은행에서 보낸 것처럼 보이는 이메일로 계좌 관련 알림을 받으면 누구나 쉽게 당황하기 마련입니다. 하지만 그 메일이 진짜일 가능성보다 사기일 확률이 훨씬 높습니다. 은행은 절대 온라인으로 요청하지 않지만, 사기꾼들은 끊임없이 요청하는 대표적인 항목 5가지를 소개합니다.
특히 인터넷뱅킹을 사용한다면 더욱 주의가 필요합니다. 물론 편리하다는 장점이 있지만, 자신의 계좌 정보를 온라인 인터페이스에 맡기는 것을 꺼리는 사람들이 많습니다. 넘쳐나는 사기 사례와 소문만 들어도 불안해지기 쉽고, 심지어 ATM마저 안전하다고 장담할 수 없는 현실이기 때문입니다.
하지만 침착하게 판단하고 주의해야 할 포인트만 알고 있다면, 스스로를 표적이라고 느낄 필요는 없습니다.
1. "PIN 번호를 입력하세요"
"당연한 말 아니에요?"라고 생각하실 수 있습니다. 하지만 사람들은 낯선 가게, 혹은 애초에 신뢰해서는 안 될 곳에서도 PIN 번호를 입력하는 데 점점 무심해지고 있습니다. 현금이 충분하지 않더라도 카드로 결제하는 일에 아무 거부감 없이 지갑을 꺼내는 지인들을 저 또한 여럿 알고 있습니다. 이런 방심은 위험하며, 실제로 영국에서는 2013년 한 해 동안 신용카드 사기 피해액이 4억 5,040만 파운드에 달했습니다(2012년 3억 8,830만 파운드 대비 16% 증가).
다행히 이는 2004~2008년, 매장과 전자상거래를 통한 신용카드 사기가 정점에 달했던 시기의 피해 규모에는 미치지 못합니다.
사기꾼들이 온라인에서 PIN 번호를 넘기도록 속일 가능성은 결코 상상만의 일이 아닙니다. "PIN 번호가 유출되었으니 변경해야 한다"며 진짜처럼 위장할 수 있습니다. 사기꾼들은 흔히 '시간'을 무기로 삼아, 지금 당장 처리해야 하는 긴급한 상황인 것처럼 꾸며, 패닉 상태에서 잘못된 결정을 내리도록 유도합니다.
그러나 PIN 번호를 알아야 하는 사람은 본인뿐입니다. 은행 지점에서 도움을 받을 때도 행원은 고객이 네 자리 숫자를 입력하는 동안 고개를 돌립니다.
2. "이 링크를 클릭해 정보를 입력하세요"
전형적인 피싱(phishing) 사기입니다.
이메일은 충분히 진짜처럼 보일 것이고, 링크된 웹사이트 주소 역시 그럴듯할 수 있습니다. 계좌 확인이나 인터넷뱅킹 정보 변경을 요구하는 경우가 많은데, 절대 링크를 클릭하거나 어떤 정보도 입력하지 마세요. 특히 비밀번호는 더욱 그렇습니다.
혹시 진짜일 가능성이 있다고 생각되면, 새 브라우저 창을 열어 은행 공식 사이트 주소를 직접 입력해 접속하세요(이메일 속 링크는 절대 클릭 금지). 링크 주소가 진짜처럼 보여도 조작된 것일 수 있습니다. 걱정된다면 실제 은행 사이트를 방문하거나 가까운 지점을 직접 찾아가는 것이 가장 안전합니다.
실제로 얼마나 정교한 가짜 로그인 페이지가 만들어지는지 보면 놀라게 됩니다.
피싱에 대응하려면 피싱 차단 기능을 갖춘 백신 소프트웨어를 설치하는 것도 좋습니다. Gmail, Hotmail 같은 이메일 서비스는 이미 의심스러운 메일을 스팸함으로 분류하지만, 항상 빠르게 대응하는 것도 아니고 완벽하지도 않습니다. 더글러스 애덤스의 말처럼, "완전히 바보에게도 통하는 시스템을 설계하려 할 때 사람들이 범하는 흔한 실수는 완전한 바보의 천재성을 과소평가하는 것이다."
3. "이 양식을 다운로드해 작성하세요"
누구나 아는 사실이지만, 신뢰할 수 없는 발신자의 첨부파일을 다운로드하는 것은 절대 금물입니다. 은행 정보와 관련된 파일이든, 포트폴리오나 이력서라고 주장하는 파일이든 마찬가지입니다. 그럼에도 사기꾼들이 여전히 첨부파일을 열어보라고 유도한다는 것은, 아직도 속아 넘어가는 사람들이 있다는 뜻입니다.
무해해 보이는 PDF조차 파일을 잠가버리는 랜섬웨어나 개인정보를 다른 서버로 전송하는 악성 파일을 품고 있을 수 있습니다. 사용하는 모든 비밀번호를 떠올려 보세요. 인터넷뱅킹뿐 아니라 쇼핑몰, 결제 서비스, 소셜미디어, 심지어 이메일까지. 이메일 계정 하나만 뚫려도 다른 계정들의 비밀번호 재설정 링크가 모두 해커 손에 넘어갈 수 있습니다!
실제 사례로, 국립임상연구원(NICE)을 사칭해 "검사 결과를 다운로드하라"는 충격적인 내용의 메일이 유포된 적이 있습니다. 감정을 자극하는 소재였기에 사람들이 속기 쉬웠을 것입니다.
이런 사기성 이메일 대부분은 스팸함으로 분류되어 삭제되지만, 때로는 필터를 빠져나오기도 합니다. 의심스러운 이메일 첨부파일을 가려내는 방법을 미리 알아두는 것이 좋습니다.
4. "시험 거래를 완료해 주세요"
일부 사기꾼들은 잠재적 고객에게 '시험 거래(test transaction)'를 요구하는 이메일을 보냅니다. 자신들 쪽에 기술적 문제가 생겼다거나, 평소 계좌에 의심스러운 활동이 감지되어 자금을 다른 계좌로 옮겨야 한다고 주장하는 식입니다. 물론 송금을 요구하는 계좌는 사기꾼 본인의 계좌입니다.
하지만 은행은 사기가 의심되더라도 고객의 돈을 이체시키지 않습니다. 대신 해당 계좌를 일시 정지하고, 평소 소비 패턴과 다른 결제가 있는지 확인 차 고객에게 연락을 줍니다. 휴가를 떠날 때 미리 알려달라고 은행이 권하는 것도 같은 이유 때문입니다.
온라인으로 자금을 옮기라는 요구는 사기의 전형적인 특징처럼 들리지만, 실제로는 그렇지 않습니다. YouGov 여론조사에 따르면 영국에서 약 400만 명이 이른바 '안전한 계좌'로 자금을 이체할 가능성이 있다고 답했고, 300만 명은 이메일이나 전화로 지시받으면 '시험 거래'를 수행하겠다고 답했습니다. 그리고 전화 얘기라고 하면...
5. "이 번호로 전화해 주세요"
경제범죄 경찰국가조정관 스티브 헤드(Steve Head)는 "범죄자들은 기술 및 인터넷 혁명을 이용해 모든 연령층과 계층을 겨냥한 더욱 정교하고 설득력 있는 사기를 벌이고 있으며, 이러한 사기는 점점 더 전화, 휴대폰, 노트북, 태블릿을 통해 가정으로 직접 전달되고 있다"고 경고했습니다.
은행에서 보낸다는 이메일에 적힌 특정 번호로 전화하라고 요구받더라도 절대 맹신하지 마세요. 최소한 은행 공식 웹사이트를 통해 실제 번호를 독립적으로 확인하세요(당연히 이메일 속 링크는 클릭하지 않습니다). 주소창의 'https://'에 보안을 뜻하는 's'가 포함되어 있는지 확인하는 것도 중요합니다.
정말 은행에 연락해야 한다면, 거래명세서 머리글에 인쇄된 정식 전화번호를 이용하세요. 의심스러운 웹사이트에 표시된 번호보다 훨씬 안전합니다.
비슷한 수법으로, 사기꾼이 이메일을 건너뛰고 직접 전화를 걸어 은행 직원을 사칭하는 경우도 있습니다. 이를 '보이싱(vishing)', 즉 음성 피싱이라고 부르며, 전화로 개인정보를 빼내는 수법입니다. 계좌 정보를 요구하거나, 온라인에서 결제를 승인하라고 유도하기도 합니다. 더 교활한 수법은, 신뢰를 얻기 위해 통화 후 직접 은행에 다시 전화하도록 유도하면서 사기꾼이 끊지 않고 회선에 남아 있는 것입니다.
그렇다면 누구를 믿어야 할까?
결국 중요한 것은 당황하지 않고 어느 정도 회의적인 시선을 유지하는 것입니다.
순간 놓치면 잊기 쉽지만, 사실 은행은 고객의 이메일 주소조차 모를 수 있습니다! 의심이 든다면 시간 여유가 있을 때 가까운 지점을 직접 방문해 확인하세요. 오래된 격언처럼, 미리 안전하게 대비하는 것이 나중에 후회하는 것보다 낫습니다.
사기 이메일을 가려내는 노하우가 있으신가요? 요즘 돌고 있는 사기 수법을 알고 계신가요? 불행히도 피해를 입으신 적이 있으신가요? 댓글로 알려주세요.