스미싱 공격 흐름과 문자 기반 피싱 대응 방법

문자메시지가 공격 경로가 되는 방식

스미싱(Smishing)은 SMS와 피싱(Phishing)을 결합한 말로, 문자메시지를 매개로 개인정보를 탈취하는 사이버 공격 기법이다. 모바일 기기 사용이 늘면서 2010년대 초반부터 급증했고, 현재는 흔히 접하는 사이버 공격 유형 중 하나가 됐다.

공격자는 은행, 공공기관, 배송업체처럼 신뢰할 만한 기관을 내세워 수신자의 경계심을 낮춘다. 2022년 한국인터넷진흥원(KISA)에 따르면 국내 스미싱 피해 신고는 연간 10만 건 이상 접수됐다.

링크 클릭 뒤에 이어지는 위험 경로

대량 발송된 악성 SMS에는 대개 즉시 확인하거나 처리해야 한다는 식의 긴급한 문구와 URL이 포함된다. 수신자가 링크를 누르면 악성 앱 설치, 피싱 사이트 접속, 금융정보 입력 유도 같은 경로로 이어질 수 있다.

⤢✕

사칭 대상에 따라 달라지는 유인 문구

금융기관 사칭은 은행, 카드사, 보험사 등을 앞세워 보안 인증이나 미납금 확인을 요구한다. 계좌번호, 카드정보, 공인인증서 비밀번호 같은 금융정보가 표적이며, 실제 기관 도메인과 비슷한 주소로 진위를 가리기 어렵게 만든다.

OO은행 보안강화를 위한 인증이 필요합니다. 아래 링크에서 인증해주세요. http://bank-secure.k-verification.com

택배·배송 사칭은 온라인 쇼핑과 연결해 배송 조회나 주소지 확인을 요구한다. 개인정보 입력을 유도하거나 배송조회 앱으로 위장한 악성 앱 설치로 이어질 수 있다.

고객님의 택배가 배송 중입니다. 위치 확인: http://delivery-track.shipping-info.com

공공기관을 사칭하는 메시지는 국세청, 건강보험공단, 경찰청 등 공신력 있는 기관명을 사용한다. 환급금, 과태료 미납, 수사 관련 통지 같은 사유가 대표적이다. 공적 기관에 대한 신뢰 자체가 공격의 재료가 된다.

국세청: 2023년 세금 환급금이 발생했습니다. 확인 및 수령: http://tax-refund.gov-kr.info

지인 사칭은 가족, 친구, 직장 동료인 척하며 전화번호 변경이나 긴급한 금전 요구를 전달한다. 정서적 관계를 악용해 송금을 요구하거나 악성 링크를 공유하게 만든다.

아빠야, 나 폰 고장나서 이 번호로 잠깐 연락중. 급하게 돈 좀 보내줘

코로나19, 재난지원금, 대선처럼 시의성이 높은 사회 이슈도 자주 이용된다. 관심이 큰 주제로 정보 획득 욕구를 자극해 악성 링크 클릭을 유도한다.

코로나19 추가 지원금 신청 시작, 자격 확인: http://covid-support.gov-info.com

URL과 악성 앱에서 확인할 신호

악성 URL은 정부기관의 .go.kr, 은행의 .bank.co.kr처럼 보이는 도메인과 유사한 주소를 사용할 수 있다. bit.ly, tinyurl 등의 URL 단축 서비스로 실제 목적지를 감추거나, 탐지를 피하기 위해 무작위 문자열 기반의 도메인을 생성하기도 한다.

악성 앱은 SMS 열람·발송, 연락처, 저장소 등 광범위한 권한을 요구할 수 있다. 설치 뒤에는 백그라운드에서 정보를 수집·전송하고, 연락처를 이용해 추가 스미싱 메시지를 발송한다. 루팅 또는 탈옥 탐지 우회 기능을 내장해 보안 솔루션의 탐지를 피하는 경우도 있다.

⤢✕

탐지와 차단을 겹쳐 적용하는 방법

휴리스틱 기반 탐지는 환급, 당첨, 인증, 긴급처럼 스미싱에 자주 쓰이는 키워드, URL의 도메인 구조와 단축 URL 여부, 알려진 스미싱 발신번호 데이터베이스를 활용한다.

머신러닝 기반 탐지에서는 NLP로 메시지 내용을 분석하고, 일반적인 문자 사용 패턴과 다른 행동을 이상치로 찾는다. 앱의 비정상적인 권한 요청과 행동 패턴도 탐지 대상이다.

네트워크 단계에서는 알려진 악성 도메인을 DNS 필터링으로 차단하고, 악성 C&C 서버와의 통신을 트래픽 분석으로 확인한다. 암호화된 통신의 악성 패턴을 찾기 위한 SSL 검사도 대응 수단에 포함된다.

정책 측면에서는 사전 등록된 발신번호만 SMS 발송을 허용하고 번호 변작 방지 기술 적용을 의무화하는 방식이 있다. 문자 발송 시 발신자 인증을 요구하고 대량 발송에는 추가 인증 절차를 적용할 수 있다. 국가 간 사이버 범죄 대응 협력 체계와 국제 공조 수사 역시 범죄 조직 추적에 필요하다.

사용자가 끊을 수 있는 공격 고리

출처가 불분명한 문자에 포함된 URL은 열지 않고, 필요한 경우 해당 기관의 공식 웹사이트나 앱을 직접 방문한다. 공공기관과 금융기관의 메시지가 개인 휴대폰 번호로 도착했다면 의심할 필요가 있다.

앱은 Google Play, App Store 같은 공식 앱스토어에서만 설치하고, 요청 권한을 확인해야 한다. SMS·연락처·저장소처럼 과도한 권한을 요구하면 설치를 중단한다. 운영체제와 앱의 보안 업데이트를 정기적으로 실행하고 백신 앱을 최신 버전으로 유지하는 것도 기본 조치다.

긴급성을 과도하게 강조하거나 맞춤법 오류가 있거나, 지나친 혜택을 내세우는 문자는 검증 대상이다. 기관명과 도메인이 일치하는지도 함께 확인한다.

피해가 발생했을 때의 조치

의심 메시지를 통한 피해가 발생하면 KISA 인터넷 침해대응센터(118), 경찰청 사이버안전국(182), 금융감독원 금융소비자보호처(1332)에 즉시 신고한다.

금융정보가 유출됐다면 해당 금융기관에 신고해 카드 또는 계좌를 정지하고, 비밀번호를 바꾼 뒤 이상거래를 모니터링한다. 악성 앱이 설치된 기기는 앱 삭제와 공장 초기화를 고려하며, 필요하면 보안 전문가의 점검을 요청한다.

스미싱은 기술적 수단과 사회공학을 함께 사용한다. 발신자와 링크를 검증하는 습관, 탐지·차단 체계, 정부·기업·개인의 다층적 대응이 함께 갖춰져야 방어가 가능하다.