기사와 관련 없는 자료 사진 / gettyimagesBank

[인사이트] 유진선 기자 = "○○은행 직원이라면서 '토스' 삭제하라는 전화가 왔는데 아무래도 보이스피싱 같아요!"

지난 15일 한 여성 고객의 다급한 전화가 토스 고객센터로 걸려왔다. 

해당 고객은 대출을 알아보던 중 ○○은행 직원이라는 남성의 전화를 받고 신분증을 촬영해 전달했다. 남성은 곧 "토스가 개인정보 유출이 많으니 삭제하라"고 권유했다고 한다. 

별 생각 없이 고객은 토스앱을 삭제하고, 대신 남성이 보낸 링크를 통해 '모바일 보안'이란 이름의 새로운 어플을 설치했다.

그런데 뭔가 미심쩍었던 고객은 곧 다시 '토스앱'을 설치했다. 그러자 방금 설치한 '모바일 보안'이란 앱이 피싱앱으로 의심된다는 경고가 토스앱에서 나타났다.

잠시 후 전화가 걸려와 남성은 "토스를 다시 깔았냐"며 따지듯 물었고, 해당 고객은 "당신 보이스피싱범 아니냐?"고 받아친 후 바로 전화를 끊었다고 한다.

사진제공 = 비바리퍼블리카

지난 3월 토스가 '토스가드'라는 악성앱 탐지 기능을 도입한 후 교묘한 방법으로 토스앱을 삭제하라는 피싱범들이 생겨나고 있다.

'토스가드'는 별도 앱 설치 없이 토스를 실행하면 자동으로 휴대폰에 설치된 악성앱을 탐지하는데, 악성앱이 발견될 경우 해당 앱을 삭제하도록 안내 메시지를 띄운다. 위험도가 높은 경우, 악성앱을 삭제하지 않으면 토스를 사용할 수 없게 만들었다.

토스에 따르면 '토스가드'를 통해 지난 3개월간 피싱앱 31만건을 잡아냈다. 총 4만여명, 일평균 500명의 고객이 보이스피싱 피해를 예방한 셈이다.

피싱범들은 대체로 문자 또는 메신저를 통해 스마트폰 사용이 미숙한 중장년층을 타겟으로 하며 주로 원격제어앱 또는 악성앱을 설치하도록 유도하는 것으로 나타났다. 

이런 앱들은 은행앱, 백신앱, 소상공인 대출앱 등으로 위장하고 있으며 설치시 단말기의 전화번호부와 통화내역, 문자메시지 내용이 모두 탈취된다.

만약 악성앱이 설치됐다면, '토스앱'을 실행하여 악성앱을 제거할 수 있다. 또한 추가 피해를 막기 위해 휴대폰 초기화 및 기존인증서 폐기, 신분증 재발행 등의 조치도 필요하다.

기사와 관련 없는 자료 사진 / gettyimagesBank

한편 토스는 지난 3월부터 시큐리티테크팀 주도로, 토스앱에 악성 피싱앱 탐지 및 제거 기능을 개발해 운용하고 있다. 팀을 이끌고 있는 이종호 리더는 국내 최고 화이트해커로, 미국 데프콘, 일본 세콘, 대만 히트콘 등 주요 국제 해킹 방어대회에서 모두 우승한 바 있다.

토스 관계자는 "외부 백신을 별도로 설치하는 타 금융앱과 달리 토스는 악성앱 탐지기능을 내재화해 매일 새롭게 만들어지는 악성앱에 실시간으로 대응할 수 있고 고객센터에서도 악성앱의 위험도에 따라 보다 정확한 대처를 고객에게 안내할 수 있다"고 설명했다.