[KtN 임우경기자] 2025년은 한국 보이스피싱 역사에서 가장 어두운 해로 기록될 참이었다. 경찰청 집계에 따르면 2025년 1~10월 보이스피싱 피해액은 1조566억 원으로, 정부가 공식 통계를 집계한 2006년 이후 처음으로 연간 1조 원을 넘어섰다. 특히 경찰·검찰·금융감독원 등을 사칭하는 '기관사칭형'이 전체 피해액의 77%를 차지하며 10년 사이 15배 이상 늘었다.

그런데 같은 해 10월부터 곡선이 꺾였다. 정부가 9월 2일 정부서울청사에서 임기근 국무조정실장 주재로 열린 '보이스피싱 대응 범정부 TF' 회의에서 공개한 성과 점검 결과에 따르면, 2025년 10월부터 2026년 7월까지 10개월 연속 발생 건수와 피해액이 전년 같은 기간보다 모두 줄었다. 발생 건수는 2만900건에서 1만2554건으로 39.9%, 피해액은 1조1137억 원에서 6324억 원으로 43.2% 감소했다. 감소 폭은 시간이 갈수록 커졌다. 대책 시행 4개월 시점인 올해 1월까지는 발생 건수가 25% 줄었고, 7개월 시점인 4월까지는 35.3%, 올해 1~7월만 보면 발생 건수 46%, 피해액 53% 감소로 가팔라졌다.

지난 10여 년간 '대책은 쏟아졌지만 피해는 늘었던' 보이스피싱 정책에서 이번 반전은 이례적이다. 무엇이 달랐는지, 그리고 이 감소세가 구조적 변화인지 아니면 범죄의 이동인지를 짚어볼 필요가 있다.

번호 차단 2~3일, 주간 신고 응대율 60%…부처별로 나뉜 대응

보이스피싱은 통신(전화·문자)→금융(계좌·송금)→수사(검거·환수)라는 세 영역을 관통하는 범죄다. 그러나 대응은 과기정통부·방미통위·금융위·경찰청 등 부처별로 쪼개져 있었다. 정부 스스로도 이번 보도자료에서 그간의 대응을 "사후적·분절적"이었다고 평가했다.

구체적 병목은 세 가지였다. 첫째, 범행에 쓰인 전화번호를 '이용중지'하는 데 평균 2~3일이 걸려 초기 확산을 막지 못했다. 둘째, 신고 접수는 평일 주간에만 가능했고 응대율도 60% 수준에 그쳤다. 셋째, 금융·통신·수사기관 사이에 의심 정보를 공유할 법적 근거가 미비해 계좌 정지와 통신 차단, 검거가 따로 움직였다.

여기에 범죄 조직은 캄보디아 등 해외 거점에서 AI 음성 합성과 악성 앱을 활용하는 등 빠르게 지능화했다. 국내 법 집행력이 닿지 않는 곳에서 범행을 설계하고, 국내에는 대포폰·대포통장·현금 수거책만 남기는 구조가 굳어진 것이다.

통합대응단·긴급차단·법령 정비, 세 갈래 종합대책

정부는 2025년 8월 범정부 TF를 중심으로 6대 정책과제·15개 실천과제를 담은 '보이스피싱 근절 종합대책'을 발표하고, 이후 매월 TF 회의를 열어 이행 상황을 점검했다. 1년간의 조치는 대응 조직 통합, 단계별 기술 차단, 법령 정비 세 갈래로 나뉜다.

① 6개 기관 합동 통합대응단, 10분 긴급차단과 국제공조

대응 조직부터 하나로 모았다. 2025년 10월 경찰청 통합신고대응센터가 '전기통신금융사기 통합대응단'으로 확대 재편됐고, 과기정통부·방미통위·금융위·금감원·KISA·금융보안원 6개 기관에서 파견된 10명이 한 사무실에서 근무한다. 평일 주간에만 받던 신고는 24시간 365일 체제로 바뀌었고, 60%였던 응대율은 98%로 올라갔다.

차단 속도는 '일 단위'에서 '분 단위'로 줄었다. 2025년 11월부터 KISA·통신3사·삼성전자와 협력해 범행 전화번호의 수발신을 7일간 정지하는 긴급차단 제도가 시행됐다. 평균 2~3일 걸리던 이용중지가 10분 이내로 단축됐고, 현재까지 11만5088건이 차단됐다.

수사는 공급망까지 겨냥했다. 올해 7월까지 피싱 범죄 피의자 3만8577명이 검거돼 전년보다 18.4% 늘었고, 대포통장·대포폰 공급자 1만6917명이 별도로 적발됐다. 대검찰청 합동수사부는 313명을 입건해 154명을 구속했다. 구속률은 대책 이전 35.9%에서 49.2%로 높아졌다.

해외 거점 단속도 병행됐다. 캄보디아 '코리아전담반'은 217명을 검거해 137명을 전세기로 송환했다. 캄보디아 단속이 강화되자 조직이 인근 국가로 옮겨가는 움직임에 맞춰 합동 작전을 벌여 405명을 검거하고 274명을 송환했다. 법무부 초국가범죄 특별대응 TF는 피해자 97명에게서 약 101억 원을 가로챈 캄보디아 부부사기단 등을 국내로 데려왔다.

② 문자·URL·앱 단계별 차단과 AI 정보공유 663억 원

범행 경로를 단계별로 끊는 기술 조치가 이어졌다. 보이스피싱은 대개 '악성 문자 발송→URL 접속→악성 앱 설치' 순서로 진행된다. 2025년 4월 문자 내 악성 URL 접속 차단, 2025년 11월 구글과 협력한 안드로이드 악성 앱 설치 자동 차단, 2026년 6월 무효번호 발송 문자 차단이 차례로 도입돼 각 단계에 차단막이 세워졌다.

단말기 차원의 경고도 기본값이 됐다. 2025년 12월부터 삼성 단말기와 통신3사 전화 앱에 실시간 보이스피싱 탐지·경고 기능이 기본 탑재됐다. 이용자가 따로 설정하지 않아도 작동하고, 원치 않으면 끄는 방식이다.

금융 쪽에서는 정보공유가 핵심이었다. 금융위원회의 AI 정보공유 플랫폼은 2025년 10월 출범 후 올해 7월 말까지 46만3000건의 의심정보를 금융권에 공유해 663억6000만 원의 편취를 사전에 막았다. 8월 4일 시행된 통신사기피해환급법 개정으로 금융·통신·수사기관 사이의 정보공유는 법적 근거를 얻었다.

③ 형법·정보통신망법 등 7개 법 개정, 독립몰수제 도입

법령 정비는 처벌 강화, 통신사 책임, 범죄수익 환수, 데이터 활용 네 방향으로 진행됐다.

처벌 수위가 두 배로 올랐다. 형법 개정으로 다수 피해자가 발생한 사기 범죄의 법정형이 '10년 이하 징역 또는 2000만 원 이하 벌금'에서 '20년 이하 징역 또는 5000만 원 이하 벌금'으로 상향됐고, 가중 시 최대 징역 30년까지 선고할 수 있게 됐다.

통신 관문에는 사업자 책임이 붙었다. 2026년 3월 31일 개정된 정보통신망법은 불법스팸 관련 매출액의 6% 이하 과징금과 범죄수익 몰수·추징 규정을 신설했다. 같은 해 3월과 5월 개정된 전기통신사업법은 대포폰 개통 시 통신사 책임과 제재를 강화하고 발신번호 변작을 원천 차단하도록 했다. 통신사기피해환급법 개정으로 가상자산거래소에도 금융사와 같은 방지·구제 의무가 부과됐고, 피해자산 범위는 가상자산까지 넓어졌다.

범죄수익 환수 구조도 바뀌었다. 부패재산몰수법과 범죄수익은닉규제법 개정으로 국가가 범죄수익을 반드시 몰수·추징해 피해자에게 돌려주도록 했고, 유죄판결이나 피의자 신병 확보 없이도 범죄수익을 몰수할 수 있는 '독립몰수제'가 도입됐다. 해외 도피로 재판이 열리지 않는 경우에도 국내 자산을 환수할 길이 생긴 셈이다.

데이터 활용의 문도 열렸다. 개인정보보호법 개정으로 공익적 필요성이 큰 경우 안전조치를 전제로 AI가 원본 데이터를 학습해 피싱 위험징후를 탐지할 수 있게 됐다.

신종 스캠, 보이스피싱 피해액 추월

경찰청 자료에 따르면 올해 1~3월 투자 리딩방·로맨스 스캠·노쇼 사기 등 신종 피싱 피해액은 2517억 원으로, 같은 기간 보이스피싱 피해액 1701억 원을 넘어섰다. 전화 기반 범죄가 막히자 SNS·메신저 기반 범죄로 무대를 옮기는 이른바 '풍선효과'다. 신종 스캠 가운데서는 식당·업체에 대량 주문을 가장해 가짜 업체 계좌로 조달 대금을 입금하게 만드는 '노쇼 사기'가 3226건(36.2%)으로 가장 많았고, 투자 리딩방이 2774건(31.1%)으로 뒤를 이었다. 소상공인이 주요 표적이 되는 구조다.

정부도 이를 인식하고 대응을 확장하고 있다. 금융정보분석원(FIU)은 6월 30일부터 특정금융정보법상 '강화된 고객확인' 제도를 활용해 신종 스캠 의심계좌를 7영업일 임시정지하고 필요 시 최대 60영업일까지 거래를 정지하는 제도를 시행했다. 8월 21일까지 6914건이 임시조치되고 5018건이 거래정지됐다. 경찰청은 올해 범죄에 악용된 SNS 계정 5만3000여 개를 차단하고 5만1000여 건의 위험 알림을 발송했다. 그 결과 신종 스캠 피해액도 5월 687억 원으로 4월(1018억 원) 대비 32.5% 줄어드는 등 감소세로 돌아섰다. 다만 이 감소세가 보이스피싱처럼 장기 추세로 자리 잡을지는 아직 판단하기 이르다.

거래정지 6914건, 정상 거래 명의인의 소명 부담

거래정지 제도는 피해금이 제3의 계좌로 빠져나가는 것을 막는 데 효과적이지만, 정상 거래 대금을 받은 계좌 명의인이 거래 실체를 객관적 자료로 소명해야 하는 부담이 생긴다. FIU가 특정금융정보법 개정을 통해 거래정지의 법적 근거를 명확히 하고 이의신청 제도를 법제화하겠다고 밝힌 배경이기도 하다. 행정 지침으로 먼저 시행하고 법을 뒤따라 정비하는 방식은 신속성에서 장점이 있지만, 재산권 제한의 근거가 법률이 아닌 '해석'에 머무는 기간이 길어질수록 법적 안정성 논란이 커질 수 있다.

AI 원본 데이터 학습, 안전조치 검증 주체는 미정

개인정보보호법 개정으로 AI가 실제 원본 데이터를 학습해 피싱 위험징후를 탐지할 수 있게 된 것은 탐지 정확도 측면에서 진전이지만, 공익 목적의 범위와 안전조치의 실효성을 누가 어떻게 검증할지에 대한 논의는 앞으로도 이어질 과제다.

최대 5000만 원 무과실 배상 법안, 국회 계류 중

정부는 금융사에 배상책임을 부과하는 통신사기피해환급법 개정안의 국회 통과에 힘쓰겠다고 밝혔다. 국회에는 은행 과실이 없어도 피해 고객에게 최대 5000만 원까지 배상하도록 하는 법안이 지난해 12월 발의돼 있다. 법안은 이용자의 도덕적 해이를 막기 위해 금융사가 충분한 방지 노력을 했거나 이용자에게 중대한 과실이 있는 경우를 예외로 두고, 금감원에 보상판단지원위원회를 설치하는 구조다. 금융권은 무과실 책임의 범위와 비용 부담을 우려하고, 소비자단체는 예방 투자를 유도하는 가장 강력한 유인이라고 맞선다. 이 법안의 처리 여부가 종합대책 '완수'의 마지막 관문이라 할 수 있다.

영국 은행 50대 50 환급, 싱가포르는 통신사도 배상 주체

피해 배상 구조를 둘러싼 논쟁에서 참고할 만한 해외 사례가 두 가지 있다.

영국은 2024년 10월 7일부터 지급결제시스템규제청(PSR) 규정에 따라 '승인 송금 사기(APP fraud)' 피해자에 대한 의무 환급 제도를 시행하고 있다. 피해자가 속아서 직접 송금한 경우에도 송금은행과 수취은행이 손실을 50대 50으로 분담해 환급하며, 상한은 8만5000파운드, 결정 기한은 5영업일이다. 금융사의 예방 투자를 이끌어내는 데 배상책임이 유효하다는 점을 보여준 사례다.

싱가포르는 2024년 12월 16일부터 통화청(MAS)과 정보통신미디어개발청(IMDA)이 공동으로 '책임분담 프레임워크(Shared Responsibility Framework)'를 시행했다. 피싱 사기 손실에 대해 금융기관, 통신사, 소비자가 각자의 의무를 다했는지에 따라 순차적으로 책임을 지는 구조로, 금융기관이 1차, 통신사가 2차 책임을 진다. 한국의 논의가 금융사 배상에 집중돼 있는 것과 달리, 통신사를 배상 주체에 포함시킨 점이 특징이다. 대포폰 개통과 발신번호 변작이 보이스피싱의 관문이라는 점을 고려하면 참고할 여지가 있다.

다중피해사기 방지법과 배상책임 법안, 다음 1년의 관문

임기근 국무조정실장은 이번 회의에서 대응 체계가 마련된 만큼 앞으로는 현장 안착에 집중하고, TF 성과를 다른 분야로 확산할 수 있도록 부처 간 협업을 이어가 달라고 당부했다. 정부는 이와 함께 경찰청이 추진 중인 '전기통신 이용 다중피해사기 방지법' 입법, 휴대전화 부정사용 방지 종합대책의 후속 조치, 내년 신형 단말기부터 적용되는 음성스팸 간편 신고 기능 등을 예고했다.

지난 1년의 성과가 시사하는 바는 분명하다. 보이스피싱은 통신·금융·수사가 한 테이블에 앉아 '분 단위'로 움직일 때 비로소 줄어든다는 것이다. 다음 1년의 과제는 이 협업 모델을 SNS·메신저 기반 신종 스캠과 가상자산 영역까지 확장하고, 신속한 차단과 시민의 재산권 보호 사이의 균형을 법률로 정착시키는 일이다. 피해자 구제의 마지막 고리인 금융사 배상책임 법안이 국회에서 어떤 형태로 결론 나는지가 종합대책의 성패를 가르는 시험대가 될 것이다.