디지털 금융 보안, 해킹보다 ‘심리전’에 주의하라

 최근 일부 이용자들의 유심 정보가 외부에 유출되며 보안 우려가 커졌지만, 정작 중요한 건 기술적 해킹보다도 ‘사회공학적 범죄’라는 분석이 나온다. 실제 금융 보안 시스템은 복수 인증, 기기 정보 확인, 이상 거래 탐지 시스템(FDS) 등을 통해 어느 정도 방어력이 확보된 상태다. 하지만, 이러한 철통 보안망도 사람의 심리를 파고드는 수법 앞에서는 상대적으로 취약할 수밖에 없다.

특히 해킹 사건 이후 빈번히 나타나는 것이 바로 스미싱 문자와 보이스피싱 전화다. ‘유심이 해킹됐다’, ‘통신사에서 고객 정보를 확인해야 한다’, ‘보안 업데이트가 필요하다’는 식의 안내 문구로 사용자의 경계심을 허물고, 개인정보나 금융인증 정보를 유도하는 방식이다. 실제로 유심 교체나 보안 앱 설치를 빙자한 링크를 클릭하거나, 전화상으로 주민등록번호나 OTP번호를 넘겨준 사례도 발견되고 있다.

다음 트위터에 대한 최신뉴스 이곳에서 확인해 보세요.

보안 전문가들은 기술적 방어보다 더 중요한 것은 사용자의 판단력이라고 강조한다. 아무리 우수한 방어 체계를 갖췄더라도, 사용자가 의심 없이 중요한 정보를 건네버리면 모든 보안은 무용지물이 되기 때문이다. 특히 신분증 사진, 공인인증서 비밀번호, 휴대폰 본인인증 정보 등은 해커들이 가장 노리는 정보로, 절대 외부에 전송하거나 구술하지 말아야 한다.

또한 유심 정보가 노출되었다고 해서 반드시 휴대폰이 복제되거나 금융자산이 탈취되는 것은 아니다. 최근에는 통신사와 금융기관이 협업하여, 유심 변경 시 사용자의 명의, 기기 정보, 이전 거래 패턴 등을 모두 비교하여 이상 여부를 판단하고 있다. 이를 통해 유심 복제폰의 인증 시도 자체를 차단하는 시스템이 이미 상당 수준으로 자리 잡고 있는 셈이다.

그러나 문제는 이러한 기술적 보안이 ‘위장된 정상행위’ 앞에서는 무기력하다는 점이다. 예를 들어, 사용자가 직접 앱 설치를 허용하고, 전화로 인증번호를 불러주거나, 가족인 척 위장한 목소리에 속아 정보를 제공하면, 시스템은 이를 정상적인 사용자의 행동으로 간주하게 된다. 다시 말해, 범죄자는 기술보다 감정에 집중하고 있는 셈이다.

이 때문에 금융감독원과 각 은행들은 지속적으로 “본인 요청 없이 절대 유심이나 금융정보를 변경하지 않는다”는 메시지를 강조하고 있다. 또한 통신사, 금융사, 공공기관 등은 링크 클릭을 요구하거나 앱 설치를 권유하지 않는다는 점 역시 널리 알려야 한다는 지적이 나오고 있다.

결국 디지털 보안에서 가장 중요한 건 ‘사용자의 습관’과 ‘의심하는 태도’다. 누구에게나 일어날 수 있는 보이스피싱이나 스미싱 피해를 막기 위해서는, 기술적 대응만큼이나 심리적 방어력이 필요하다. 나에게 온 메시지와 전화, 웹사이트가 진짜인지 의심하고, 조금이라도 이상하다고 느껴진다면 클릭 대신 통신사나 금융사 공식 채널을 통해 직접 확인하는 습관이 피해를 막는 가장 확실한 방법이다.

지금의 디지털 사회에서 보안은 더 이상 기술만의 영역이 아니다. 그것은 우리가 얼마나 쉽게 속지 않는지, 얼마나 자기 정보를 지키는 훈련이 되어 있는지의 문제다. 그리고 이 싸움에서 승리하려면, 단 한 번의 클릭도 신중해야 한다.