가짜 무단거래 알림｜문자 속 전화번호와 카드 수거 주의

기준시각: 2026년 8월 29일 16:00 KST · 조사기간: 2026년 8월 22일 16:00~8월 29일 15:59 KST

‘방금 발생한 무단거래를 막아야 한다’는 말은 확인을 서두르게 만듭니다. 그런데 8월 28일 공개된 두 공식 경고는 같은 불안을 서로 다른 방식으로 이용했습니다. 하나는 무단 PayNow 거래를 해결하라며 문자 속 전화번호로 연결했고, 다른 하나는 은행이나 신용정보기관을 사칭한 통화 뒤 수거원을 보내 실물 카드를 가져갔습니다. 링크가 없거나 방문자가 약속한 확인 코드를 말한다고 해서 안전한 연락이 되는 것은 아닙니다. 확인의 출발점은 상대가 제공한 번호와 코드가 아니라, 이용자가 직접 연 공식 앱의 거래 내역이어야 합니다.

의심 거래 알림을 받으면 먼저 거래를 확인하고, 통화는 그다음입니다. 확인 번호도 공식 앱이나 카드 뒷면에서 직접 찾아야 합니다.

문자 속 번호로 연결하는 PayNow 사칭

DBS는 8월 28일 무단 PayNow 거래를 해결하라는 SMS 피싱을 경고했습니다. 이 문자는 수신자에게 문자에 적힌 전화번호로 연락하라고 재촉합니다. 통화가 시작되면 사기범은 은행 계정 로그인 정보, 카드 정보, 일회용 비밀번호인 OTP, 디지털 토큰 승인 등을 요구할 수 있습니다. 이런 정보나 승인이 넘어가면 계정 탈취와 무단 계좌이체·카드결제로 이어질 수 있다는 것이 은행의 설명입니다.

이 수법에서 눈여겨볼 점은 링크가 필수 요소가 아니라는 사실입니다. 많은 이용자가 피싱을 ‘수상한 링크를 누르게 하는 문자’로만 기억하지만, 이번 경고의 연결 장치는 전화번호입니다. 링크를 누르지 않았다는 이유로 안심한 채 전화를 걸면, 이후의 대화 전체가 사기범이 만든 확인 절차 안에서 진행됩니다. 상대는 거래 취소나 본인확인을 명분으로 계정 정보와 승인 동작을 단계적으로 요청할 수 있으므로, 문자 속 번호로 통화를 시작하지 않은 것이 첫 번째 차단선입니다.

DBS는 공식 콜센터, 공식 웹사이트, DBS·POSB 앱을 통해서만 은행에 연락하라고 안내했습니다. 은행 직원은 확인되지 않은 경로에서 카드 정보, 디지털뱅킹 로그인 정보, OTP, 디지털 토큰 승인을 요구하지 않습니다. 알림의 문장이나 발신자 표시가 그럴듯해도 이 원칙은 달라지지 않습니다. 특히 휴대전화에 뜬 토큰 승인 화면은 단순한 확인 버튼이 아니라 거래나 기기 등록에 권한을 부여하는 동작일 수 있으므로, 자신이 시작하지 않은 요청은 승인하지 않아야 합니다.

카드를 회수한다는 의심 거래 전화

같은 날 캐나다 Guelph Police Service는 고령층을 노린 은행 사기 전화가 증가했다며 구체적인 카드 수거 흐름을 공개했습니다. 발신자는 은행이나 신용정보기관이 카드에서 의심 거래를 발견했다고 말합니다. 이어 피해자에게 보유한 체크카드와 신용카드를 모으게 하고 카드 명의, 카드번호, PIN을 묻습니다. 그런 다음 새 카드로 교체해 주겠다며 카드를 받아 갈 사람의 이름과 ‘확인 코드’를 알려줍니다.

피해자가 통화를 계속하는 동안 방문자가 도착하고, 전화에서 들은 이름과 코드를 그대로 말합니다. 두 정보가 맞아떨어지는 장면은 방문자를 은행이 보낸 사람처럼 보이게 하지만, 이름과 코드를 만든 주체도 같은 사기범입니다. 경찰은 카드가 전달된 뒤 수천 달러 규모의 결제가 발생하는 사례를 경고했습니다. 통화 안에서 받은 확인 정보가 통화 밖의 사람에게 반복됐다는 사실만으로는 독립적인 검증이 되지 않습니다.

은행의 갑작스러운 전화로 카드를 모으게 하거나 PIN을 말하게 하고, 방문자에게 카드를 넘기라고 한다면 그 절차를 즉시 중단해야 합니다. 실물 카드는 이용자가 공식 채널에서 직접 정지·재발급을 요청하고, 기존 카드는 안내된 방법에 따라 스스로 폐기하는 방식으로 처리하는 것이 안전합니다. 낯선 통화가 배정한 수거원에게 카드와 PIN을 함께 넘기는 순간, 카드 자체와 인증수단이 동시에 노출됩니다.

두 경고가 이어지는 방식

두 사례는 전달 수단이 다르지만 공격의 중심은 같습니다. 첫 단계에서 ‘의심 거래’라는 급한 문제를 제시하고, 두 번째 단계에서 피해자를 사기범이 통제하는 통화로 옮깁니다. 그다음에는 로그인 정보·OTP·토큰 승인을 받은 디지털 경로와 카드·PIN을 모아 수거원을 보내는 물리적 경로로 갈라집니다. 마지막에는 계좌나 카드에서 무단거래가 실행됩니다. 이용자가 거래 사실을 스스로 확인하기 전에 상대가 제시한 해결 절차를 따라가도록 만드는 것이 핵심입니다.

발신자 번호, 상담원 이름, 사건번호, 확인 코드가 여러 개 제시돼도 서로 독립된 근거는 아닐 수 있습니다. 모두 같은 통화나 문자에서 받았다면 한 사람이 만든 정보 묶음일 가능성이 큽니다. 확인 경로를 분리하려면 해당 문자나 통화를 끝낸 뒤, 휴대전화에 이미 설치된 공식 앱을 직접 열어야 합니다. 앱에서 거래를 찾지 못했더라도 문자 속 번호로 되돌아가지 말고, 앱의 고객센터나 실물 카드 뒷면 번호를 이용해야 합니다.

공식 앱에서 거래를 대조하는 순서

의심 거래 알림을 받았을 때 필요한 것은 길고 복잡한 조사보다 짧은 경로 분리입니다. 문자나 통화가 말한 거래를 그대로 믿지도, 무조건 가짜라고 단정하지도 않고 공식 거래 내역과 대조합니다. 다음 순서를 가족과 함께 정해 두면 급한 상황에서도 상대가 만든 흐름에서 빠져나오기 쉽습니다.

1. 문자에 답장하지 않고 통화를 종료합니다. 발신 번호, 문자 속 번호, 상대가 알려 준 번호로 다시 연락하지 않습니다.
2. 검색 광고나 전달받은 링크가 아니라 휴대전화에 이미 설치된 은행·카드사 공식 앱을 직접 엽니다.
3. 거래 시각, 금액, 상대방이나 가맹점, 사용 카드, 승인 기기를 차례로 대조합니다. 실제 내역이 있다면 앱 안의 신고·정지 기능을 우선 사용합니다.
4. 상담이 필요하면 공식 앱의 고객센터 또는 실물 카드 뒷면 전화번호를 직접 입력해 연락합니다. 상대가 연결해 주는 부서나 전화를 이어받지 않습니다.
5. 로그인 정보·카드 정보·OTP·토큰 승인이나 실물 카드를 넘겼다면 해당 은행과 카드사에 즉시 알리고 접근수단과 카드를 차단합니다.

거래를 대조할 때는 금액 하나만 보지 않은 편이 좋습니다. 사기범이 말한 금액과 비슷한 정상 거래가 있으면 혼동하기 쉽기 때문입니다. 시간, 상대방, 결제수단, 승인 기기까지 묶어서 보면 동일 거래인지 판단하는 데 도움이 됩니다. 앱 푸시 알림이 있었다면 알림을 눌러 외부 웹페이지로 이동하기보다 앱을 새로 열어 최근 거래 메뉴에서 다시 확인하는 편이 안전합니다.

정보나 카드를 넘겼을 때

대응은 노출된 항목에 맞춰 진행해야 합니다. 문자만 읽었거나 전화를 받았지만 정보를 주지 않았다면 연락을 끊고 번호를 차단한 뒤 공식 앱의 거래 내역을 점검합니다. 로그인 정보나 카드번호를 말했다면 공식 채널에서 비밀번호를 바꾸고 카드 사용을 정지하며, 최근 로그인 기기와 거래 내역을 확인합니다. OTP나 디지털 토큰 승인을 제공했다면 단순 비밀번호 변경에 그치지 말고 은행에 승인 사실을 알린 뒤 등록 기기와 이체 권한까지 점검하는 것이 필요합니다.

실물 카드를 수거원에게 넘겼다면 카드사와 은행에 즉시 분실·도난으로 신고하고 모든 해당 카드를 정지합니다. 카드가 여러 장이라면 한 곳만 연락하고 끝내지 말고 각 발급사에 따로 신고해야 합니다. PIN도 알려 줬다면 같은 번호를 쓰는 다른 금융수단이 있는지 살펴보고 변경 범위를 넓힙니다. 이미 계좌이체가 실행됐거나 금전 피해가 발생했다면 국내에서는 은행과 112에 바로 연락해 지급정지와 피해 신고 절차를 시작하는 것이 중요합니다.

• 로그인 정보 노출: 공식 앱에서 비밀번호 변경, 등록 기기·최근 로그인 확인
• 카드정보 또는 실물 카드 노출: 카드 정지, 재발급 요청, 최근 승인 내역 점검
• OTP·디지털 토큰 승인: 은행에 승인 사실 통보, 이체·기기등록 상태 확인
• 금전 피해 발생: 은행과 112에 즉시 연락, 문자·통화·거래 기록 보존

가족과 공유할 카드 수거 기준

Guelph 경찰은 특히 고령층 가족과 지인에게 이 수법을 알려 달라고 당부했습니다. 가족이 기억하기 쉬운 기준은 단순합니다. 먼저 걸려온 은행·신용정보기관 전화는 카드를 모으거나 PIN을 확인하는 절차로 이어지지 않아야 하며, 통화가 배정한 방문자에게 카드를 주지 않습니다. 방문자가 상담원 이름이나 코드를 정확히 말해도 문을 열어 카드와 신분증을 보여 주지 않습니다.

가족끼리 ‘의심 거래 연락을 받으면 누구에게 먼저 전화할지’를 정해 두는 것도 도움이 됩니다. 다만 가족에게 확인하는 통화 역시 기존 사기 통화를 종료한 뒤 새로 걸어야 합니다. 사기범이 계속 연결된 상태에서 다른 사람에게 전화를 넘기거나, 상대가 합류시킨 제3자를 가족 또는 은행 직원으로 믿지 않아야 합니다. 현관 앞 방문자가 기다리고 있더라도 서두르지 말고 문을 닫은 상태에서 공식 번호로 확인합니다.

이번 주 한 가지 보안습관

의심 거래 문자를 받았을 때 ‘어디로 전화할까’보다 ‘공식 앱에 어떤 거래가 보일까’를 먼저 확인할 수 있습니다. 문자 속 번호, 발신자 표시, 상담원이 준 확인 코드는 모두 같은 사기 시나리오 안에 있을 수 있습니다. 통화를 끊고 앱을 직접 열어 거래를 대조한 뒤 카드 뒷면 번호로 연락하는 짧은 순서가 디지털 인증정보 탈취와 실물 카드 수거를 함께 막은 가장 실용적인 출발점입니다.