"누르는 순간 통장 잔고 0원"… 우체국 택배 사칭한 역대급 스미싱 주의보

[KtN 김상기기자] 연말 쇼핑과 택배 배송 물량이 몰리는 틈을 타 우체국이나 택배사를 사칭한 신종 문자 피싱 공격이 기승을 부리고 있다. '배송지 주소 오류로 반송 예정'이라는 문구에 속아 첨부된 인터넷 주소를 누르면 은행 앱을 복제한 가짜 금융 앱이 즉시 깔린다. 한 번 감염되면 휴대폰의 모든 인증서와 OTP 번호가 실시간 탈취되므로 즉각적인 차단 조치가 필수적이다.

진짜 우체국 알림톡과 가짜 스미싱 문자를 단 1초 만에 구별하는 표기법

우체국이나 메이저 택배사의 공식 알림은 카카오톡 비즈메시지(알림톡)나 공인알림문자(RCS) 형태로 발송되며, 노란색 인증 마크와 정식 사업자 등록 정보가 명시된다. 공공기관이나 정상 택배사는 배송지 주소가 잘못되었다는 이유로 일반 단문 문자(SMS)에 단축 URL을 붙여 발송하지 않는다.

피싱 사기단이 발송하는 가짜 문자는 발신 번호가 일반 개인 휴대전화(010)나 해외 번호, 인터넷 발신 식별 번호로 시작하는 경우가 대부분이다. 특히 문자에 포함된 인터넷 링크의 도메인 끝자리가 'go.kr'이나 'epost.go.kr' 같은 정부 공식 주소가 아니라 'me', 'xyz', 'top' 등 생소한 해외 확장자이거나 무작위 영문 조합으로 위장돼 있다면 100% 스미싱이다. 수신된 링크를 누르는 즉시 정상 우체국 웹사이트와 디자인이 동일한 피싱 페이지로 연결되면서 휴대폰 번호 입력과 악성 앱 설치 파일(.apk) 다운로드를 유도한다.

실수로 링크를 눌렀다면?… 30초 안에 '비행기 탑승 모드' 켜야 하는 이유

의심스러운 URL을 무심코 클릭했거나 알 수 없는 파일이 내려받아졌다면 1초도 지체하지 말고 스마트폰의 '비행기 탑승 모드(에어플레인 모드)'를 켜야 한다. 악성 APK 파일이 설치되는 순간 원격 조종 봇이 활성화되어 해커의 C&C(명령제어) 서버와 통신을 시작하기 때문이다.

통신망이 차단되지 않으면 감염 기기에 저장된 공동인증서, 사진첩 내 보안카드 촬영본, 문자메시지 인증번호가 실시간으로 외부 전송된다. 비행기 탑승 모드를 켜 와이파이(Wi-Fi)와 모바일 데이터를 물리적으로 끊어내면 해커 서버와의 데이터 송수신이 원천 차단된다. 이후 휴대폰 설정의 애플리케이션 목록에서 다운로드 폴더에 생성된 의심 파일(.apk)을 찾아 수동 삭제하거나, 안전 모드로 부팅한 뒤 모바일 백신 정밀 검사를 실행해 악성코드를 완전히 박멸해야 한다.

털리기 전에 잠근다… 본인 계좌 전체 일괄 지급정지 및 명의도용 방지 신청

기기 감염이 의심되는 즉시 최우선으로 취해야 할 조치는 금융 자산 방어선 구축이다. 해커는 빼돌린 개인정보로 오픈뱅킹을 개설해 타 금융기관 계좌의 잔액까지 한꺼번에 긁어모아 이체하는 수법을 쓴다.

피해를 원천 차단하기 위해 금융결제원의 '계좌정보통합관리서비스(어카운트인포)' 웹사이트나 앱에 접속해 '본인계좌 일괄지급정지' 서비스를 신청해야 한다. 해당 기능을 활성화하면 시중은행, 제2금융권, 증권사 등에 개설된 본인 명의의 모든 출금 계좌가 즉각 동결되어 송금과 출금이 일체 차단된다.

동시에 한국정보통신진흥협회(KAIT)의 '엠세이퍼(M-Safer)'에 접속해 '가입제한 서비스'를 걸어두어야 한다. 해커가 탈취한 신분증 사본으로 알뜰폰을 신규 개통해 대출을 실행하거나 인증을 우회하는 명의도용 피해를 차단하는 필수 방어 절차다. 피해가 현실화됐다면 경찰청(112) 또는 금융감독원(1332)에 즉시 신고해 피해 구제 신청을 접수해야 한다.