경찰이 스미싱 조직으로부터 압수한 휴대전화 공기계와 위조 신분증, 범죄 수익금. 사진 서울경찰청
청첩장, 과태료 고지서 등으로 위장한 문자메시지에 첨부된 웹 주소(URL)를 누르면 악성 애플리케이션(앱)이 설치되게 하는 수법으로 피해자들의 돈을 가로챈 국내 최대 규모 스미싱 조직이 경찰에 붙잡혔다. 이들 일당은 1000명 이상의 피해자로부터 약 120억원을 뜯어냈다. 서울경찰청 사이버수사과는 2023년 7월부터 올해 6월까지 국내 피해자를 상대로 스미싱 범행을 벌인 조직의 중국 국적 총책 A씨(38) 등 13명을 검거했다고 26일 밝혔다. 중국 상하이에서 이들에게 범행을 지시한 해외 총책 2명은 인터폴 적색 수배를 내리고 추적하는 중이다. 경찰 관계자는 “해외에 거점을 두고 한국에 조직을 구성한 국제 조직의 국내 총책과 핵심 조직원을 검거해 조직을 와해했다”고 설명했다.
경찰에 따르면 이 조직은 ‘최○○ 자식 결혼식에 참여하시길 바랍니다’, ‘음식물 쓰레기 분리수거 잘못 과태료 고지’ 등의 일상적인 내용이 담긴 문자메시지에 누르면 식장 주소나 고지서를 볼 수 있는 것처럼 보이게 URL을 붙여 피해자들에게 보냈다. 피해자가 URL을 누르면 휴대전화에 악성 앱이 설치되는 전형적인 스미싱 수법이다.
범행에 이용된 스미싱 문자메시지 사례. 자료 서울경찰청
조직은 악성 앱으로 탈취한 피해자의 개인정보와 휴대전화 권한으로 피해자 명의의 유심(USIM·가입자 식별 모듈)을 무단 개통하고 위조 신분증도 만들었다. 이후 피해자의 금융 계좌와 가상자산 거래소 계정에 들어가 재산을 빼냈다. 이번 사건 수사에서 확인된 1000여명의 피해자 중 80% 이상이 ‘50대 이상’ 고령층이었다.
경찰은 피해자 명의로 개통된 휴대전화를 추적해 해당 조직원들이 수도권에 있는 한 아웃렛 쇼핑몰 주차장에서 범행을 저지르고 있다는 것을 파악하고 근처에 잠복하다가 피의자들을 검거했다. 이들은 자동차 안에서 신분증을 위조하고 피해자의 모바일뱅킹 앱에 접속하고 있었다. 현장에서는 수십 대의 휴대전화와 범죄 수익금 4500만원 등이 발견돼 압수했다.
지금까지 미제로 남아 있던 전국의 스미싱 사건 약 900건이 모두 이 조직에 의한 범행이라는 점도 수사 과정에서 확인됐다.
한편 경찰은 이번 수사 과정에서 발견한 본인 인증 체계의 취약점을 통신사와 금융회사 각각 2곳에 공유했다고 밝혔다. 경찰 관계자는 “지인의 청첩장·부고장이라도 문자메시지에 포함된 URL은 절대 클릭하지 말고 통화로 먼저 확인하는 등 경각심을 가져야 한다”며 “디지털 기기 보안에 상대적으로 익숙하지 않은 중·장년이 다수 피해를 봤으므로 각별한 주의가 요구된다”고 지적했다.
