경제타임스 박상섭 기자 | 스마트폰 문자메시지를 이용한 사기 수법인 ‘스미싱(Smishing)’이 실제 은행 거래나 결제 알림을 교묘하게 모방하는 형태로 진화하고 있는 것으로 나타났다. 카카오뱅크가 올해 상반기 자사 ‘AI 스미싱 문자 확인’ 서비스에 접수된 스미싱 의심 문자를 분석한 결과, 금융거래를 사칭한 문자가 전체의 33%로 가장 많은 것으로 조사됐다.
7월8일 카카오뱅크는 자사 금융기술연구소와 AI데이터드리븐팀이 올해 1월부터 6월까지 ‘AI 스미싱 문자 확인’ 서비스를 통해 접수된 의심 문자 1만24건을 정밀 분석한 결과, ‘금융거래 안내’를 가장한 스미싱이 전체의 33%를 기록해 가장 높은 비중을 차지했다.
금융거래 관련 스미싱에 이어 인증·개인정보 확인(28%), 공공기관 안내(13%), 택배·배송(11%), 지인·경조사(5%) 순이었고 나머지 10%는 기타로 집계됐다. 일상생활에서 흔히 접할 수 있는 알림 서비스를 사칭해 금융소비자의 심리적 허점을 찌르는 수법이 기승을 부리고 있다는 분석이다.
특히, 금융거래 관련 스미싱은 ‘결제 승인’, ‘입금 알림’, ‘환급금 조회’, ‘계좌 이상 확인’ 등의 문구로 소비자가 바로 확인해야 할 것 같은 압박감을 주는 방식을 이용했다. 가짜 결제 알림을 보낸 뒤 이를 취소하려거나 확인하려는 피해자에게 피싱 사이트 접속을 유도하거나 스마트폰 제어권을 탈취하는 악성 앱 설치를 유도하는 수법이었다.
이어 ‘인증·개인정보 확인(28%)’ 유형 역시 이용자의 불안감을 자극하는 패턴을 보였다. ‘계정 보안 점검’, ‘해외 IP 로그인 차단 안내’ 등 시스템 안내를 가장해 아이디와 비밀번호, 생년월일 등의 개인정보를 탈취하려는 시도가 지난해에 이어 높은 수준을 유지했다.
공공기관 안내나 택배·배송, 지인·경조사를 사칭한 문자도 꾸준히 확인됐다. 교통위반 고지, 배송 조회, 청첩장·부고 등 일상에서 접하기 쉬운 소재를 활용해 클릭을 유도하는 수법이다.
카카오뱅크는 지난해와 비교했을 때 실제 금융거래가 발생한 것처럼 속여 이용자의 즉각적인 반응을 끌어내려는 스미싱이 늘었다고 설명했다. 인증·개인정보 확인 유형 역시 지난해에 이어 높은 비중을 유지하며 대표적인 수법으로 자리 잡은 것으로 나타났다.
‘AI 스미싱 문자 확인’ 서비스는 의심되는 문자를 복사해 붙여넣으면 스미싱 위험이 높은 문자, 안전한 문자, 단순 스팸 문자, 판단 불가 문자 등 네 가지로 분류해 신뢰도를 판단해준다. 카카오뱅크 금융기술연구소가 자체 학습한 거대언어모델(LLM)과 고성능 AI 언어모델 BERT를 기반으로 개발했다.
한국인터넷진흥원(KISA)은 스미싱 피해를 막기 위해 출처가 불분명한 인터넷 주소는 클릭하지 말고 정상 사이트와 주소가 일치하는지 반드시 확인하며, 휴대전화 번호나 아이디·비밀번호·인증번호 등 개인정보는 신뢰할 수 있는 사이트에만 입력할 것을 권고하고 있다.
카카오뱅크 관계자는 “스미싱 수법이 사회적 이슈와 이용자의 일상을 빠르게 반영하며 진화하고 있다”며 “의심스러운 문자를 받았다면 링크를 클릭하기 전에 ‘AI 스미싱 문자 확인’ 서비스로 먼저 확인해 보길 바란다”고 말했다.
