악성 앱 '보이스피싱'...‘갤럭시’가 다수, '아이폰'은 없다

지난해 피해 규모 5,348억… 신고 접수 2만1,832건
“안드로이드폰과 아이폰 OS 차이, 근본 원인”

게티이미지뱅크

악성 응용소프트웨어(앱)를 이용한 보이스피싱(전화금융사기) 피해자 다수는 삼성전자 스마트폰을 통해 범행에 노출된 것으로 파악됐다. 연간 피해 규모는 5,000억 원대로 집계됐다.

경찰 등에 따르면 지난해 관련 범죄 신고는 2만1,832건, 피해액은 5,348억 원으로 집계됐으며 피해자 다수가 갤럭시 폰 이용자였다. 아이폰으로 보이스피싱을 당했다는 신고는 거의 없었다.

이들 범죄조직은 스마트폰 이용자에게 문자메시지(SMS)를 보내 사회관계망서비스(SNS)로 유인하는 경우가 많다. 피해자가 수사대상이 됐다며 협박하거나, 낮은 금리로 대출해주겠다는 감언이설을 한다. 이후 인터넷주소(URL)를 보내 허위 수사·금융기관 서류 등을 제시한 뒤 스마트폰에 악성 앱을 깔아 범죄에 활용하는 수법을 주로 쓴다.

이때 피해자가 악성 앱이 깔린 스마트폰에서 112 등 수사기관이나 금융기관에 전화를 걸어 확인하려고 해도, 실제 통화는 범죄조직이 이용하는 국제전화로 연결된다. 악성 앱에 노출된 스마트폰이 이른바 ‘강수강발’(강제수신·강제발신) 상황이 돼, 이를 미심쩍게 여긴 피해자가 수사·금융기관 등에 전화를 걸어 확인해도, 실제로는 범죄조직 일원과 통화하는 것이다.

이런 악성 앱이 깔린 스마트폰은 원격으로 카메라나 녹음 기능도 활성화할 수 있다. 결국 피해자의 상황을 속속들이 파악하고 있는 범죄조직의 꾐에 넘어가, 거액을 송금하는 경우가 많다.

과거 이들은 전화 통화로만 피해자를 꼬드겨 금전을 갈취하는 경우도 있었다. 하지만 최근 이들 다수는 이같이 악성 앱을 주요 범행 도구로 이용하는 것으로 경찰은 파악하고 있다.

보이스피싱 범죄, 갤럭시 폰 이용자 노리는 이유는?

‘갤럭시S21’ 시리즈. 삼성전자 제공

그렇다면 유독 갤럭시 폰 이용자가 이들의 표적이 되는 이유는 뭘까. ‘기술의 삼성’이란 말과 달리 삼성전자의 기술력이 애플에 뒤처지는 것일까.

경찰은 안드로이드폰과 아이폰의 운영체제(OS) 차이를 근본 원인으로 파악하고 있다. 갤럭시 등 안드로이드폰은 개방형 OS이기 때문에 지정되지 않은 경로(URL)로도 앱 다운로드가 가능하다.

하지만 폐쇄형 OS인 아이폰은 앱스토어에서만 앱을 다운로드할 수 있다. 이 때문에 보이스피싱 범죄조직이 피해자에게 “중고폰 매장에 가서 안드로이드폰을 하나 산 뒤 유심 칩을 갈아 끼워야 우리가 지정한 보안 앱을 설치할 수 있다”고 유도하는 경우도 있다고 한다. 피해자의 스마트폰에 악성 앱을 깔아 본격적으로 범행을 시작하려는 것이다.

정보기술(IT) 전문가 의견도 유사했다. 김용대 한국과학기술원(KAIST) 전기및전자공학부 교수는 “근본적으로 안드로이드의 에코시스템(생태계)이 개방형이기 때문에 생기는 차이”라며 “특정 앱이 스마트폰의 통화 전화번호를 바꾸는 기능은 통신사의 ‘듀얼 번호’ 서비스와 같이 좋은 목적으로 쓰일 수도 있고, 전 세계에 악성 앱이 한두 개도 아니다”라며 “주로 한국인만 노리는 악성 앱을 이용한 보이스피싱 때문에 구글에 이 같은 앱을 모두 차단해달라거나, 탐지할 수 있게 해달라고 요구하기는 어렵다”고 말했다.

이어 김 교수는 “결국 스마트폰 업체와 경찰이 협력해 이 같은 악성 앱을 탐지하는 솔루션(해결책)을 개발하는 게 중요하다”며 “스마트폰에서 보이스피싱에 사용되는 악성 앱을 탐지하고, 동작을 방해하는 기술은 개발 가능할 것”이라고 덧붙였다.

삼성전자도 이 같은 상황을 파악하고 대응책 마련에 부심하고 있다. 삼성전자는 경찰과 협력해 갤럭시 폰에 보이스피싱용 악성 앱이 설치될 경우 탐지하는 기술을 개발하는 것은 물론, 이런 앱이 아예 설치되지 않도록 방지하는 기술까지 구현하기 위해 노력 중인 것으로 전해졌다.

범죄는 조직적으로 하는데, 수사는 제 각각…

게티이미지뱅크

관련 범죄 예방을 위해서는 보이스피싱 수사 방식의 변화가 요구된다는 목소리도 나온다. 이 범행은 특정 범죄집단이 불특정 다수를 상대로 한꺼번에 미끼를 뿌려 수익을 거둬들이는 방식으로 진행되는 경우가 많다.

하나의 범죄를 성공시키기 위해 조직원 여러 명이 협업하고 있는 것이다. 이들은 △대포폰으로 전화를 걸어 수신자를 현혹하는 조직원 △070 등 국외에서 건 인터넷 전화를 010 등으로 시작하는 국내번호로 위·변조하는 장치인 발신번호 변조용 사설 중계기를 관리하는 조직원 △악성 앱 개발 및 유포 조직원 등으로 나뉘어 있다.

신고된 사건별로는 다르지만, 동일 범죄조직에 의한 범행인 경우가 많다는 뜻이기도 하다. 그럼에도 경찰에 관련 사건을 신고하면 각 경찰서의 수사관이 각각의 사건을 수사하다가 ‘윗선’까지 추적을 확대하지 못하는 경우가 많다. 핵심 피의자가 해외에 있다는 이유로 결국 수사중지 결정을 하는 것이다.

때문에 전국에 산재한 관련 수사를 경찰청 차원에서 한데 모아 전문 수사관들이 이 같은 범죄조직에 대응해야 한다는 지적이 나온다. 범죄 첩보와 관련한 데이터를 한데 모으고 체계적으로 관리해 조직범죄에 종합 대응해야 한다는 뜻이다. 주로 해외에서 활동하는 ‘윗선’을 쫓기 위한 외국 수사기관, 사법당국과의 협력도 일선 청이 감당하기에는 어려움이 커 이 같은 대안 마련이 적절하다는 진단이다.

스마트폰에 SMS나 SNS로 받은 URL을 통해 함부로 앱을 설치하지 말고, 범행 전반이 어떻게 이뤄지는지 아는 것도 피해예방에 권장된다. 경찰 관계자는 “요즘은 예전 유행했던 코미디처럼 연변 사투리를 쓰면서 보이스피싱을 하는 경우는 거의 없다. 악성 앱을 이용하면 성별, 연령, 학력, 경력, 직업을 불문하고 누구나 걸려들기 쉬운 상황이 됐기 때문에 범행 전체를 알고 있는 게 피해 예방에 가장 좋다”며 “유튜브에서 ‘기관사칭형’ 또는 ‘대출사기형’을 검색하면 경찰이 제작한 관련 동영상을 통해 이 같은 정보를 손쉽게 접할 수 있다”고 말했다.

지난해 보이스피싱 범죄 피해액 5,348억 원은 전년(7,744억 원)보다는 31%포인트가량 줄었지만, 여전히 적지 않은 규모다.

김청환 기자 chk@hankookilbo.com