많은 사기는 의외의 경로로 다가옵니다. 은행을 사칭하는 이메일이나 갑자기 화면을 가득 채우는 팝업처럼 말이죠. 우리는 평소 사용하는 앱과 웹사이트가 사기를 던지지 않으리라 믿지만, 방심하는 순간 속임수에 넘어갈 수 있습니다.
최근 저는 평소 사용하던 금융 서비스에서 사기성 알림을 받았습니다. 해당 서비스의 시스템이 침해되면서 누군가 마치 정식 공지처럼 보이는 가짜 메시지를 사용자들에게 뿌릴 수 있었던 것입니다. 다행히 저는 열어볼 생각조차 하지 않았지만, 많은 사람들이 속았을 것이라 확신합니다. 안전을 위해 언제나 회의적인 시선을 유지해야 한다는 값진 교훈이었습니다.
처음에는 수상하다고 느껴지지 않았습니다
어차피 관심이 없었죠
저는 오랫동안 투자와 저축을 위해 '베터먼트(Betterment)'라는 서비스를 이용해 왔습니다. 휴대폰 알림은 대부분 꺼두지만, 금융 서비스 앱은 입금 완료 여부 등을 알아야 하기 때문에 켜두고 있습니다. 알림은 알림 센터로만 가도록 설정해 두어, 제가 원하는 시간에 여유 있게 확인할 수 있습니다.
몇 주 전, 베터먼트에서 암호화폐 관련 프로모션을 알리는 알림을 받았습니다. 첫 줄만 보고 바로 밀어서 지웠습니다. 저는 암호화폐에 관심이 없고 사용한 적도 없거든요. (알림 내용은 확인하지만 대부분 조치가 필요 없기 때문에 빠르게 스와이프해서 정리하는 편입니다.)
플랫폼 자체가 암호화폐 투자 기능을 제공하기는 하지만, 저는 사용해 본 적이 없습니다. 게다가 베터먼트는 친구 추천 시 고금리 저축계좌(HYSA)의 APY를 올려주는 등 정상적인 혜택 알림도 종종 보내곤 했습니다. 그래서 당시에는 그 알림을 특별히 의심하지 않았습니다.
그런데 며칠 후, 베터먼트가 사용자들에게 사기성 알림을 발송했다는 이야기가 온라인에 올라오기 시작했습니다. 그제야 무슨 일이었는지 깨달았고, 무시하고 지나갔길 잘했다는 생각이 들었습니다.
전형적인 '돈 불려주기' 사기
공짜 돈을 주는 사람은 없습니다
알림을 미처 자세히 읽기 전에 지워버렸기 때문에, 사기 문구 전문은 온라인에서 처음 접했습니다.
사기 메시지의 제목은 "We'll triple your crypto! (Limited Time)"(암호화폐를 3배로 불려드립니다! 한정 기간)였습니다. "베터먼트가 고객님께 보답합니다"라며 몇 시간 동안 예치금을 3배로 불려준다는 내용이었죠. 지정된 주소로 돈만 보내면 3배 금액을 즉시 되돌려준다고 했습니다.
누구나 즉시 알아챌 수 있는 전형적인 사기입니다. "10만 원을 주면 20만 원으로 돌려줄게요"라는 말을 현실에서 듣는다면 우스꽝스러운 속임수라고 생각할 겁니다. 이것은 그저 디지털 버전일 뿐입니다. 돈을 두 배, 세 배로 불려주겠다는 제안을 본다면 무조건 무시하세요. 지정된 곳으로 돈을 보내는 순간 그 돈은 끝이며, 아무것도 돌려받지 못합니다.
베터먼트의 경우, 이른바 '혜택'을 분석해보면 또 다른 위조 신호가 드러납니다. 만약 금융 서비스가 예치금에 대한 보너스를 제공한다면, 얼마를 예치해야 하는지, 언제 보너스를 받을 수 있는지 등 명확한 조건을 안내합니다.
낯선 지갑 주소를 알려주거나 '돈을 되돌려 보내주겠다'는 식의 제안은 절대 하지 않습니다. 대신 회사는 일정 기간이 지난 후 고객 계좌에 직접 입금하는 방식을 사용합니다. 계좌 개설 후 웰컴 보너스를 지급하는 은행들의 방식이 대표적입니다.
또 하나의 전형적인 사기 신호(현대의 사기 이메일에서도 마찬가지)는 신중하게 생각할 시간을 주지 않으려고 서두르게 만드는 것입니다. 진짜 한정 기간 혜택이 단 몇 시간 만에 끝나는 일은 없으며, 어떤 회사도 돈을 '즉시 되돌려주지' 않습니다.
이미 본 적 있는 사기
아쉽게도 이번이 처음이 아닙니다
사건이 발생한 후, 베터먼트는 공식 설명 페이지를 공개했습니다. 베터먼트가 마케팅에 활용하는 제3자 플랫폼에 누군가 접근 권한을 얻었다는 내용이었습니다. 소셜 엔지니어링을 통한 침해였으며, 직원 한 명이 속임수에 넘어갔을 가능성이 큽니다.
다행히 알림을 열었다고 해서 위험해지는 구조는 아니었고, 회사 조사 결과 무단 계정 접속은 없었습니다. 다만 이메일 주소, 전화번호, 생년월일 같은 개인 정보가 유출되었습니다.
우리가 들어본 적 있는 유형의 사건입니다. 신뢰할 수 있는 회사의 내부가 공격당하면, 공격자는 인증된 시스템 접근 권한을 이용해 자신의 범행을 정상적으로 보이게 만듭니다. 2025년 12월에는 그럽허브(Grubhub)를 통한 유사한 사기가 있었는데, 사용자들은 회사의 실제 이메일 주소에서 발송된, 가짜 '10배 프로모션'을 광고하는 메일을 받았습니다.
더 거슬러 올라가 2020년 7월에는 트위터에서 광범위한 형태의 이 사기가 벌어졌습니다. 회사 내부 관리자 도구가 침해되면서 공격자들이 '돈 두 배 불려드립니다' 사기를 검증된 주요 계정 수십 개에 게시할 수 있었습니다. 애플, 버락 오바마, 빌 게이츠의 계정도 포함되었습니다.
온라인의 어떤 것도 100% 믿지 마세요
온라인 광고의 이런 사기에 넘어가지 않을 사람이라도, 알림이 신뢰하는 곳에서 온다면 발을 디딜 수 있습니다. 이번 사건에는 동일한 '혜택'을 담은 이메일도 포함되어 있었는데, 이 역시 실제 베터먼트 이메일 주소에서 발송되었습니다.
잘 알고 있다고 생각하는 대상이라도 온라인의 모든 것을 무비판적으로 신뢰해서는 안 된다는 중요한 교훈입니다. 시스템은 언제든 침해될 수 있으며, 가짜 메시지가 어디서 날아올지 아무도 알 수 없습니다.
이번 사례에서는 정상적인 베터먼트 공식 채널이 사기 전파에 악용되었습니다. 비판적으로 생각하는 사람이라면 흔한 사기 패턴임을 알아챘겠지만, 발신자를 신뢰하면 그 판단력은 쉽게 흐려집니다.
알림 때문에 무언가를 하기 전—특히 돈과 관련된 일이라면 더욱—멈춰서 한 번 생각해 보세요. 온라인에서 다른 사람들이 어떤 반응을 보이는지 검색해 보고, 침해 가능성이 낮은 다른 경로로 회사에 직접 확인하세요. 행동을 미루는 것을 후회하는 일은 드물며, 정당한 금융 문제가 몇 시간 안에 처리돼야 하는 경우는 거의 없습니다.