피해보상금 안내가 원격제어 앱 설치로 이어진다면 멈추세요

개인정보가 유출됐는지 확인해 주겠다거나 피해보상금을 신청하라는 연락이 왔다. 상대가 이어서 “앱을 설치하면 대신 처리해 주겠다”고 한다면, 보상액보다 먼저 확인할 것은 휴대전화의 제어권이다. 문자 내용이 그럴듯하고 앱 장터에 실제로 있는 프로그램이어도, 그 사람이 내 화면을 보고 조작해도 되는 이유가 되지는 않는다.

한국인터넷진흥원(KISA)은 10월 6일 금융권과 민간기업의 개인정보 유출 사고를 빌미로 한 피싱에 주의하라고 권고했다. 개인정보 유출 여부 확인, 피해보상금 지급, 지급 절차 안내 같은 표현으로 링크 접속이나 앱 설치를 유도할 수 있다는 경고다. 이번 공지는 어떤 회사의 보상 대상이나 지급액을 확정한 발표가 아니다.

핵심은 악성 파일만 피하는 데 있지 않다. KISA는 정부기관과 금융회사가 전화나 문자로 원격제어 앱 설치를 요구하지 않는다고 안내하면서, 정상 스토어에 등록된 앱도 포함한다고 명시했다. 앱 자체의 배포 경로와 그 앱을 쓰라고 요구한 사람의 신원은 별도로 확인해야 한다.

문자 링크만 조심하면 끝나는 경고가 아니다

KISA가 설명한 접근 경로는 문자, 검색, 음성통화로 나뉜다. 문자는 유출 확인이나 지원금 신청을 내세워 피싱사이트와 악성앱으로 연결할 수 있다. 검색에서는 관련 키워드를 악용한 사이트가 검색결과 상단이나 광고에 나타날 수 있다. 전화에서는 대상자 통보와 지급 안내를 빙자해 원격제어 앱 설치를 요구할 수 있다.

따라서 문자에 있는 주소를 누르지 않았더라도, 곧바로 검색한 첫 광고를 열어 같은 절차를 밟으면 확인 경로가 충분히 분리되지 않는다. 기존에 사용하던 공식 앱을 직접 열거나, 해당 기관의 공식 홈페이지에서 공지를 찾아 내용과 연락처를 대조하는 편이 낫다. 상대가 보내 준 새 링크를 다시 확인 근거로 삼지 않는 것이 중요하다.

이 경고를 보고 실제 유출 통지나 정당한 보상 안내까지 모두 가짜라고 단정할 필요는 없다. 확인해야 할 것은 개별 연락의 진위와 요구하는 행동이다. 특정 기관이 보상을 진행하는지는 그 기관의 공식 공지에서 확인하고, 그 사실이 전화 상대에게 인증번호나 원격제어 권한을 넘겨도 된다는 뜻은 아니라는 점을 분리한다.

정상 앱과 안전한 요청은 같은 말이 아니다

원격지원 도구는 정당한 기술지원에도 쓰일 수 있다. 접근성 기능도 장애인의 기기 사용을 돕는 중요한 기능이다. 이런 도구를 설치했다는 사실만으로 범죄 피해나 악성앱 감염을 확정해서는 안 된다. 문제는 누가, 어떤 이유로, 어느 범위까지 내 기기에 접근하게 되는지 모르는 상태에서 권한을 허용하는 것이다.

Google의 Android 안내에 따르면 접근성 설정에 접근할 수 있는 앱은 화면의 콘텐츠를 읽고 사용자를 대신해 앱과 상호작용할 수 있다. 단순히 화면 글씨가 커지는 설정으로만 생각하면 실제 권한 범위를 놓칠 수 있다. 앱 설명과 개발자를 확인하지 않은 채 낯선 통화 상대의 지시대로 켜기에는 민감한 기능이다.

Android는 유해한 앱으로부터 사용자를 보호하기 위해 앱 설치 과정에서 일부 설정을 제한할 수 있다. Google은 개발자를 신뢰할 수 없다면 제한된 설정을 허용하지 않는 것이 좋다고 설명한다. 일부 관련 절차는 Android 13 이상에 적용되며 제조사와 기기 구성에 따라 화면이 다를 수 있다. 모든 휴대전화에 같은 경고창이 뜬다는 뜻은 아니다.

보상 신청을 계속하려면 보안 경고를 무시하거나 제한을 풀어야 한다는 말을 듣더라도, 진행이 막혔다는 이유만으로 보호 장치를 해제하지 않는다. 통화를 끝내고 별도의 공식 경로로 확인하는 것이 먼저다. 이 기사는 제한을 우회하는 조작 순서를 안내하지 않는다. 필요한 권한인지 판단할 근거가 없는 상태에서는 설치와 허용을 멈추는 편이 안전하다.

또한 앱 장터에서 찾았다는 설명만으로 요청자의 신원이 검증되지는 않는다. 정상 프로그램의 기능을 부적절하게 이용하는 상황과 악성 프로그램 자체를 설치하는 상황은 다르다. 두 경우를 한꺼번에 “가짜 앱”으로 부르면, 이용자가 익숙한 앱 이름을 봤을 때 오히려 경계를 풀 수 있다.

보호나라의 ‘주의’는 클릭 허가가 아니다

의심스러운 메시지는 링크를 열어 시험하지 않고 보호나라 스미싱 확인서비스로 확인할 수 있다. KISA의 공식 안내는 카카오톡에서 보호나라 채널을 찾아 스미싱 확인서비스를 열고, 수신 메시지를 복사해 붙여넣는 절차를 설명한다. 문자뿐 아니라 메신저로 받은 내용도 안내 대상에 포함된다.

공식 서비스 설명에는 정상, 주의, 악성의 세 가지 답변이 나온다. 처음 신고된 메시지는 주의로 표시되며, 10분 이후 재검사하면 정상 또는 악성으로 판정해 회신한다고 돼 있다. “악성이라고 하지 않았다”는 이유로 주의를 안전 판정처럼 읽으면 안 된다. 기다리는 동안 링크를 눌러 보거나 요구받은 앱을 설치하지 않는다.

이 확인은 메시지의 악성 여부를 묻는 절차이지, 보상금 수급 자격이나 전화 상대의 신원, 이미 진행한 송금의 안전성을 모두 보증하는 절차가 아니다. 결과를 받았더라도 실제 보상 조건은 해당 기관에서 따로 확인한다. 검사 결과와 관계없이 인증번호를 알려 달라거나 원격제어를 허용하라는 요구를 그대로 따라야 할 이유는 없다.

KISA는 본인확인 인증번호를 타인에게 전달하지 말라고도 당부했다. 메시지 확인을 위해 금융 비밀번호나 인증번호까지 상대에게 보낼 필요는 없다. 출처를 확인한다며 대화를 이어 가는 과정에서 오히려 추가 정보를 건네지 않도록, 의심 메시지 확인과 계정 인증을 다른 행동으로 구분한다.

Play 프로텍트는 앱 검사, 보상 연락의 신원 확인은 아니다

Google Play 프로텍트는 앱과 기기에서 위험한 동작을 확인한다. Play 스토어에서 내려받는 앱뿐 아니라 다른 출처에서 받은 잠재적으로 유해한 앱도 검사하며, 경고하거나 앱을 비활성화·삭제할 수 있다. Google은 기본적으로 켜져 있는 이 기능을 계속 사용하는 것이 좋다고 안내한다.

Android에서 확인할 때는 Play 스토어를 직접 열고 프로필 아이콘, Play 프로텍트, 설정으로 이동해 앱 검사가 켜져 있는지 살핀다. 문자로 받은 “보안 검사” 링크를 새로 설치하는 절차와는 다르다. 유해 앱 감지 기능 개선을 켜면 알 수 없는 앱이 Google로 자동 전송될 수 있다는 설명도 함께 읽는다.

다만 앱 검사 결과를 낯선 통화 상대의 신원 확인으로 바꿔 읽으면 안 된다. 보안 기능은 중요한 방어 수단이지만, 정상 도구를 이용한 부적절한 원격지원 요청까지 모두 허가해 주는 표시가 아니다. 어떤 앱인지 확인하는 질문과 누구에게 권한을 주는지 확인하는 질문을 따로 남겨 두는 것이 이번 경고의 실용적인 의미다.

이미 진행했다면 어디까지 했는지부터 구분한다

문자만 받은 경우, 링크를 연 경우, 개인정보를 입력한 경우, 앱을 설치하고 권한까지 준 경우는 같지 않다. 링크를 눌렀다는 이유만으로 감염이 확정됐다고 단정할 수 없지만, 앱을 설치하지 않았어도 사이트에 입력한 정보는 별도 확인이 필요하다. 상담할 때는 실제로 한 행동과 시간을 순서대로 설명한다.

KISA는 문자 링크를 통해 앱을 설치했다면 모바일 백신 검사와 서비스센터 방문 등으로 점검하도록 안내한다. 악성앱이 발견되면 비행기모드로 전환한 뒤 112에 신고하되, 원격제어 가능성이 있으므로 주변 사람의 전화기를 이용하라고 설명한다. 같은 휴대전화에서 낯선 상대와 계속 통화하며 복구 지시를 받는 방식은 피한다.

피싱사이트에 정보를 입력했거나 악성앱 감염이 의심되면 모바일 결제 내역도 통신사 고객센터에서 확인한다. KISA 안내에는 피해 문자 캡처와 소액결제확인서, 경찰 신고 등 후속 절차가 따로 제시돼 있다. 기기 점검만 마쳤다고 결제나 계정 문제가 모두 해결됐다고 보지는 않는다. 보상이나 환급 여부는 각 기관의 확인과 절차에 따라 달라진다.

• 설치 전: 전화와 문자 안내를 멈추고, 기존 공식 앱이나 기관 홈페이지에서 실제 공지를 확인한다.
• 권한 요청 때: 접근성이나 제한된 설정을 왜 바꾸라는지 확인한다. 낯선 상대를 믿고 보호 설정부터 해제하지 않는다.
• 메시지가 의심될 때: 보호나라 스미싱 확인서비스로 확인하고, 주의 답변을 정상 판정으로 취급하지 않는다.
• 이미 설치·입력했다면: 실제 행동을 구분해 기록하고 공식 상담을 받는다. 악성앱 발견 시에는 다른 전화로 신고한다.

KISA가 안내한 인터넷침해 상담 번호는 국번 없이 118이다. 지금 필요한 확인이 의심 문자 분석인지, 기기 점검인지, 실제 피해 신고인지 구분하면 상담도 정확해진다. 보상금을 받는다는 약속이 내 휴대전화의 조작 권한을 넘겨줄 이유는 아니다. 안내 내용보다 그 안내가 요구하는 행동을 먼저 보는 것이 출발점이다.