청첩장, 부고장, 과태료 고지서로 위장한 악성앱 설치 링크 문자 메시지로 1000여 명으로부터 모두 120억여 원을 편취한 국내 최대 규모 스미싱 조직이 경찰에 붙잡혔다.

이명철 서울경찰청 사이버범죄수사1대장은 26일 오전 서울 종로구 내자동 서울경찰청 청사에서 브리핑을 열고 스미싱 조직 국내 총책인 중국 국적 A 씨(38·남), 한국 국적 B 씨(31·남)를 비롯해 13명을 검거했다고 밝혔다.

국내 총책급인 A·B 씨 등 4명은 구속 송치됐고, 9명은 불구속 송치됐다. 중국 총책 2명은 인터폴 적색 수배 중이다.


청첩장·부고장으로 위장한 스미싱 문자…무단 개통 알뜰폰으로 모바일뱅킹 앱까지 침입
우선 범죄조직은 2023년 7월부터 올해 6월까지 청첩장, 부고장, 교통법규 위반 등으로 위장한 악성앱 설치링크 문자메시지를 피해자들에게 보내악성앱을 설치하게끔 했다. 악성앱이 설치되면 피의자들이 피해자의 휴대전화로 문자 메시지를 보내는 등 원격 실행이 가능했다.

피해자 명의 휴대폰 권한을 확보한 일당은알뜰폰 유심을 무단 개통했다. 일당은 알뜰폰으로 비대면 본인인증의 핵심 수단을 확보했을 뿐만 아니라, 피해자 명의로 알뜰폰이 개통되고 번호이동이 이뤄지면 기존에 피해자가 쓰던 휴대전화가 먹통이 돼 즉각 범죄에 대응하기 힘들어진다는 점도 이용했다.

이후 일당은 확보한 휴대폰 권한과 위조된 신분증 등을 이용해, 마치 피해자가 접속한 것처럼 속여 모바일뱅킹 앱 접속 인증 절차를 통과하고 자산을 탈취했다.

일당은 일부 피해자의 카카오톡 계정까지 탈취해 피해자의 지인들에게 '급히 돈이 필요하다'며 추가적인 피싱까지 시도했다.

이 대장은 "피의자들은 이동통신 3사보단 상대적으로 보안이 취약한 알뜰폰 사업자를 이용했다"며 "알뜰폰 유심은 간편인증을 통해 개통이 가능했는데, 간편인증의 선택지가 늘어날 수록 그 중 하나만 취약점이 확인돼 풀리더라도 휴대전화 개통이 (쉽게) 가능했다"고 설명했다.


피해자 1000여 명, 120억 원 피해…50대가 피해자의 90%
이번 사건은 해외 소액결제 수법 스미싱을 통해 직접 모바일뱅킹 앱에 침입하는 수법으로 진화한 경우다.

중국 총책은 개인정보 DB(데이터베이스) 프로그램 등을 이용해 범행 대상을 선정하고 휴대전화를 무단 개통하는 역할을 했다. 국내 총책은 무단 개통한 피해자의 유심을 공기계에 꽂고 모바일 뱅킹 앱에 침입해 돈을 빼돌리는 역할을 했다.

특히 중국인 국내 총책 A 씨는 스미싱 범행을 위해 국내로 파견됐으며, 입국 직후 중국에서 알던 지인들을 모아 1년 7개월 간 범행한 것으로 확인됐다.

확인된 피해자만 1000명 이상이며 피해액이 약 120억 원에 달하는 국내 최대 규모 스미싱 조직 사건으로 파악된다. 가장 많은 액수의 피해를 입은 피해자는 6개 계좌로 63차례에 걸쳐 모두 4억 8500만 원을 편취당했다.

전국 수사관서에서 수사 중지 등 미제로 남겨진 사건 900여 건 모두 이 조직의 범행에 의한 것으로 나타났다.

특히 디지털 기기 보안에 상대적으로 익숙하지 않은 중·장년층이 다수 피해를 입었다.50대 이상이 전체 피해자의 80~90%였다.

아울렛 주차장서 앱 침입하던 피의자 적발…13명 검거·해외 총책 2명 적색수배
경찰은 지난해 8월 서울경찰청 사이버범죄수사1대 2팀을 스미싱 전담팀으로 지정한 후, 계좌탈취형 스미싱 범행이 이뤄지고 있단 정황을 확인하고 수사에 착수했다.

경찰은 피해자 명의 휴대전화 및 폐쇄회로(CC)TV 등을 추적해 수도권 아울렛 주차장을 범행 장소로 추정, 아울렛을 돌며 잠복하던 중 차량 내에서 신분증을 위조하고 공기계 유심 장착 후 금융기관 앱 침입 등을 하고 있던 피의자들을 검거했다.

피의자들은 경찰의 추적을 피하고자 수도권에 있는 아울렛 여러 곳에 주차해 범행을 저지른 것으로 파악됐다.

검거 당시 수 십 대의 휴대전화 공기계를 비롯해 범행에 이용한 위조 신분증 및 범죄수익금인 현금 4500만 원 등이 압수됐다.

경찰은 피의자 13명(구속 4명·불구속 9명)을 검거해, 지난 7일까지 차례대로 송치했다. 이외에도 국내 총책 검거 후엔 범행 IP를 분석하고 중국 출입국 내역을 추궁한 결과, 중국 상해에 거점을 두고 있는 해외 총책 중국 국적 2명도 특정해 적색수배 조치했다. 적색수배 된 해외 총책 중 1명은 과거 파밍사기를 저질러 한국에서 8년간 복역한 뒤 중국으로 출국한 것으로 파악됐다.

경찰은 본인인증 체계의 취약점과 범행 수법 등을 통신사 2곳과 금융기관 2곳에 공유해 본인인증 체계를 개선시키고 보안을 강화했다고 전했다.

이 대장은 "이번 수사를 통해 국내 최대 규모의 스미싱 조직을 와해시켰고 전국의 900건 미제 사건도 해결했다"며 "알뜰폰 업체, 금융기관과의 협력을 통해 본인 인증 과정에서의 취약점을 개선하도록 했고 그 결과 계좌탈취형 스미싱 범죄가 급감하는 효과도 있었다"고 설명했다.

sinjenny97@news1.kr