“모바일 청첩장이 도착했습니다. 확인해 보세요.”
“택배 주소지 불일치로 배송이 보류되었습니다. 주소를 수정해 주세요.”
이런 문자 메시지를 받으면 무심코 파란색 웹 링크(URL)를 누르기 쉽습니다. 과거의 스미싱 문자는 어색한 맞춤법이나 번역투 문장으로 쉽게 구별할 수 있었지만, 최근의 수법은 지인의 이름으로 발송된 부고장, 건강검진 결과 통보, 과속 범칙금 고지서 등으로 정교하게 위장합니다.
단순히 링크를 누르는 것만으로 끝나는 시대도 지났습니다. 피해자 모르게 스마트폰에 악성 APK(앱 설치 파일)가 깔리고, 통화 가로채기와 금융 인증서 탈취를 실행하는 악성 앱이 작동하기 시작하면 통장 잔고가 순식간에 빠져나갑니다. 날로 교묘해지는 모바일 스미싱의 침투 메커니즘과 함께, 내 스마트폰을 지키기 위해 지금 당장 적용해야 할 필수 보안 설정 3가지를 정리해 드립니다.
진화하는 모바일 스미싱의 3단계 침투 메커니즘
최근 발생하는 모바일 금융 사기는 단순 낚시성 문자가 아니라 치밀하게 설계된 해킹 시나리오를 따릅니다.
| 침투 단계 | 주요 수법 및 증상 | 위험도 및 공격자의 목적 |
| 1단계: 심리적 미끼 문자 발송 | 모바일 부고장, 청첩장, 도로교통공단 과태료 조회, 택배 배송 오류 위장 문자 | 수신자가 의심 없이 링크(축약 URL)를 누르도록 유도 |
| 2단계: 악성 앱(APK) 강제 다운로드 | 포털 로그인 화면이나 정부 기관 앱을 정교하게 모방한 가짜 피싱 사이트 연결 | 스마트폰 브라우저 취약점을 파고들어 비공식 설치 파일 다운로드 유도 |
| 3단계: 원격 제어 및 통화 가로채기 | 화면 제어, 마이크 도청, 금융사·경찰청 수신 전화 가로채기, SMS 인증번호 탈취 | 피해자가 은행이나 경찰(112)에 확인 전화를 걸어도 사기 조직으로 연결 |
특히 3단계의 ‘전화 가로채기(Call Interception)’는 가장 치명적인 수법입니다. 악성 앱이 스마트폰의 권한을 장악하면, 피해자가 사기임을 눈치채고 금융감독원(1332)이나 경찰에 확인 전화를 걸어도 사기 조직의 콜센터로 통화가 강제 우회됩니다. 가짜 경찰이나 금감원 직원이 전화를 받아 “사건이 접수되었으니 안심하라”며 피해자를 안심시키고 대출 실행이나 예금 이체를 종용하는 방식입니다.
스마트폰을 지키는 필수 보안 설정 1: 출처를 알 수 없는 앱 설치 및 보안 위험 자동 차단
스미싱 사기의 90% 이상은 구글 플레이스토어나 삼성 갤럭시 스토어가 아닌, 웹 브라우저 링크를 통해 내려받은 ‘출처를 알 수 없는 APK 파일’이 스마트폰에 설치되면서 시작됩니다. 이 통로를 원천 봉쇄하는 것이 방어의 기본입니다.
- 갤럭시(삼성 원UI) 보안 위험 자동 차단 활성화:
- 경로: [설정] ➔ [보안 및 개인정보 보호] ➔ [보안 위험 자동 차단(Auto Blocker)]을 ‘사용 중’으로 켭니다.
- 이 기능을 켜두면 신뢰할 수 없는 출처의 앱 설치가 전면 금지되며, 악성 소프트웨어 활동 검사와 USB 케이블을 통한 악성 명령어 전송이 자동으로 차단됩니다.
- 출처를 알 수 없는 앱 설치 권한 회수:
- 크롬(Chrome), 삼성 인터넷 등 웹 브라우저 앱 설정에서 ‘출처를 알 수 없는 앱 설치’ 권한을 반드시 ‘허용 안 함’으로 잠가두어야 합니다. 사용자가 실수로 다운로드 버튼을 누르더라도 스마트폰이 설치를 스스로 거부합니다.
스마트폰을 지키는 필수 보안 설정 2: RCS 안심마크 확인과 스팸 필터링 강화
사기범들은 일반 번호나 인터넷 발신(070) 문자로 대량 발송을 시도합니다. 메시지 앱 자체의 식별 기능을 활용하면 대부분의 미끼 문자를 사전에 걸러낼 수 있습니다.
- 공공기관·기업 RCS 안심마크(체크 표시) 확인:
- 공공기관(경찰청, 국민건강보험공단 등)이나 카드사, 택배사에서 보내는 정상적인 안내 문자는 기업 로고 옆에 파란색 ‘확인된 발신번호(안심마크)’가 붙습니다. 안심마크가 없는 일반 문자에 포함된 인터넷 주소는 절대 누르지 않는 것이 안전합니다.
- 문자 내 URL 미리보기 해제:
- 메시지 앱 설정에서 ‘웹페이지 미리보기’ 기능을 꺼두세요. 악성 링크 중에는 미리보기 데이터를 불러오는 과정에서 스마트폰의 브라우저 캐시나 기기 정보를 긁어가는 변종이 존재합니다.
- KISA 스팸 차단 설정:
- 통신사에서 기본 제공하는 ‘스팸 차단’ 무료 부가서비스를 신청하고,
국제발신,web발신문구와 함께 자주 악용되는 키워드(부고, 청첩장, 과태료, 배송불가)를 차단 문구로 사전 등록해 두는 것이 효과적입니다.
- 통신사에서 기본 제공하는 ‘스팸 차단’ 무료 부가서비스를 신청하고,
스마트폰을 지키는 필수 보안 설정 3: 경찰청 권장 보안 탐지 앱과 2단계 인증
이미 의심스러운 링크를 눌렀거나 가족 중 스마트폰 사용이 미숙한 어르신이 계신다면 전문 탐지 도구와 계정 잠금이 필수적입니다.
- ‘시티즌코난(경찰청 공식 악성 앱 탐지기)’ 상시 검사:
- 경찰대학 스마트치안지능센터에서 개발한 ‘시티즌코난’ 앱은 보이스피싱에 쓰이는 전화 가로채기 앱, 원격 제어 앱(TeamViewer 변종 등), 금융기관 사칭 앱을 전문적으로 스캔해 냅니다.
- 일반 백신이 미처 등록하지 못한 최신 변종 악성 앱도 높은 확률로 찾아내므로, 의심스러운 상황이 발생했을 때 즉시 실행해 스마트폰을 정밀 검사해야 합니다.
- 구글 및 삼성 계정 2차 인증(OTP) 활성화:
- 스마트폰에 악성 앱이 침투하더라도 공격자가 계정 내부의 백업 데이터나 저장된 비밀번호를 통째로 빼가지 못하도록, 모든 중요 계정에는 문자 인증이 아닌 전용 인증기(Google Authenticator 등) 기반 2단계 인증을 걸어두어야 합니다.
이미 악성 링크를 눌렀다면? 골든타임 대처 요령
만약 문자에 포함된 링크를 누르고 알 수 없는 파일까지 설치했다면 당황하지 말고 아래 3단계를 초단위로 신속하게 실행해야 합니다.
- 비행기 탑승 모드(에어플레인 모드) 즉시 실행: 와이파이와 모바일 데이터를 즉시 차단해 해커의 원격 제어 명령과 데이터 유출 통로를 물리적으로 끊어냅니다.
- 다른 유선 전화나 지인의 스마트폰으로 금융 거래 정지: 피해 스마트폰은 전화 가로채기 상태일 수 있으므로 반드시 다른 전화기를 사용해 거래 은행 콜센터나 금융결제원 ‘계좌정보통합관리서비스(어카운트인포)’에 접속해 ‘본인 계좌 일괄지급정지’를 신청합니다.
- 기기 초기화(공장 초기화): 악성 앱은 시스템 깊숙한 루트 권한에 숨어드는 경우가 많아 수동 삭제가 불가능할 때가 많습니다. 필요한 개인 사진이나 문서를 클라우드가 아닌 오프라인 저장 장치로 백업한 뒤 스마트폰을 초기화하는 것이 가장 깔끔한 해결책입니다.