가짜 구매자 보호 사이트｜환불·신분증 요구 확인법

홍콩금융관리국과 홍콩은행간결제유한공사(HKICL)는 2026년 8월 31일, HKICL을 사칭한 여러 웹사이트를 공개했습니다. 이 사이트들은 단순히 로그인 화면만 베끼는 방식이 아니라 ‘구매자 온라인 보호’ 서비스를 내세워 환불 신청, 무단 온라인 거래 신고, 결제 지원을 한곳에서 처리해 주는 것처럼 꾸몄습니다. 피해자가 도움을 기대하는 순간을 노린다는 점에서 일반적인 결제 알림 피싱과 구별됩니다.

더 정교한 유형은 현금 보상을 받으려면 실명 확인이 필요하다고 안내하면서 신분증 번호와 신분증 사진, 전화번호를 요구했습니다. 이어 은행명, 계좌번호, 예금주명을 입력하게 하고 FPS를 통해 사이트 안의 가상 지갑을 충전하거나 출금하도록 유도한 뒤, 고객센터 직원을 사칭한 인물과 연결했습니다. 한 번의 입력으로 신원정보와 금융정보, 송금 행동이 이어지도록 설계된 흐름입니다.

가짜 구매자 보호 포털

HKICL이 공개한 첫 번째 유형은 ‘Buyer Online Protection’이라는 이름으로 세 가지 기능을 제시했습니다. 구매자에게 환불해 주는 기능, 무단 온라인 거래를 신고하는 기능, FPS 결제와 관련한 온라인 거래 지원입니다. 실제로 거래 문제가 생긴 이용자라면 자연스럽게 찾을 법한 메뉴를 앞세웠기 때문에, 주소를 먼저 보지 않으면 결제기관의 공식 지원 페이지로 오해하기 쉽습니다.

두 번째 유형은 같은 외관과 기능에 현금 보상과 실명 확인 절차를 덧붙였습니다. 신분증 번호 요구에 이어 신분증 사진과 전화번호를 함께 받았으며, 은행명·계좌번호·예금주명도 요구했습니다. 이후 사이트 내부의 가상 지갑을 FPS로 충전하거나 그 지갑에서 출금하는 것처럼 행동하게 했습니다. 이용자가 막히는 순간에는 상담원으로 위장한 인물이 등장해 다음 행동을 안내했습니다.

이 구성은 ‘피해를 막아 주는 서비스’와 ‘보상 수령 절차’를 한 화면에 결합합니다. 환불을 받으려는 사람에게는 계좌정보 입력이 자연스럽게 보이고, 실명 확인이라는 설명은 신분증 사진 제출을 그럴듯하게 만듭니다. 여기에 상담원 안내가 더해지면 사용자는 입력 항목을 하나씩 따로 판단하기보다 전체 절차를 정상 업무로 받아들이기 쉽습니다. 따라서 한 항목의 모양보다 서비스 주체, 접속 경로, 요구 정보가 서로 맞는지를 함께 살펴야 합니다.

정상 FPS 이용과 다른 지점

HKICL은 해당 사칭 사이트가 HKICL이나 HKICL의 어떤 사업과도 관계가 없다고 밝혔습니다. 또한 통상적인 상황에서 HKICL이 개인 이용자에게 FPS 서비스를 직접 제공하거나 먼저 연락하지 않는다고 안내했습니다. 즉, ‘HKICL 고객센터가 개인의 환불이나 무단거래 신고를 직접 접수한다’는 전제부터 공식 운영 방식과 맞지 않습니다.

HKICL이 제시한 공식 주소는 www.hkicl.com.hk와 fps.hkicl.com.hk입니다. 사칭 사이트는 이름에 FPS나 HKICL처럼 보이는 문자열을 넣더라도 전혀 다른 최상위 도메인과 낯선 주소를 사용했습니다. 로고, 결제 용어, 고객센터 화면이 정교해도 브라우저 주소창의 실제 도메인은 별도로 확인해야 합니다. 문자·메신저·검색 광고에서 열린 페이지라면 그 화면을 닫고, 공식 주소를 새 창에 직접 입력해 공지와 연락처를 찾아보는 편이 안전합니다.

한국인터넷진흥원도 정부기관 명칭과 로고를 도용해 피해구제 접수를 유도하는 피싱사이트를 경고한 바 있습니다. 이런 사이트는 ‘사기 피해’, ‘구제 신청’, ‘피싱’ 같은 검색어를 이용해 이미 피해를 입은 사람을 다시 끌어들이고, 이름·카드정보를 받거나 메신저 상담으로 이동시킵니다. 구매자 보호, 환불, 무단거래 신고처럼 안심을 주는 단어 자체가 공식성을 보장하지는 않습니다.

입력 정보별 위험 구분

전화번호와 신분증 사진은 같은 사람의 신원을 연결하는 단서가 됩니다. 신분증 이미지를 제출하는 화면이 나타났다면 보상이나 환불의 필요성보다 먼저 해당 기관이 그 정보를 받을 업무상 이유가 있는지 살펴야 합니다. 공식 기관명을 내세우면서도 개인용 메신저 상담이나 낯선 도메인으로 이동시키면 입력을 중단하고, 기관 대표번호를 공식 홈페이지에서 찾아 별도로 확인해야 합니다.

은행명, 계좌번호, 예금주명은 환불을 위한 정보처럼 보일 수 있습니다. 그러나 이번 사칭 사이트는 이 정보를 가짜 가상 지갑의 충전·출금 과정과 연결했습니다. 정상적인 환불이라면 원래 거래가 발생한 쇼핑몰, 카드사, 은행 앱의 거래 내역에서 절차를 시작해야 합니다. 거래와 무관한 새 플랫폼에서 지갑을 만들거나 먼저 돈을 넣으라는 요구는 환불 절차가 아니라 새로운 송금 행동입니다.

상담원 연결은 의심을 해소하는 장치로 작동합니다. 화면에 적힌 번호나 채팅 계정은 사이트와 같은 주체가 만든 것일 수 있으므로, 그 상담원이 사이트의 진위를 증명하지 못합니다. 공식 홈페이지에서 찾은 대표번호로 다시 전화하고, 은행 관련 내용은 사용 중인 은행 앱의 고객센터나 카드 뒷면 번호로 확인해야 합니다. ‘지금 처리하지 않으면 환불이 취소된다’는 시간 압박이 붙더라도 송금이나 정보 입력을 계속할 이유가 되지는 않습니다.

공식 경로로 확인하는 순서

1. 문자나 메신저에서 열린 구매자 보호·환불 페이지를 닫고, 주소창에 해당 기관의 공식 도메인을 직접 입력합니다.
2. 사이트가 주장하는 기관이 개인에게 그 서비스를 직접 제공하는지 공식 공지와 대표번호로 확인합니다.
3. 원래 거래가 발생한 쇼핑몰 주문내역, 카드 승인내역, 은행 앱의 이체내역을 각각 따로 확인합니다.
4. 신분증 사진, 전화번호, 계좌번호를 한 화면에서 함께 요구하거나 새 가상 지갑 충전을 요구하면 절차를 중단합니다.
5. 확인이 필요하면 의심 페이지의 상담원이 아니라 공식 홈페이지에서 찾은 연락처로 다시 문의합니다.

주소를 확인할 때는 화면에 보이는 기관명보다 실제 도메인의 끝부분을 먼저 보세요. 보안 연결을 뜻하는 자물쇠 표시는 통신 구간이 암호화됐다는 의미일 뿐, 사이트 운영자가 공식 기관이라는 뜻은 아닙니다. 즐겨찾기나 은행 앱처럼 이미 검증한 경로를 이용하면 검색 결과의 광고와 유사 주소를 거치는 일을 줄일 수 있습니다.

또한 ‘보상금 수령을 위한 실명 확인’과 ‘무단거래를 막기 위한 선입금’처럼 서로 다른 목적을 한 절차 안에서 결합하는지 살펴보세요. 환불을 받기 위해 새 지갑에 돈을 충전해야 한다는 설명은 원래 거래를 되돌리는 과정과 방향이 반대입니다. 상담원이 화면 공유나 추가 송금을 제안하더라도, 원래 거래기록을 보유한 판매자·카드사·은행에서 독립적으로 확인하기 전에는 진행하지 않은 편이 좋습니다.

이미 정보를 입력했다면

페이지를 다시 열어 확인하려 하지 말고, 우선 접속 주소와 대화 상대, 입력 시각, 화면, 송금 내역을 캡처해 보관하세요. 사이트에 입력한 정보의 범위를 순서대로 적어 두면 은행과 경찰에 설명할 때 도움이 됩니다. 신분증 사진과 전화번호를 제출했다면 신분증 발급기관과 통신사, 금융회사에 노출 사실을 알리고 계정·거래 알림을 점검하는 것이 좋습니다. 금융계정의 비밀번호나 인증정보까지 입력했다면 공식 앱에서 해당 정보를 변경하고 사용 중인 금융회사에 즉시 연락해야 합니다.

돈을 송금했다면 속도가 중요합니다. 경찰청 사이버범죄 신고시스템은 피해자가 범죄에 이용된 계좌를 관리하는 금융회사에 전화로 지급정지를 신청하고, 거주지 관할 경찰서에 피해 사실을 신고한 뒤 사건사고사실확인원을 발급받아 금융회사에 피해구제신청서와 함께 제출하는 절차를 안내합니다. 전화로 먼저 지급정지를 요청한 경우에는 안내받은 기한과 서류를 확인해 후속 제출을 이어가야 합니다.

금전 피해가 없더라도 사이트 주소와 메시지는 신고 가치가 있습니다. 한국인터넷진흥원 보호나라의 스미싱·피싱 확인 서비스를 이용하면 의심 주소를 확인하고 신고할 수 있습니다. 메시지와 페이지를 삭제하기 전 원문과 발신 계정, 접속 주소가 함께 보이도록 증거를 남겨 두면 같은 유형의 차단과 조사에 도움이 됩니다.

이번 주 점검 목록

• 구매자 보호나 환불 링크를 닫고 원래 거래 앱에서 주문·승인·이체 내역을 확인했습니다.
• 기관명과 비슷한 문자열이 아니라 공식 홈페이지의 실제 도메인을 직접 입력했습니다.
• 신분증 사진·전화번호·계좌정보를 한 번에 요구하는 페이지에서는 입력을 멈췄습니다.
• 환불 전에 지갑 충전이나 별도 송금을 요구하면 은행·카드사에 독립적으로 문의했습니다.
• 송금이나 정보 제출이 있었다면 화면과 대화, 계좌 내역을 보관하고 공식 신고 절차를 시작했습니다.

이번 주 한 가지 보안 습관

‘환불’, ‘무단거래 신고’, ‘구매자 보호’라는 문구가 보이면 링크 안에서 해결하려 하지 말고, 원래 거래가 발생한 앱으로 돌아가세요. 주문·승인·이체 내역에서 출발해 공식 고객센터로 연결하는 습관 하나만으로도 가짜 지원 포털이 만든 별도의 절차를 끊을 수 있습니다. 지원을 자처하는 페이지가 신분증 사진과 계좌정보, 새 지갑 충전을 한꺼번에 요구한다면 확인이 끝날 때까지 아무것도 제출하지 않은 것이 가장 안전합니다.