사기범들은 끊임없이 진화하며 새로운 수법으로 표적이 된 피해자를 속이려 합니다. FBI 인터넷 범죄 신고 시스템(IC3)에 따르면, 2018년 한 해에만 피싱 피해로 인한 금전적 손실이 약 4,800만 달러에 달했습니다. 대부분의 사용자가 이메일 피싱에 경각심을 갖게 되자, 사기범들은 '음성'과 '피싱'을 결합한 새로운 공격 방식으로 눈을 돌렸고, 이것이 바로 비싱(Vishing)입니다.
비싱(Vishing)이란?
비싱은 'Voice(음성)'와 'Phishing(피싱)'의 합성어로, 우리에게 익숙한 '보이스피싱'과 같은 개념입니다. 사이버 범죄자가 전화 통화를 이용해 사용자를 속이고 개인정보를 빼내는 전화 사기 수법을 말합니다.
비싱 공격에서 사기범은 소셜 엔지니어링 기법을 활용해 사용자가 로그인 정보나 은행 계좌 정보 등 중요한 데이터를 자발적으로 제공하도록 유도합니다. 대표적인 시나리오는 다음과 같습니다. 먼저 사기범은 피해자에게 "계정이 해킹당했다"며 놀라게 만듭니다. 그런 다음 자신을 은행 직원이나 경찰 등 집법 기관 관계자라고 둘러댑니다. 어떤 경우에는 보안 프로그램 설치를 제안하기도 하는데, 실제로 설치되는 것은 악성코드(멀웨어)입니다.
피싱과 비싱의 차이점
본질적으로 피싱과 비싱은 큰 차이가 없습니다. 비싱은 '전화로 이루어지는 피싱'일 뿐입니다. 피싱은 이메일, 문자 메시지, 전화, 채팅 메시지 등 다양한 채널을 통해 표적 피해자와 접촉하는 모든 형태를 포괄하며, 그 목적은 신원을 특정할 수 있는 개인정보를 탈취하거나 돈을 훔치는 것입니다.
기술이 발전하면서 사기범들이 전 세계의 수많은 사람에게 접근하는 일은 점점 더 쉬워지고 있습니다. 특히 VoIP(인터넷 전화) 기술을 활용하면 발신번호를 조작할 수 있어, 마치 은행이나 집법 기관처럼 신뢰할 만한 곳에서 걸어온 전화인 것처럼 위장할 수 있습니다.
비싱 사기의 대표적인 유형
사기범들은 다양한 명목으로 사용자를 속입니다. 대표적인 비싱 시나리오는 다음과 같습니다.
1. "계좌가 해킹당했습니다" – 금융 사기
실제 상담원 또는 미리 녹음된 음성 메시지가 계좌에 문제가 있다고 알려옵니다. 때로는 "결제 처리 과정에 오류가 생겼으니 새로 결제해야 한다"거나, 문제를 원격으로 해결하려면 로그인 정보를 알려달라고 요구하기도 합니다. 하지만 절대 전화상으로 로그인 정보나 은행 관련 정보를 알려주어서는 안 됩니다. 통화를 끊고, 반드시 은행이 공식적으로 공개한 번호로 직접 전화해 확인해야 합니다.
2. "저금리 대출" 권유 사기
사기범은 고수익 투자 상품이나 조건 좋은 대출을 내밀며, 서비스 수수료를 선납하거나 개인 금융 정보를 먼저 제공할 것을 요구합니다. 요구하는 금액이 나중에 받을 혜택에 비해 적어 보일 수 있지만, 정상적인 대출 서비스는 선입금을 요구하지 않습니다. 이런 수법에 넘어지지 말고, 개인·사업자 대출이 필요하면 반드시 은행을 직접 찾아가야 합니다. 또한 진짜 투자 기회는 먼저 연락해 오지 않는다는 점도 기억하세요.
3. 메디케어(건강보험) 사기
전화 사기범들의 최우선 표적은 노년층입니다. 미국에서는 메디케어(Medicare) 가입 기간을 노리고 사기범이 메디케어 담당자를 가장해 접근합니다. 피해자의 메디케어 번호와 계좌 정보 등 금융 정보를 수집한 뒤, 이를 이용해 부정 행위를 저지르거나 돈을 가로챕니다. 한국에서도 국민건강보험공단이나 연금 명의로 접근하는 유사한 보이스피싱이 빈번하므로 각별히 주의해야 합니다. 협조하지 않으면 "사회보장번호(SSN)를 정지시키겠다"고 협박하기도 합니다.
4. 세금 환급 사기
이 사기 역시 여러 형태로 변주되지만, 대체로 사전 녹음된 음성 메시지를 사용합니다. "세금 신고에 문제가 있으니 즉시 전화하지 않으면 체포될 수 있다"는 식의 내용이며, 발신번호는 미국 국세청(IRS)인 것처럼 조작되어 있습니다. 이런 사기를 막으려면 IRS가 언제, 어떤 방식으로 연락하고 문제를 어떻게 해결하는지 기본적인 사항을 알아두는 것이 도움이 됩니다.
참고로 IRS는 절대 다음과 같은 행동을 하지 않습니다:
- 선불 직불카드, 기프트카드, 계좌이체 등 특정 결제 수단으로 즉시 납부할 것을 요구하지 않습니다. 일반적으로 IRS는 세금을 체납한 납세자에게 먼저 우편으로 고지서를 발송합니다.
- 납세자가 금액에 대해 이의를 제기하거나 항소할 기회 없이 세금 납부를 강요하지 않습니다. 납세자는 자신의 권리에 대해 안내받을 권리도 있습니다.
- 세금을 내지 않으면 지역 경찰, 이민 당국 등 집법 기관을 불러 체포하겠다고 위협하지 않습니다. 운전면허증, 사업자 면허, 이민 신분을 취소할 권한도 없습니다. 이런 협박은 사기꾼들이 피해자를 속이기 위해 흔히 사용하는 수법입니다.
비싱 사기, 이렇게 알아차릴 수 있습니다
비싱으로부터 스스로를 지키는 가장 좋은 방법은 의심스러운 전화의 징후를 알아보는 것입니다. 비싱에는 항상 단서가 있습니다. 수법은 달라져도 사기범의 목표는 비슷하며, 그 목표를 달성하기 위해 필사적으로 몰아붙입니다. 다음 포인트를 기억하세요.
- 전화 상대가 국세청, 메디케어, 경찰 등 공공기관 담당자라고 주장하는 경우. 연방 기관은 본인이 요청하지 않는 한 일반인에게 전화를 걸지 않으며, 소셜미디어, 이메일, 문자로 먼저 연락하는 일도 없습니다. 이런 기관을 사칭하는 전화가 오면 의심하고 끊은 뒤, 공개된 공식 번호로 해당 기관에 직접 확인하세요.
- 반드시 '긴급함'을 조성한다. 사기의 가장 큰 특징은 겁을 주거나 위협해 당황하게 만들고 즉각적인 행동을 유도한다는 점입니다. 이런 전화를 받으면 침착함을 유지하고, 압박에 흔들리지 마세요. "직접 사무실에 방문해 해결하겠다"고 말하고, 어떤 정보도 제공하지 말고 전화를 끊은 뒤 충분히 조사하세요. 가능하다면 해당 회사의 사기 신고 부서에 제보하는 것도 좋습니다.
- 개인정보를 요구한다. 사기범은 '본인 확인 절차'라는 명목으로 주민등록번호(SSN), 생년월일, 주소, 성명, 계좌 정보 등을 요구합니다. 이렇게 수집된 정보는 금융 사기에 악용되거나 돈을 훔치는 데 사용됩니다.
비싱으로부터 자신을 지키는 방법
비싱의 작동 원리를 아는 것 외에도, 다음과 같은 실천 수칙으로 피해를 예방할 수 있습니다.
- 수신 거부 목록에 전화번호를 등록하세요. 미국의 경우 National Do Not Call Registry에 번호를 등록하면 텔레마케팅 업체의 홍보성 전화를 줄일 수 있습니다. 모든 전화가 차단되지는 않더라도 홍보성 전화가 줄어들면 사기 전화가 개입할 여지도 함께 줄어듭니다. 한국 역시 방송통신위원회의 수신거부 서비스를 활용할 수 있습니다.
- 모르는 번호는 받지 마세요. 전화가 음성사서함으로 넘어가게 두고, 메시지를 확인한 뒤 충분히 검토하고 판단했을 때 다시 전화하세요.
- 느낌이 이상하면 바로 끊으세요. 예의를 지키고 싶다면 잠시 통화를 마무리한 뒤 전화를 끊고 해당 번호를 차단하면 됩니다.
- 안내에 따라 버튼을 누르지 마세요. 자동 응답 메시지가 질문에 대한 답변으로 숫자 입력을 요구하면 절대 따라 하지 마세요.
- 발신자 정보를 확인하고 검증하세요. 콜백 번호를 안내받았다면 해당 회사의 공식 홈페이지에 게시된 번호와 일치하는지 확인하고, 직접 회사에 전화해 실제 담당자가 있는지 문의하세요.
결론
비싱으로부터 자신을 보호하는 방법을 배우는 것은 선택이 아니라 필수입니다. 공격자들은 매우 능숙해서 자신들이 합법적인 기관인 것처럼 믿게 만들기 위해 어떤 수단이든 동원합니다. 하지만 위에서 소개한 수칙들을 기억하고, 무엇보다 전화상으로 절대 개인정보를 알려주지 않는다면 충분히 안전할 수 있습니다. 비싱은 광범위한 피싱 스펙트럼의 한 부분일 뿐이므로, 신뢰할 수 있는 안티 멀웨어 보안 소프트웨어로 온라인 공격까지 함께 대비하는 것이 중요합니다.