간단하게 알아보는 보이스피싱 예방법

지난봄까지 방송된 KBS 개그콘서트의 '황해'는 보이스피싱을 다루면서 시청자들에게 많은 인기를 얻었다. 보이스피싱에서 자주 사용되는 패턴을 따라하면서 사용자들에게 웃음과 경각심을 일깨워주는 유용한 코너였다.

 

'황해'에서 다뤘던 보이스피싱은 전형적인 사회공학 기법이다. 피해자가 위압감을 느낄 수 있는 특정인이나 피해자의 지인을 사칭한다. 상대방을 당황시키거나 속이고 의심의 여지없이 믿게 만든 후 원하는 정보와 금전을 빼낸다. 전설적인 해커로 불리는 케빈 미트닉은 이러한 사회공학 기법에 탁월한 실력을 발휘한 것으로 유명하다. 특히 케빈 미트닉은 사회공학 기법을 통해 상대방에게 믿을 만한 단서 몇 가지만 주면 대부분 쉽게 속일 수 있었다고 자서전을 통해 밝힌 바 있다.
​

[그림 1] 보이스피싱을 다뤘던 KBS 개그콘서트의 '황해'  출처 : KBS 개그콘서트의 황해 화면 캡처

 

이제 보이스피싱은 다른 보안 이슈보다 식상할 수 있다. 그럼에도 불구하고 여전히 보이스피싱 사기는 계속되고 있고 많은 사람들이 피해를 입고 있다. 주로 PC 사용에 익숙하지 않은 50대 이상의 중장년층이 대상이 되고 있다.

 

보이스피싱의 대표적인 유형은 경찰청 소속 경찰관이나 검찰청 소속 수사관 사칭이다. 방법은 "귀하의 계좌가 대포통장으로 악용되고 있으니 본인 확인이 필요하다"고 엄포를 놓는다. 그러면서 상대방을 안심시키는 척하면서 가짜 홈페이지로 접속하게 하고 본인 명의의 통장이 맞는지 개인정보와 거래 은행의 통장 계좌 정보(보안카드 포함)를 입력하도록 유도한다. 사용자가 정보를 입력하면 해당 정보를 이용해 계좌에서 현금을 인출해간다.

 

따라서 보이스피싱 피해를 예방하려면 부주의로 유출될 수 있는 개인정보를 보호해야 한다. 이미 여러 번의 개인정보 유출 사고로 상당수의 개인정보가 보이스피싱에 악용되고 있지만 적어도 자신의 부주의로 인한 유출은 사전에 차단할 필요가 있다. 다음의 4가지를 염두에 두고 보이스피싱 정보에 대해 알아 둔다면 피해 발생 소지를 줄일 수 있다.  

 

1. 수사기관 사칭 전화에는 공식 문서 발송 요구하기

 

과속이나 주차 위반을 하면 주소지로 과태료(또는 벌금) 고지서가 청구된다. 대포통장으로 인한 명의도용에 문제가 발생한 경우도 마찬가지다. 먼저 주소지로 소환장이나 출석요구서와 같은 서류를 받아야 한다. 전화가 오더라도 소환 통보가 먼저다. 경찰서에 언제 방문하면 어떤 내용으로 조사하겠다고 밝히는 것이 일반적인 절차이다.

 

과태료 고지서도 잘 읽어보면 '어떤 근거에 의해 벌금이 고지되었다'는 내용이 포함돼 있다. 벌금을 납부하면 영수증을 제외한 고지서 원본은 발부기관에서 보관한다. 전화로 업무를 처리하면 통화 내역을 녹취하지 않는 한 해당 업무를 처리했다는 근거 자료를 남길 수 없다. 모든 업무를 문서화시켜 근거 자료로 남겨야 하는 공공기관의 업무 처리와도 맞지 않는다.

 

이러한 전화를 받는다면 공문, 내용 증명, 소환장과 같은 공식적인 문서를 요구해야 한다. 실제로 공공기관에서 연락했다면 문서를 발송해줄 것이다. 반면 보이스피싱 사기범이라면 유선 상으로 처리하자고 유도할 것이다. 이럴 땐 과감하게 전화를 끊는 것이 좋다. 보이스피싱이라면 다시는 연락이 오지 않을 것이고, 공공기관이라면 우편으로 안내문을 보내줄 것이다. 일 처리는 그 이후에 해도 늦지 않는다.

 

2. 명함 등 개인정보 제공 자제하기 

 

회사가 밀집돼 있는 지역의 커피전문점이나 식당에는 경품 행사를 위해 명함을 모아놓은 상자가 있다. 대형마트에서는 자동차나 다이아몬드 등 고가의 경품 내걸고 특정 사이트에 접속해 이름과 휴대전화 번호 등 개인정보 입력을 요구한다.  온라인쇼핑몰에서 할인쿠폰을 준다는 배너를 클릭하면 이름과 휴대전화번호 등의 정보를 입력해야 이벤트에 참여할 수 있다. 이와 같은 이벤트는 대부분 이름과 전화번호, 회원 ID 등 개인정보 수집을 위해 경품을 거는 경우가 많다.​

 

특히 대형마트의 이벤트 사이트나 온라인쇼핑몰 할인쿠폰 이벤트 사이트에 접속하면 하단에 깨알 같은 글자로 ‘제공한 개인정보가 특정 업체의 홍보와 상담에 이용되는 것에 동의한다’는 내용을 볼 수 있다. 경품 당첨 여부를 떠나 이런 이벤트에 개인정보를 넘겨주는 것은 위험할 수 있다. 해당 업체는 마케팅 수단으로 수집하는 것이지만 정상적인 파기가 되지 않거나 외부에 유출되면 악용될 소지가 다분하다.

 

물론 모든 이벤트가 위험한 것은 아니다. 최근 개인정보 유출 사고가 자주 발생하고 있는 상황에서 의심없이 개인정보를 제공하는 것은 아닌지 주의가 필요하다.

 

3. 무심코 버리는 명함, 사회공학기법에 악용 우려

 

직장인들은 많은 사람들과 명함을 주고받는다. 명함에는 회사명, 소속 부서, 이름, 사무실 전화번호, 휴대전화 번호, 이메일 주소 등 많은 개인정보를 담고 있다. 명함을 보면 어떤 업무를 하고 있는지도 유추할 수 있다. 명함은 직장인들에게는 자기소개의 수단이 되지만 반대로 악의적인 사람에게는 사회공학 기법이나 스피어피싱(Spear Phishing) 등에 이용하기 좋은 소재이다.

 

특히 타인의 명함이 필요 없다고 그대로 버리는 경우가 많은데 되도록 문서파쇄기를 이용하거나 잘게 찢어서 버리는 것이 상대방에 대한 기본 예의이다. 뿐만 아니라 명함 이벤트에는 가급적이면 참여하지 않는 것이 좋다. 이벤트가 끝난 후 수많은 명함을 어떻게 파기하는지 알 수 없기 때문이다.

 

해커 케빈 미트닉은 사회공학 기법에 필요한 자료와 소재를 쓰레기통을 뒤져서 찾았다고 한다. 명함 이벤트를 진행하는 식당 주변의 쓰레기장을 뒤졌을 때 수많은 명함이 쏟아져 나온다면? 이렇게 불필요하게 자신의 정보가 떠돌아다니는 것을 미리 제한할 필요도 있다.

4. 주민등록증 등 신분증 촬영은 거절하기

 

또 다른 예를 들면, 보험 가입 시 계약자는 신원 확인을 위해 보험설계사에게 신분증 사본을 제출한다. 절차대로 진행하려면 나중에 보험설계사를 다시 만나서 신분증 사본을 전달해도 된다. 하지만 보험설계사와 계약자가 서로 시간을 맞추기는 쉽지 않다. 그러다 보니 처음 계약서를 작성할 때 보험설계사가 스마트폰으로 신분증을 촬영하기도 한다.

 

이 때 문제가 발생할 수 있다. 먼저 신분증의 진위를 판단할 수 있는 정보부터 주민등록번호, 주소 등 개인정보가 모두 담겨 있는 신분증을 타인이 보관하게 된다. 그리고 촬영한 신분증 사진 파일은 업무가 끝나면 삭제하거나 파기해야 한다. 그러나 보험설계사는 여러 사람의 신분증 사본을 보관하기도 하고 많은 사람을 상대하는 만큼 삭제나 파기를 잊는 경우가 많다.

 

이런 상황에서 스마트폰이 사진이나 개인정보 등을 유출하는 스미싱 악성코드에 감염된다면 유출될 가능성은 더 높아진다. 따라서 타인이 자신의 신분증을 촬영하려고 한다면 단호하게 거절해야 한다. 나중에 번거롭더라도 개인정보를 지키려면 처음부터 안전하지 않은 방법은 차단할 필요가 있다.

 

지금까지 보이스피싱의 피해 예방법에 대해 알아봤다. 주변에서 피해가 발생하지 않았지만 여전히 보이스피싱은 계속되고 있다. 피해가 발생하는 것은 순식간이다. 관심을 갖고 미리미리 조심한다면 소중한 개인정보를 지키고 피해를 예방할 수 있다. @

​