대출 보이스피싱, 한도까지 읊는다…해킹 7개사 뒤 판별 3수칙

대출모집 시스템 해킹으로 연소득·한도 유출…심사 번호 읊는 '정밀 피싱' 경보 다른 기기로 대표번호 재발신·모집인 사진 대조·앱 설치 요구 거절이 방어선

대출을 알아본 적이 있는 사람에게 전화가 걸려 온다. 상담사는 신청 금액과 심사 번호를 또박또박 읊고 "한도 승인이 났다"고 말한다. 화면에는 금융사 대표번호가 떠 있다. 금융감독원에 접수된 이 사례의 끝은 '선납 수수료' 요구였다. 신청 내역을 꿰고 있으니 의심하기 어렵고, 번호까지 그럴듯하니 확인할 생각도 하지 않는다. 금융권 해킹 사고가 잇따른 지금, 이 수법이 가장 경계해야 할 대출 보이스피싱이다.

◆ 7개사 뚫렸다…연소득·대출한도까지 샜다

금융위원회가 이달 소집한 전 금융권 긴급 점검회의에서 확인된 침해 금융사는 7곳이다. 대출모집인 시스템과 직원용 업무지원 시스템이 뚫렸다. 신한은행에서는 대출 모집 조회 서비스를 거쳐 고객 약 2만5천명의 이름과 전화번호, 연소득, 산출 한도 일부가 외부로 나갔다. 예가람저축은행에서는 4만명 안팎의 고객명과 생년월일, 연락처가, 현대캐피탈에서는 대출모집인 146명의 주민등록번호와 연락처가 탈취됐다. 국민은행도 직원용 모바일 시스템이 침해돼 고객 정보가 샜다.

금융보안원은 이번 공격에서 AI 자율형 침투 도구 'ARTEX AI'의 흔적을 확인했다. 사람이 일일이 뚫은 것이 아니라 자동화된 도구가 금융망을 훑었다는 뜻이다. 금융위원회는 "부정결제에 직접 쓰일 민감 정보가 유출된 정황은 확인되지 않았다"면서도 "보이스피싱·스미싱 등 2차 피해 가능성을 배제할 수 없다"고 했다.

◆ 신청 내역을 알면 '사기'가 '안내'로 들린다

유출된 항목을 보면 사기단이 왜 이 데이터를 노리는지 드러난다. 이름과 전화번호는 어디서든 구한다. 그러나 연소득과 대출 한도, 심사 번호는 금융사 안에서만 생긴다. 이것을 아는 사람이 전화를 걸면 피해자는 '내 담당자'라고 믿는다. 금감원이 접수한 다른 사례에서도 사기단은 온라인 신청 직후 유출된 심사 코드를 언급하고, 발신번호를 금융사 대표번호로 꾸민 뒤 예치금 입금을 요구했다.

이 같은 '정밀 타깃팅'은 무작위 전화와 다르다. 경찰청이 집계한 올해 1~8월 보이스피싱 최초 접근 경로를 보면 전화와 문자가 94%를 차지했다. 접근 통로는 그대로인데 전화 내용의 정밀도가 달라진 것이다. 한국인터넷진흥원이 올해 1~8월 걸러낸 발신번호 변작 시도는 72만건을 넘어 지난해 연간치를 이미 추월했다.

◆ 건당 피해 5384만원…돌려받는 돈은 넷 중 하나

경찰청이 국회 정무위원회 손명수 의원실에 낸 자료를 보면 지난해 보이스피싱 피해액은 1조2578억원으로 역대 최대다. 건당 평균 피해액은 5384만원으로, 10년 전과 비교하면 여섯 배 넘게 불었다. 이 가운데 대출을 미끼로 삼은 대출 보이스피싱 피해액만 지난해 2694억원에 이른다.

피해를 당한 뒤 돈을 되찾기는 더 어렵다. 지난해 의심계좌 지급정지는 10만건을 넘었지만 피해구제 환급률은 26.3%에 그쳤다. 넷 중 셋은 돌려받지 못했다는 뜻이다. 사후 구제보다 전화 한 통을 끊는 판단이 훨씬 싸다.

◆ 대표번호가 떠도 믿지 마라…3대 수칙

첫째, 걸려 온 전화의 번호는 증거가 아니다. 경찰청 전기통신금융사기통합대응단은 중계기로 금융사 대표번호를 화면에 띄우는 수법 탓에 수신 번호만으로는 진위를 가릴 수 없다고 본다. 전화를 끊고, 은행연합회 소비자포털의 은행 전화번호 진위확인 서비스에서 번호를 조회한 뒤 공식 대표번호로 직접 다시 거는 것이 원칙이다.

둘째, 다시 걸 때는 '다른 기기'로 건다. 악성 앱이 이미 깔린 휴대전화라면 소비자가 공식 번호를 눌러도 사기단으로 연결된다. 경찰이 막아 낸 사례에서는 70대 피해자가 112에 건 확인 전화까지 가로채져 9억원을 잃을 뻔했다. 가족 전화나 유선전화로 확인하라는 당국의 당부는 이 때문이다.

셋째, 상담사가 모집인이라고 하면 등록을 대조한다. 금융 6개 협회가 운영하는 대출모집인 통합조회 포털에서 등록번호와 이름, 사진이 일치하는지 바로 확인할 수 있다. 사진까지 맞춰 봐야 하는 이유는 현대캐피탈 사례처럼 실제 모집인의 신상이 통째로 샜기 때문이다. 금감원 관계자는 "금융회사는 대출 과정에서 절대로 앱 설치를 요구하지 않는다"며 "승인 명목으로 선입금을 요구하면 100% 보이스피싱"이라고 말했다.

◆ 내 명의 대출 문을 아예 잠그는 법

전화를 가려내는 것과 별개로 명의도용 대출을 원천 차단하는 장치도 있다. 여신거래 안심차단 서비스에 가입하면 신용정보원에 즉시 등록돼 은행과 상호금융, 우정사업본부 등 4012개 금융회사의 신규 대출이 한꺼번에 막힌다. 금감원은 이를 포함해 비대면 계좌개설 차단, 오픈뱅킹 차단 등 8대 보안서비스를 묶어 안내하고 있다.

당국의 대응도 자동화로 옮겨 가고 있다. 금융위원회는 지난 8월 금융보안원을 정보공유분석기관으로 지정하고 금융·통신·수사기관이 의심 번호와 계좌를 실시간으로 나누는 AI 플랫폼 'ASAP'을 가동했다. 의심 전화를 받았거나 송금했다면 국번 없이 1394로 신고하면 24시간 접수된다.

사기단은 이제 내 신청서를 들고 전화한다. 상대가 내 정보를 안다는 사실이 더는 믿을 근거가 되지 못하는 시대, 대출 보이스피싱의 진짜 확인은 걸려 온 전화가 아니라 내가 다시 건 전화에서만 시작된다.