진화하는 피싱 범죄...더 구체적이고 세밀해진다

[디지털투데이 강진규 기자] 경찰, 법원, 은행 등 누구나 아는 대형 기관을 사칭하던 피싱 범죄자들이 최근 더 구체적이고 세부적인 기관, 부서 등을 사칭하고 있다. 그런 기관들을 사칭하지는 않을 것이라는 고정관념을 노리고 있어 주의가 필요하다는 지적이다.

12일 정부 관계자들에 따르면 조달청 나라장터에 사업 공고를 내는 기관들이 비상이 걸렸다. 피싱 범죄자들이 공고를 보고 여러 기관들의 직원을 사칭하는 사례가 무더기로 적발되고 있기 때문이다.

11일 영화의전당은 나라장터 기관별 공지를 통해 직원을 사칭해 상품 가입을 유도하거나 개인정보를 요청하는 사례가 발생했다며 주의를 당부했다.

10일에는 국립정신건강센터, 한국문화예술교육진흥원, 동대문문화재단, 국립현대무용단, 인천광관공사, 농림수산식품교육문화정보원, 한국문화예술위원회, 한국영상자료원, 한국보건의료정보원 등이 사칭 사례가 발생했다고 밝혔다.

9일에는 아동권리보장원, 대전디자인진흥원, 국토정보공사, 지역문화진흥원이 사칭 전화 주의를 당부했다. 

5일에는 한국해양조사협회, 국민건강보험공단이 4일에는 수도권매립지관리공사가, 2일에는 한국어촌어항공단, 춘천문화재단 등이 사칭 사건 발생을 알려졌다.

지금까지 피싱 범죄자들은 경찰, 법원, 금융감독원, 은행 등을 사칭해서 사기를 치거나 개인정보 입수, 해킹을 시도했다. 이에 피싱 피해 예방 교육도 이들 기관 직원 사칭에 초점이 맞춰졌다. 그런데 지금 과연 이런 곳을 범죄자들이 사칭하겠는가 생각할 수 있는 구체적이고 세부적인 일선 기관들을 사칭하고 있는 것이다.

이는 다른 영역에서도 나타나고 있다. 지난달 말 법무부는 직원을 사칭한 보이스피싱 의심 사례가 발생했다며 주의를 당부했다. 그런데 이번 법무부 공지는 과거와 다른 점이 있었다. 범죄자들이 단순히 법무부를 사칭한 것이 아니라 출입국심사과, 국제형사과, 고객지원센터, 외국인종합안내센터를 사칭하고 부서 전화번호까지 표출했다. 해당 부서 담당자 이름까지도 사칭한 것으로 알려졌다. 사칭 수준이 매우 디테일해진 것이다.

한국인터넷진흥원(KISA)에서도 비슷한 사례가 발생했다. 과거 범죄자들은 KISA 직원을 사칭해 해킹 피해가 발생했다며 개인정보를 요구하거나 해킹을 시도한 바 있다.

그런데 KISA가 최근 공지한 내용에 따르면 범죄자들이 KISA의 블록체인누리단 운영사무국을 사칭하는 이메일을 배포했다. 블록체인누리단은 KISA의 블록체인 지원 사업 등을 알리는 역할을 수행하고 있다. 

전문가들은 범죄자들이 사칭 수법을 바꾸고 있는 것으로 우려하고 있다. 국민들이 경찰, 법원, 은행 등을 사칭하는 수법을 인지하게 되면서 범죄자들이 사칭일 것이라고 생각하지 못할 기관들과 부서를 흉내 내고 있다는 것이다. 문제는 구체적이고 세밀한 사칭 수법이 국민들의 개인정보와 결합될 경우 개인 맞춤형 피싱 공격이 확산될 수 있다는 지적이다. 

전문가들은 어떤 전화나 이메일을 받더라도 금품이나 개인정보를 요구하거나 금융거래를 유도하는 경우 절대로 응하지 말고 해당 기관에 따로 연락해 확인해야 한다고 조언하고 있다. 또 특정 사이트 방문이나 링크 클릭, 앱 또는 파일 다운로드 등을 요구하는 경우 피싱을 의심해야 한다고 지적하고 있다.