 조항을 넣는 것도 예방을 위한 아이디어가 될 수 있다”고 했다.

김남영/최한종/최다은 기자 nykim@hankyung.com