지난 8월 네이버는 지방세 납부시스템인 위택스를 비롯해 경찰청·국세청·청와대 등 정부기관을 사칭해 네이버 아이디와 비밀번호를 빼내려는 피싱 메일이 유포되고 있다며 이용자들에게 주의를 당부했다. 네이버를 사칭한 피싱 시도는 과거에도 여러번 있었으나 이번 피싱 메일은 과거의 조잡한 사기 메일과는 상당히 달라진 면이 있다.
정부기관의 로고를 넣고 사건번호와 법 조항, 담당 부서, 대표전화, 납부기한 등을 실제 공문서처럼 구성했다. 제목 역시 '[위택스] 지방세 전자사서함에 고지서가 도착하였습니다', '[청와대] 민생회복지원금 지급 대상자 안내'처럼 실제 기관에서 보낸 것처럼 정교하게 만들어졌다.
경찰청을 사칭한 메일은 더욱 위협적이다. '출석 요구 최종 통지서'라는 제목으로 수신자가 사이버 명예훼손과 모욕 혐의로 고소됐으며, 정해진 기간 안에 출석하지 않을 경우 체포영장이 청구될 수 있다는 내용까지 담았다. 이런 메일을 받는 순간 대부분의 사람은 한 번쯤 멈칫할 수밖에 없다. '내가 무슨 잘못을 했지?' '혹시 누군가 나를 고소한 것은 아닐까?' '이걸 확인하지 않으면 정말 문제가 생기는 것 아닐까?' 바로 이런 생각의 순간이 피싱범이 노리는 지점이다.
"경찰 출석요구서인 줄 알았습니다"
인천에서 서울로 출근하는 30대 직장인 손 씨는 평소와 다름없이 출근 후 회사 메일을 검색하던 중 이메일 한 통이 수신된 것을 확인했다. 메일을 열어보니 경찰청 로고가 선명하게 들어가 있었고, 사건번호와 담당 부서, 대표전화까지 적혀 있었다. 문서 하단에는 관련 법률 조항과 출석 안내도 있었다.
제목은 '출석 요구 최종 통지서'였다. 손 씨는 순간 당황했다. 평소 법을 어기거나 경찰의 조사를 받을 만한 일을 한 기억이 없었다. 하지만 메일에는 분명 자신의 이름과 함께 사건번호가 적혀 있었다. 무엇보다 '출석하지 않을 경우 불이익이 발생할 수 있다'는 문구가 눈에 들어왔다. 메일 중간에는 '사건 자료 상세열람'이라는 버튼도 있었다.
사건 내용을 확인하기 위해 버튼(링크)을 누르자 익숙한 네이버 로그인 화면이 나타났다. 평소 사용하던 화면과 거의 차이가 없었다. 자신의 이메일 주소까지 미리 입력되어 있었다. 손 씨는 별다른 의심 없이 비밀번호를 입력했다. 그 순간 손 씨가 입력한 정보는 정상적인 네이버 서버가 아니라 범죄자가 만들어 놓은 가짜 사이트로 전달됐다. 손 씨는 여전히 자신이 사건 자료를 확인했다고 생각했다. 하지만 실제로는 사건 자료를 확인한 것이 아니라 자신의 계정 정보를 범죄자에게 넘긴 것이다.
더 큰 문제는 그 다음부터이다. 범죄자는 탈취한 계정을 이용해 이메일 내용을 확인하거나, 다른 서비스에 동일한 아이디와 비밀번호를 사용하는지 살펴볼 수 있다. 이메일 계정에 연결된 다른 서비스의 비밀번호 재설정이나 본인인증 등을 악용해 추가적인 계정 탈취를 시도할 수도 있다. 피해는 하나의 계정에서 끝나지 않는다. 하나의 비밀번호가 열쇠가 되어 여러 개의 문이 차례로 열리는 것이다.
피싱범은 돈보다 먼저 '판단력'을 훔친다.
피싱범죄를 상담하면서 느끼는 점은 범죄자들이 단순히 사람을 속이는 데 그치지 않고 사람의 판단 과정 자체를 설계하고 있다는 것이다. 과거의 사기 전화는 "돈을 보내라"는 요구가 비교적 직접적이었다. 하지만 최근의 피싱은 다르다. 먼저 불안을 만든다. 그다음 신뢰할 만한 기관을 등장시킨다. 그리고 확인해야 할 이유를 제시한다. 마지막으로 피해자가 직접 아이디와 비밀번호를 입력하도록 유도한다.
범죄자가 직접 정보를 빼앗는 것이 아니라 피해자 스스로 정보를 건네도록 만드는 것이다. 그래서 피싱은 단순한 기술 범죄가 아니다. 사람의 심리를 움직이는 심리조작 범죄에 가깝다.
현재까지 손 씨는 피해가 발생하지 않았다고 한다. 하지만 여러 유형의 피싱 범죄에 노출이 되었다며 언제 어떤 피해가 발생할지 모른다며 불안하다고 했다. 피싱범들은 손 씨의 어떤 심리적 약점을 이용하려 했는지 분석해 보겠다.
첫 번째 약점, '권위 편향'(Authority Bias)
피싱범이 경찰청, 검찰, 법원, 국세청, 금융기관 등의 이름을 사용하는 데는 분명한 이유가 있다. 사람은 권위 있는 기관이나 전문가의 말에 상대적으로 더 신뢰를 보내는 경향이 있다. 심리학에서는 이를 '권위 편향'이라고 한다. 똑같은 내용이라도 출처가 불분명한 개인이 보내면 의심부터 하지만, 경찰청이나 국세청이라는 이름이 붙는 순간 사람의 판단 기준이 달라진다. '설마 정부기관을 사칭했겠어?' '기관에서 보낸 메일이니 어느 정도 맞겠지.' 이러한 생각이 경계심을 낮춘다.범죄자는 여기에 기관 로고 하나를 더하고, 실제로 존재하는 법률 조항을 넣고, 대표전화와 담당 부서를 표시한다. 문서의 내용이 진짜인지보다 진짜처럼 보이는 요소를 얼마나 많이 넣느냐에 집중하는 것이다. 피싱 사기에서 중요한 것은 사실이 아니라 피해자가 그것을 사실이라고 믿게 만드는 것이다.
두 번째 약점, '공포와 긴급성'(Fear and Urgency Induction)
피싱 메일에는 유난히 '최종', '미납', '기한', '불이익', '체포', '고소' 같은 단어가 많이 등장한다. 이 역시 우연이 아니다. 사람은 평온한 상태에서는 정보를 비교하고 확인하지만, 갑자기 위험하다는 신호를 받으면 판단의 우선순위가 달라진다. '이게 진짜인가?'보다. '빨리 확인해야 한다' 가 먼저 떠오른다.경찰 출석요구서를 받았다는 생각이 들면 사건의 진위를 확인하기 전에 출석하지 않았을 때 어떤 일이 벌어질지를 걱정한다. 세금 고지서라면 체납에 따른 불이익을 먼저 생각한다. 지원금 안내라면 신청기한을 놓칠까 걱정한다.
결국 범죄자는 피해자에게 생각할 시간을 주지 않는다. 사기범에게 가장 위험한 순간은 피해자가 의심을 시작하는 순간이다. 그래서 범죄자는 끊임없이 재촉한다. '오늘까지 확인하십시오.' '최종 통지입니다.' '미확인 시 불이익이 발생합니다.' '지금 바로 접속하십시오.' 이러한 문장은 단순한 안내가 아니다.
피해자의 판단 시간을 빼앗기 위한 심리적 장치다.
세 번째 약점, '익숙함'(Familiarity Bias)
피싱 사이트가 정상적인 포털이나 금융기관 홈페이지와 거의 똑같이 만들어지는 것도 같은 이유다. 사람은 익숙한 것을 안전하다고 느끼는 경향이 있다. 우리가 매일 사용하는 네이버 로그인 화면과 똑같은 화면이 나타나면 뇌는 그것을 일일이 분석하지 않는다. '내가 평소 보던 화면이다.' 그것으로 판단을 끝낸다.심리학적으로 보면 인간은 모든 정보를 처음부터 끝까지 분석하면서 살아갈 수 없다. 수많은 정보를 빠르게 처리하기 위해 과거의 경험과 익숙한 패턴을 이용한다. 이를 인지적 구두쇠(Cognitive Miser)라는 개념으로 설명할 수 있다.
범죄자는 바로 이 특성을 이용한다. 네이버 로고를 넣고, 익숙한 색상을 사용하고, 로그인 화면을 똑같이 만들고, 피해자의 이메일 주소까지 미리 표시한다. 그러면 피해자는 '이것이 진짜 사이트인가?'를 생각하기보다 '내가 평소 이용하던 사이트구나'라고 판단한다. 화면은 사람을 속일 수 있다. 하지만 인터넷 주소는 반드시 확인해야 한다.
네 번째 약점, '내가 직접 확인했다'는 착각(False Sense of Verification)
피싱범죄가 무서운 이유는 피해자가 범죄자의 지시에 끌려간다는 느낌을 받지 않는다는 데 있다. 범죄자는 "비밀번호를 알려주세요"라고 직접 요구하지 않는다. 대신 이렇게 말한다. '사건 내용을 확인하려면 아래 링크를 클릭하십시오.' 피해자는 스스로 클릭한다. '본인 확인을 위해 로그인하십시오.' 피해자는 스스로 로그인한다. 결국 범죄자는 피해자에게 정보를 빼앗았다는 느낌조차 주지 않는다. 피해자는 자신이 정상적인 절차를 수행하고 있다고 생각한다. 이것이 피싱의 가장 교묘한 부분이다.
피싱 사기는 피해자의 행동을 통제하면서도 피해자가 통제당하고 있다는 사실을 느끼지 못하게 만든다. 권위는 신뢰를 만들고, 공포는 판단을 좁히며, 긴급성은 생각할 시간을 빼앗고, 익숙한 화면은 의심을 잠재운다.
이 네 가지가 동시에 작동하면 평소라면 충분히 의심했을 사람도 순간적으로 판단을 잘못할 수 있다.
하나의 계정이 무너지면 피해는 연쇄적으로 번진다. 특히 이메일이나 포털 계정의 탈취는 단순한 개인정보 유출로 끝나지 않을 수 있다.
이메일에는 개인적인 대화와 업무자료가 저장되어 있고, 여러 온라인 서비스의 가입정보가 남아 있다. 또 다른 사이트의 비밀번호를 재설정하거나 본인확인을 하는 수단으로 이메일이 활용되기도 한다.
여기에 여러 사이트에서 동일하거나 유사한 비밀번호를 사용하는 습관까지 더해지면 문제가 커진다. 범죄자가 하나의 계정을 확보한 뒤 다른 서비스로 침투를 시도할 가능성이 있기 때문이다.
이승환 경감의 조언
"링크를 누르기 전에 10초만 멈추십시오."피싱 피해를 예방하기 위해 필요한 것은 복잡한 보안 기술이 아니다. 멈추는 습관이다. 경찰, 검찰, 법원, 국세청, 금융기관 등 공공기관을 사칭한 메시지를 받았다면 그 내용이 아무리 그럴듯하더라도 메일에 포함된 링크는 누르지 말아야 한다.
특히 '출석', '체포', '고소', '세금', '지원금', '환급'처럼 감정을 자극하는 내용이라면 더욱 그렇다. 오히려 그런 문구가 보이는 순간 한 번 멈춰야 한다. 그리고 해당 기관의 공식 홈페이지나 공식 앱을 직접 찾아 들어가 사실 여부를 확인해야 한다. 메일에 적힌 전화번호를 그대로 믿기보다 공식 홈페이지에서 확인한 대표전화로 문의하는 것이 안전하다. 로그인 화면이 나타났다고 해서 정상적인 사이트라고 판단해서도 안 된다. 화면은 얼마든지 복제할 수 있다.
네이버와 똑같은 화면도 만들 수 있고, 정부기관의 로고와 문서 양식도 복제할 수 있다. 피해자가 직접 확인해야 하는 것은 화면이 아니라 인터넷 주소다. 주소창의 도메인이 실제 공식 사이트인지 확인하는 습관이 필요하다.
만약 가짜 사이트에 아이디와 비밀번호를 입력했다면 즉시 공식 경로를 통해 비밀번호를 변경하고, 같은 비밀번호를 사용하는 다른 사이트가 있다면 함께 변경해야 한다. 가능하다면 2단계 인증 등 추가적인 보안수단을 설정하는 것도 도움이 된다.
의심스러운 메일이나 문자라면 삭제하기 전에 발신자 주소와 URL, 메일 내용 등을 캡처해 두는 것도 좋다. 피해 신고나 수사 과정에서 중요한 단서가 될 수 있기 때문이다. 그리고 무엇보다 중요한 것은 혼자 판단하지 않는 것이다. 경찰에서 연락이 왔다면 경찰에 직접 확인하고, 세금 문제라면 세무 관련 공식기관에 확인하면 된다.
사기범이 가장 싫어하는 것은 피해자가 다른 사람에게 묻는 것이다. "이거 진짜 맞아?" 이 한마디가 사기범죄를 중단시키는 강력한 방어선이 될 수 있다.
사기범에게 가장 필요한 것은 '당신의 비밀번호'가 아니다. 그보다 먼저 당신이 의심하지 않는 상태를 필요로 한다. 그래서 사기범은 사람의 판단을 먼저 무너뜨리려고 한다. 공포를 만들고, 권위를 빌리고, 익숙한 모습을 보여주고, 시간을 재촉한다. 그리고 마지막에 피해자가 스스로 행동하도록 만든다.
결국 피싱범죄의 핵심은 기술이 아니다. 사람이 생각하기 전에 행동하도록 만드는 것이다. 우리는 흔히 사기를 당하지 않으려면 '의심해야 한다'고 말한다. 하지만 의심만으로는 충분하지 않다. 더 중요한 것은 의심할 시간을 확보하는 것이다. 경찰 출석 요구를 받았더라도 바로 클릭하지 말고, 세금 고지서를 받았더라도 바로 로그인하지 말고, 지원금 안내를 받았더라도 바로 개인정보를 입력하지 말아야 한다. 먼저 휴대전화를 내려놓고 10초만 생각해 보자. '정말 내가 받아야 할 연락인가?' '왜 이메일로 이런 내용을 보냈을까?', '이 링크가 정말 공식 사이트인가?' 이 짧은 10초가 피해를 막을 수 있다.
피싱범죄를 예방하는 가장 강력한 보안수단은 최신 기술도, 복잡한 프로그램도 아닌 '한 번 멈추는 습관'이다. 급할수록 바로 누르지 말자.
놀랄수록 혼자 판단하지 말자. 그리고 무엇보다 메일 속 링크보다 공식 경로를 먼저 믿자.
사기범에게 생각할 틈을 빼앗기지 않는 것. 그것이 피싱범죄를 막는 가장 현실적이고 강력한 첫 번째 방어선이다.
※ 외부 필진 기고는 CBS노컷뉴스의 편집방향과 다를 수 있습니다.