공공기관 사칭 스미싱이 4년 새 70배 급증한 이유와 KISA를 통해 내 정보 유출 여부를 확인하는 법을 정리했다.
2022년 1만 7,726건이던 공공기관 사칭 스미싱이 2024년 125만 2,288건으로 뛰었다. 70배 넘는 증가다. 2025년 8월까지 이미 46만 9,052건이 탐지됐고, 최근 4년 누적 경찰 신고는 134만 건을 넘었다. 이 정도 증가 속도라면 "의심 문자 조심하라"는 캠페인 문구만으로는 설명이 안 된다.
지난 8월 26일 한국사회보장정보원이 서울 광진구 무더위쉼터에서 지역주민 대상 개인정보 보호 캠페인을 진행했다. 김현준 원장이 현장을 찾아 의심 문자 링크를 열지 말라는 등 생활수칙을 안내했다. 좋은 취지지만, 이 캠페인이 놓치고 있는 질문이 있다. 왜 하필 지금, 이렇게까지 늘었는가.
안랩의 '2025년 4분기 피싱 문자 트렌드 보고서'를 보면 피싱 문자의 98.89%가 여전히 URL을 삽입하는 방식이다. 그중 금융기관 사칭이 46.93%로 가장 많고, 전 분기 대비 343.6% 늘었다. 숫자만 보면 "링크를 열지 않으면 된다"는 캠페인 수칙이 여전히 유효해 보인다.
그런데 최근 수법의 무게중심은 링크 클릭 자체가 아니라 그 이후로 옮겨가고 있다. 데이터넷이 분석한 진화된 스미싱 시나리오는 이렇다. 공격자가 먼저 "범죄에 연루됐다"거나 "해외에서 결제가 발생했다"는 메시지로 불안을 조성한다. 피해자가 확인을 요청하면, 공식 앱스토어에 등록된 정상 원격제어 앱을 설치하라고 안내한다. 앱 자체는 정상이라 백신도 걸러내지 못한다.
문제는 그다음이다. 원격제어 앱이 연결되면 "단말기 검사"를 명목으로 은행이나 백신을 사칭한 악성 앱을 추가로 설치하게 만든다. 이 악성 앱이 문자메시지 가로채기 권한을 얻으면 2단계 인증(2FA) 문자까지 그대로 탈취된다. 링크 하나 열지 않고도, 사용자가 스스로 설치 버튼을 누르는 매 단계마다 "정상적인 절차처럼" 보이게 설계돼 있다는 게 핵심이다.
가족을 사칭하는 수법도 정교해졌다. "엄마 나 종수야" 식의 오래된 문구에서, 이제는 실제 자녀 이름과 호칭을 정확히 넣어 보내는 사례가 보고된다. 안랩은 이런 일상 위장형 문자의 클릭 유도율을 80%로 추산한다.
캠페인이 답하지 않는 부분이 여기다. 개인정보보호위원회 집계로 2025년 개인정보 유출 신고는 447건, 전년 307건 대비 45.6% 늘었다. 원인은 해킹이 62%(276건)로 가장 많고, 업무과실 25%(110건)가 뒤를 잇는다. 2025년 11월 발표된 쿠팡 유출 사건은 회원 약 3,322만 명과 비회원 434만 명의 정보가 퇴사자 인증키로 5개월 넘게 비인가 조회된 사고였다. 개인정보위는 여기에 역대 최고액인 6,246억 원의 과징금을 부과했다.
이 두 통계는 별개가 아니다. 유출된 이름·전화번호·최근 이용 서비스 정보는 다음 스미싱 문자의 재료가 된다. 앞서 언급한 "실명·호칭 정확도 상승"이 우연이 아니라는 뜻이다. 유출이 쌓일수록 다음 스미싱은 더 정교해지고, 정교해진 스미싱이 다시 계정 탈취와 추가 유출로 이어지는 순환이다. 스미싱 급증의 근본 원인은 개별 발신 번호 하나를 막는 걸로는 끊기지 않는, 이 순환 구조에 있다.
KISA가 운영하는 '털린 내 정보 찾기'(kidc.eprivacy.go.kr)는 인터넷에 불법 유통 중인 아이디·비밀번호가 있는지 확인해주는 서비스다. 약관 동의와 사용자 인증, 리캡챠를 거쳐 자주 쓰는 아이디·비밀번호를 입력하면 유출 여부를 알려준다.
"방금 입력한 비밀번호가 또 어딘가에 남는 것 아니냐"는 의심이 들 수 있다. KISA는 입력한 계정정보를 암호화한 뒤 단순 비교만 수행하고 평문으로 저장·보관하지 않는다고 밝히고 있다. 해시값끼리 대조하는 방식이라, 서비스가 내 실제 비밀번호를 알 필요가 없는 구조다.
스미싱 문자를 발견했다면 118(2번 보이스피싱·스미싱, 4번 불법스팸)로 신고하거나 카카오톡 '보호나라' 채널의 스미싱·피싱 확인 서비스를 이용할 수 있다. 실제 피해가 발생했다면 전자통신금융사기 통합신고대응센터(counterscam112.go.kr)나 112가 창구다.
공공 와이파이는 여전히 위험하다고 알려져 있지만, HTTPS가 기본값이 된 지금은 예전만큼은 아니다. 실제 위험은 "카페 와이파이"라는 장소보다, 관리자 비밀번호를 기본값(admin·0000 등)으로 방치한 공유기 쪽에 가깝다. 공유기 자체가 탈취되면 그 위의 모든 트래픽이 가로채길 수 있어서다. "공공 와이파이에서 금융거래 자제"라는 수칙보다, 집에서 쓰는 공유기 관리자 비밀번호부터 바꾸는 편이 실질적인 방어에 가깝다.
캠페인의 생활수칙 자체는 틀리지 않았다. 다만 지금 늘어나는 피해의 상당 부분은 링크를 여는 순간이 아니라, 신뢰를 얻은 공격자가 안내하는 대로 몇 단계를 따라가는 그 사이에서 발생한다. 의심스러운 문자를 열지 않는 것만큼, 누군가 "확인을 위해 이 앱을 설치하라"고 안내하는 순간을 의심하는 습관이 필요하다.
관련 글: AI 보이스피싱: 당신의 목소리를 복제하는 데 3초면 충분하다
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.