추석 '주소 불일치' 배송문자 링크 누르면 좀비폰…즉시 118 신고

방미통위, 배송·명절지원금 사칭 주의보 발령 공공기관 사칭 53.4%…악성앱 깔리면 통화도 가로채기

27일 서울 중구 서울광장에서 열린 '2026 영양고추 H.O.T(핫) 페스티벌'에서 시민들이 접수한 고추 택배가 쌓여 있다. 연합뉴스

"[택배] 배송 주소 불일치로 상품이 반송 예정입니다. 도로명 주소를 확인해 주세요." 추석 선물이 오갈 시기에 이런 추석 스미싱 문자를 받으면 손가락이 먼저 움직인다. 링크를 누르는 순간 설치되는 것은 택배 조회 화면이 아니라 악성 앱이다.

방송미디어통신위원회는 추석 선물 배송과 명절 지원금 지급을 사칭한 미끼문자 주의보를 17일 발령했다. 통신사에는 해당 유형 문자의 필터링을 강화해 달라고 요청했다. 방미통위 관계자는 "정상적인 문자는 불필요한 개인정보나 계좌번호 입력을 요구하지 않는다"고 밝혔다. 이어 "출처가 불분명하고 인터넷주소가 포함된 문자는 사전에 정상 여부를 확인해야 한다"고 덧붙였다.

핵심은 링크를 눌렀을 때다. 악성 앱이 깔린 휴대전화로는 112에 걸어도 사기범에게 연결된다. 신고 순서를 미리 알아 두는 것이 사실상 유일한 방어책이다.

◆ 택배 사칭은 줄고 공공기관 사칭이 절반 넘었다

한국인터넷진흥원(KISA)이 집계한 최근 3년간 스미싱 탐지 건수를 보면 정부·공공기관 사칭이 214만여 건으로 53.4%를 차지했다. 카카오톡 등 SNS 기업을 사칭해 계정을 탈취하는 유형이 117만여 건(29.2%)으로 2위였고, 청첩장·부고장을 앞세운 지인 사칭형이 52만여 건(13.1%)이었다.

택배 사칭 문자의 비중은 오히려 줄었다. 과학기술정보통신부와 KISA 통계를 보면 2022년 전체 문자사기의 51.8%였던 택배 사칭은 2024년 0.7%로 떨어졌다. 통신사 차단 시스템이 '배송', '주소 확인' 같은 전형적 문구를 걸러내면서다.

그렇다고 위험이 사라진 것은 아니다. 전체 문자사기 차단 건수 자체가 2024년 8월 기준 연간 109만2838건으로 2022년 3만7천여 건의 29배로 불었다. 걸러지는 문구를 피해 단축 링크와 변형 문구를 쓰는 문자만 남는 셈이다.

◆ 피해액 1조원 넘겼다

금융위원회에 따르면 지난해 보이스피싱과 전자금융사기 피해액은 1조1330억원으로 전년보다 56% 늘었다. 스미싱은 이 범죄의 입구 역할을 한다. 악성 앱으로 금융정보와 인증번호를 빼내 계좌 이체·소액결제로 이어지는 구조다.

발송 경로는 사실상 한 곳으로 쏠려 있다. 방송통신위원회와 KISA의 2023년 하반기 스팸 유통현황 조사에서 불법스팸 문자의 97.9%가 대량문자발송서비스를 통해 뿌려졌다. 보안업체 안랩 분석에서는 스미싱 유포 수단 가운데 문자메시지·카카오톡이 39.6%로 단일 경로 중 가장 높았다.

지역 단위 통계도 증가세를 보여준다. 전북경찰청 집계에서 사이버 직거래 사기는 2023년 2628건에서 2025년 5745건으로 2.2배 늘었다. 올해 8월까지는 스미싱 20건, 사이버 사기 2251건이 접수됐다. 전북경찰청은 전담수사팀을 편성해 상시 단속 체계를 갖추고, 범행에 이용된 전화번호는 신속히 차단하겠다고 밝혔다.

◆ 명절에 특히 잘 통하는 3가지 미끼

첫째는 배송 문자다. '배송 주소 불일치'나 '도로명 주소 오류 확인' 같은 문구로 가짜 링크 접속을 유도해 악성 설치파일을 심는다. 링크를 누른 뒤 가짜 택배사 조회창에 인증번호를 입력해 금융정보 탈취 위기에 몰린 사례가 KISA에 접수됐다.

둘째는 지원금 사칭이다. 추석 민생회복 지원금이나 지방자치단체 지원금 지급을 빙자해 링크 접속과 금융정보 입력을 요구한다. 셋째는 가족 사칭이다. "휴대전화 액정이 깨져 임시 폰으로 보낸다"며 명절 인사를 건넨 뒤 신분증 사진과 계좌 비밀번호를 요구한 미수 사례가 경찰청에 확인됐다.

판별 기준은 단순하다. KISA는 정상적인 택배사 배송 알림은 주소 수정을 위해 외부 링크 접속이나 별도 앱 설치를 요구하지 않는다고 설명한다. 링크와 앱 설치를 요구하면 그 자체로 사기 신호다.

◆ 눌렀다면 순서대로 … 다른 전화로 118

링크를 눌렀다면 먼저 감염이 의심되는 휴대전화를 내려놓아야 한다. 경찰청 수법 분석을 보면 악성 앱에 감염된 단말기는 수발신 전화를 가로채 112 신고조차 범죄조직으로 연결한다. 가족이나 주변 사람의 전화를 빌려야 한다.

다음은 국번 없이 118이다. KISA가 24시간 무료로 운영하는 상담센터에서 악성 앱 감염 여부와 삭제 절차를 안내한다. 앱을 지울 때는 다운로드 폴더에 남은 APK 설치 파일까지 함께 삭제해야 재설치를 막을 수 있다.

돈이 빠져나갔다면 112나 거래 금융회사에 본인계좌 일괄지급정지를 요청한다. 금융감독원 절차에 따르면 전화로 지급정지를 걸어 둔 뒤 3영업일 안에 피해구제신청서를 내야 하며, 기한이 지나면 지급정지가 해제된다. 문자를 받았을 뿐 아직 누르지 않았다면 카카오톡 '보호나라' 채널의 스미싱 확인 메뉴에 문자를 보내 악성·주의·정상 여부를 회신받을 수 있다.

◆ 안심마크는 아이폰에서 안 보일 수도

정부는 예방 장치를 늘리고 있다. 공공기관과 지자체 공식 문자에는 올해 1월부터 KISA 인증 RCS 안심마크가 적용됐다. 전북 남원시가 1월, 대전 중구가 3월부터 공식 문자에 이 서비스를 시행했다. 한국통신사업자연합회는 올해 상반기부터 존재하지 않는 번호로 발송된 불법스팸을 원천 차단하는 시스템을 전면 적용했다.

다만 한계가 있다. 지자체 통신서비스 담당 부서들은 아이폰 등 일부 단말에서 RCS 규격 호환 문제로 안심마크 확인에 제약이 있을 수 있다고 안내한다. 마크가 보이지 않는다고 가짜, 보인다고 진짜로 단정하기 어렵다는 뜻이다.

구제 제도에도 빈틈이 남아 있다. 한국형사·법무정책연구원은 현행 통신사기피해환급법이 계좌 이체 중심으로 설계됐다고 짚었다. 스미싱으로 유도된 간편결제나 모바일 상품권 탈취 피해는 즉각적인 환급 적용에 한계가 있다는 지적이다. 피해를 막는 쪽이 여전히 현실적이다. 통신사 앱에서 소액결제를 차단하거나 한도를 최소화해야 한다. 안드로이드 스마트폰은 설정에서 '보안 위험 자동 차단'을 켜 두면 출처 불명 앱 설치를 막을 수 있다.

통신업계는 연휴를 겨냥한 특별 대응에 들어갔다. LG유플러스는 지난 13일부터 사옥에 모니터링반을 꾸려 악성 앱 제어 서버를 차단했다. 경찰과 핫라인 공조에 나섰으며 이 체계는 이달 말까지 운영된다. 정부와 통신사는 연휴 첫날인 24일부터 스미싱·사이버사기 24시간 비상대응체계를 가동한다.