몇 주 전부터 갑자기 주식 리딩방 등의 스팸문자 유입이 급증했습니다. 차단을 해도 차단을 해도 다른 번호로 잇따라 들어오고 있는데요. 하루에 많게는 수십 건까지도 들어올 정도입니다. 일각에서는 "부모님보다 리딩방 업자가 나를 더 걱정하는 것 아니냐"는 우스개소리도 나왔는데요. 

한국인터넷진흥원(KISA)에 따르면, 6월 1일부터 17일까지 접수된 스팸 신고 건수는 거의 2,800만건으로 전달 동기(1,988만건) 대비 40%나 증가했습니다. 특히 주식 투자, 도박, 스미싱 문자가 대부분이었습니다.

심지어 지난 2022년과 비교하면 수치는 더욱 어마어마한 차이로 나타납니다. 지난해 하반기의 휴대전화 스팸 신고/탐지 건수는 2022년과 비교해 약 8배가 증가했으며, 이용자 월간 스팸 수신량은 2023년 상반기와 비교해 2023년 하반기에는 44.6%가 증가한 10.38통으로 나타났고, 대량 문자 발송서비스의 스팸 비중은 지난해 상반기 97.3%에서 하반기에는 97.9%로 반기 평균 0.3%가 증가했습니다.

대량문자 발송 업체 해킹으로 인한 정보 유출

번호를 아무리 차단해도 스팸 문자 전송 자체가 중계기 조작을 통해 가짜 번호를 만들어 보내는지라 별 효능이 없고, '쥬식'이나 '리딩뱡'처럼 묘하게 한 글자씩 바꾸거나 '주.식', '리☆딩☆방'처럼 특수문자를 섞어 넣어서 키워드 차단을 회피하기도 합니다. 

경찰 관계자는 "이번 사건에 대해 해외에 서버를 두고 있는 데다 해킹된 개인정보 DB 거래가 다크 웹에서 이뤄져 단속 및 적발이 쉽지 않다"고 인터뷰했습니다. KISA의 발표에 따르면, 최근 일부 대량문자 발송 위탁업체와 문자 재판매사가 해킹된 사실이 확인되었다고 합니다. 통상 문자 재판매사 해킹이 한 두건에 불과했는데, 최근에는 대규모 해킹이 발생하여 이 데이터베이스가 거래되고 있는 것으로 추정되는데요.

현재 중앙전파관리소에서 파악한 인터넷 대량 문자 발송 업체, 특수부가사업자는 2024년 5월 기준 1,184개소로 전국 10곳의 전파관리소에 각각 분산되어 등록되어 있습니다. 

그런데 이 업체들도 문제가 있습니다. 해킹이 아닐 수도 있다는 겁니다. 대량 문자 발송 시장은 통신사 등 주요 중계 회사와 문자 발송을 원하는 업체 사이에 재판매 사업자가 개입하여 영업하는 구조인데요. 경쟁이 심해지다보니 대놓고 불법 영업을 하는 사례도 늘고 있습니다.

스팸차단을 위한 다양한 대책과 한계 

실제 텔레그램을 통해 영업 채널을 버젓이 운영하고 있으며, "원하는 문구가 이동통신 3사 휴대전화에서 스팸 처리되지 않는지, 테스트까지 해준다", "스팸 차단에 걸리지 않도록 문자 내용을 수정해준다", "돈 벌려면 스팸 보내야 된다"라는 이야기가 업계에서 나돌고 있을 정도입니다. 

경찰 또한 워낙 이런 불법 영업이 만연하고 있는 상황인지라 해킹 신고가 정말인지도 미심쩍다는 반응입니다. 한 보안 관계자는 "막을 수 없었던 해킹인지, 아니면 소위 말하는 도둑놈 들어오라고 문 열어놓고 그거 해킹이라고 이야기하는 사업자도 있으니까요. 실제로 있습니다."라며 의도적으로 보안 취약점을 유출, 불법 영업을 했다고 말하기도 했습니다.

20일 방송통신위원회는 불법 스팸 문자 발송률이 높은 문자중개사와 문자 재판매사의 법적 의무 위반 여부를 조사하기 위한 긴급 현장점검을 수행, 방통위는 지난 2일 대량문자 발송 서비스를 하려는 사업자에게 심사를 거쳐 자격을 부여하는 '전송 자격 인증제'를 도입하기도 했습니다. 하지만 업계 자율 운영이 원칙이라 큰 효용이 있을지는 의문입니다. 심지어 올해 5월까지 불법 스팸 사업자에게 부과한 과태료 512억 원 중 받아낸 돈은 11억 원, 약 2%에 불과할 정도입니다. 

이승진 방송통신 이용자보호협회 사무국장은 "과태료 처분은 (불법) 스팸 보낸 날로부터 수개월 후에 날아가는데 그때는 스팸 보낸 사람은 다 도망가고 없고…"라며 이들 업체가 하는 텔레그램 불법 영업이 일종의 '떳다방'처럼 운영되기 때문이라고 언급했습니다. 

한편 KISA는 하반기부터 삼성전자 휴대전화에 '악성문자 필터링 서비스'를 도입, KISA의 스팸신고 분석 데이터를 기반으로 스팸 문자를 자동 필터링하는 기능을 추가하겠다고 밝혔습니다만, 다른 OS를 사용하는 휴대전화엔 접근하기 힘든 상황이죠.

보이스피싱, 스미싱 피해로 이어지는 개인정보 유출 

이런 개인정보 데이터베이스의 유출은 더 큰 잠재적 피해로 이어집니다. 바로 전 국민이 사용하고 있는 카카오톡과 같은 SNS 메신저입니다. 번호를 알면 친구 추가를 할 수 있는데, 친구 추가를 하면 확인 가능한 사용자 프로필에서 이름과 같은 신상정보를 입수, 보이스피싱/협박전화 공격을 가하는거죠. 

실제 지난 4월, JTBC 보도에 따르면 보이스피싱 일당은 자신을 피해자가 이전에 방문했던 '스웨디시 마사지 가게 사장'이라고 소개, 퇴폐 영상을 유포하겠다며 "자신이 흥신소를 운영하고 있어 본인 신상뿐만 아니라 가족·지인 연락처 60개 정도 미리 확보했다. 입금을 하지 않으면 지인들에게 영상을 뿌리겠다"고 협박하기도 했습니다. 이들이 활용한 공격 방식이 바로 SNS 프로필을 통한 정보 입수였던 것입니다.

스미싱 공격 역시 기승을 부리고 있습니다. 지난 2023년 11월 17일 이스트시큐리티 대응센터가 발표한 '스미싱 트렌드'에 따르면, "라인 ID를 추가해 달라"는 광고성 스팸전문자가 다수 발송된 흔적을 파악했다고 합니다. 

ESRC 측은 "계정을 추가하면 투자 매니저를 사칭해 투자 리딩방 가입을 유도하는 것으로 확인됐다"면서 "그러나 언제 악성 앱을 유포할지 모르기 때문에, 낯선 사람의 계정은 추가하지 않도록 해야 한다"고 당부하기도 했습니다. 이런 스미싱 문자에는 악성 링크(URL)가 포함돼 있으며, 클릭시 정상 페이지로 위장한 피싱 페이지로 이동, 개인정보 입력을 유도하거나 악성 어플리케이션을 설치할 것을 유도하여 최종적으로 사용자의 스마트폰을 장악하게 되는데요.

악성 어플리케이션 등을 통해 피해자의 SMS, 설치돼 있는 앱 리스트, 연락처, 위치정보, 통화목록, 기기 정보 등을 훔쳐냅니다. 뿐만 아니라 통화 발신·착신·가로채기·강제종료, SMS 읽기·보내기·가로채기, 연락처 삭제·추가·변경, 실시간 도청 등과 같은 기능도 수행할 수 있죠. 이렇게 민감한 개인정보가 유출되면 유출될수록 앞서 언급한 보이스피싱 공격은 더욱 정교해지게 됩니다.

정보유출과 피해 방지를 위한 기본적인 대비책 

이러한 공격에서 피해를 입지 않기 위해서는 카카오톡 설정에서 "전화번호로 친구 추가 허용 옵션"을 비활성화 하는 것으로 어느 정도 차단할 수 있습니다. 또한 문자 메세지 내 첨부된 링크의 클릭을 해선 안되며, 링크를 통해 자동으로 내려오는 apk(안드로이드 응용 프로그램 패키지) 설치를 피해야 합니다. 

또한 링크를 통해 접근한 피싱 페이지에서 개인정보를 입력하지 않아야 합니다. 또한 협박범들의 전화에 돈을 송금하거나 하는 일이 없어야 할 것입니다. 개인이 아무리 보안의식을 제고하고 대비한다 하더라도 통신사 단계에서 문제가 생겨 스팸문자가 폭증하는 것 자체는 막을 수 없는 일입니다. 하지만 각자가 최선을 다해서 차단하고 걸러내는 것을 통해 2차 피해를 방어해야 할 것입니다.