[8월 17일 생활보안 브리핑] 주민센터 사칭·고객 데이터 영향·체납 해결 광고

기준시각은 2026년 8월 17일 16시(KST)이며, 최근 공개된 생활보안 자료 가운데 일반 이용자가 직접 판단하고 행동할 수 있는 세 가지 흐름을 골랐습니다. 주민센터 번호처럼 보이는 전화가 다른 기관으로 회신을 요구하는 사례, 고객 데이터 일부에 영향을 준 기업의 보안사고 공지, 정부기관 문서처럼 꾸민 체납 해결 광고입니다. 성격은 다르지만 신뢰를 얻는 방식에는 공통점이 있습니다. 발신번호, 기업명, 공문 형태처럼 익숙한 단서를 먼저 보여 준 뒤 상대가 정한 연락처와 처리 순서 안에서 움직이도록 만듭니다.

화면에 표시된 번호나 문서의 겉모양만으로 상대를 확인했다고 판단하면 안 됩니다. 전화번호는 변작될 수 있고, 실제 사고 소식을 가져와 가짜 안내를 만들 수도 있으며, 민간 업체가 정부기관과 비슷한 문구를 사용할 수도 있습니다. 가장 안전한 확인법은 통화나 메시지에서 한 번 벗어나는 것입니다. 전화를 끊고, 문자 속 링크를 닫고, 포털 광고가 아닌 기관 공식 홈페이지에서 대표번호와 안내를 직접 찾아야 합니다.

주민센터 번호를 이용한 회신 유도

KISA는 8월 11일 실제 주민센터 전화번호를 사칭한 회신 유도형 보이스피싱 사례를 경고했습니다. 공개된 사례에서는 주민센터 번호로 발신번호를 변작해 공무원인 것처럼 접근한 뒤, 한국신용정보원을 사칭한 별도 전화번호를 알려 주고 다시 전화하도록 유도했습니다. 회신한 사람에게는 본인인증과 개인정보를 요구하는 흐름이 이어졌습니다. 처음 걸려온 번호가 실제 행정기관 번호처럼 보여도 이후 안내된 번호까지 진짜라는 뜻은 아닙니다.

이 수법은 피해자가 직접 전화를 걸게 만든다는 점에서 일반적인 보이스피싱과 조금 다르게 느껴질 수 있습니다. 먼저 온 전화를 의심하더라도 ‘내가 다시 전화했으니 괜찮다’고 생각하기 쉽기 때문입니다. 하지만 안전성은 누가 통화를 시작했는지가 아니라 그 번호를 어디에서 확인했는지에 달려 있습니다. 통화 상대가 불러 준 번호, 문자로 보낸 번호, 검색광고에 표시된 번호는 독립적인 확인 경로가 아닙니다. 주민센터의 공식 홈페이지나 정부24에 공개된 연락처처럼 상대가 개입하지 않은 경로에서 번호를 다시 찾아야 합니다.

KISA 공지에 따르면 한국신용정보원은 전화나 카카오톡으로 본인인증 또는 개인정보를 요구하지 않습니다. 앱 설치, 인터넷주소 접속, 원격 상담을 요구하면 통화를 중단하는 것이 맞습니다. 주민센터나 다른 행정기관 담당자를 사칭한 전화는 해당 기관의 공개 대표번호로 사실관계를 확인할 수 있습니다. 발신번호를 거짓으로 표시한 정황은 KISA 발신번호 거짓표시 신고센터에 신고할 수 있고, 보이스피싱·스미싱 상담은 국번 없이 118에서 안내받을 수 있습니다.

고객 데이터 사고 공지 뒤의 확인 순서

RingCentral은 7월 28일 공개한 보안 공지에서 정교한 사회공학 캠페인의 표적이 됐다고 밝혔습니다. 회사는 비정상 활동을 차단한 뒤 외부 포렌식 업체와 조사를 시작했으며, 제한된 일부 고객 데이터에 영향이 있었다고 설명했습니다. 영향을 받은 고객에게는 회사가 직접 연락하고 있고, 서비스의 기반 플랫폼과 운영에는 영향이 없었다는 내용도 함께 공지했습니다. 이 정보는 이용자가 해야 할 행동의 범위를 정하는 기준이 됩니다.

사고 소식을 접했다고 해서 서비스 이름이 들어간 모든 이메일이나 전화에 반응할 필요는 없습니다. 먼저 본인이 해당 서비스의 공식 통지를 받았는지 확인하고, 안내 메일의 버튼을 누르는 대신 평소 사용하던 주소나 저장된 북마크로 계정에 접속하는 편이 안전합니다. 회사가 직접 연락한다고 공지한 경우에도 발신자 이름만 보지 말고 실제 발신 도메인, 계정 알림, 고객지원 기록이 서로 맞는지 살펴야 합니다. 회사가 발표한 범위를 넘는 보상, 환불, 계정 복구를 약속하며 별도 메신저로 이동시키는 연락은 공식 고객지원에서 다시 확인해야 합니다.

고객 데이터 사고와 계정 탈취는 같은 말이 아닙니다. 이번 RingCentral 공지는 서비스의 기반 플랫폼이 영향을 받지 않았다고 밝혔습니다. 그렇더라도 직접 통지를 받은 고객이라면 계정의 최근 로그인과 보안 설정을 확인할 이유는 충분합니다. 다른 서비스와 같은 비밀번호를 사용했다면 서비스별로 서로 다른 비밀번호로 바꾸고, 제공되는 경우 다중요소인증을 켜는 것이 좋습니다. 비밀번호 변경은 이메일이나 문자에 포함된 링크가 아니라 공식 앱이나 직접 입력한 주소에서 진행해야 합니다.

정부기관처럼 보이는 체납 해결 광고

미국 연방거래위원회(FTC)는 8월 13일 세금 체납 해결 서비스를 둘러싼 제재 사례와 소비자 주의사항을 공개했습니다. FTC에 따르면 American Tax Service는 정부기관을 사칭한 우편물을 보내 특정 날짜까지 전화하지 않으면 재산을 압류당할 수 있다는 식으로 압박했습니다. TV·라디오·온라인·팟캐스트 광고를 통해 상담 전화로 유도한 뒤 세금 채무를 해결해 줄 수 있다는 허위 약속을 사용했다는 것이 FTC의 설명입니다. 관련 합의 규모는 약 1천만 달러였습니다.

이 사례는 미국의 세금제도와 사업자를 대상으로 한 조치이므로 국내 세무 절차와 그대로 연결해서는 안 됩니다. 다만 공공기관처럼 보이는 문서, 짧은 응답 기한, 재산 압류나 불이익을 강조하는 표현, 채무를 큰 폭으로 줄여 준다는 보장은 국내 이용자가 유사한 광고를 판단할 때도 확인할 만한 신호입니다. 세금이나 공공요금 문제는 광고업체가 제시한 번호가 아니라 고지서를 발급한 기관의 공식 홈페이지와 대표번호에서 직접 확인해야 합니다.

FTC는 민간 업체가 납세자의 자격이나 결과를 보장할 수 없고, 상담 전에 체납액을 크게 줄여 주겠다고 약속하거나 비용 전액을 먼저 요구하면 거래를 중단하라고 안내했습니다. 국내에서도 ‘정부지원’, ‘특별 감면’, ‘오늘 마감’이라는 문구만으로 공적 제도라고 판단하지 않는 것이 좋습니다. 제도명, 담당기관, 신청 주소를 따로 적어 둔 뒤 정부 또는 지자체 공식 사이트에서 같은 안내가 실제로 존재하는지 비교하면 광고의 표현과 공식 제도를 분리할 수 있습니다.

세 상황에서 확인해야 할 자료도 서로 다릅니다. 전화 사칭은 통화기록과 상대가 불러 준 회신번호를 보관해 공식 대표번호와 대조합니다. 기업의 보안사고 안내는 회사 보안공지의 게시일, 영향을 받은 고객에게 연락하는 방식, 계정 내부 알림을 함께 확인합니다. 체납 해결 광고는 광고 문구보다 실제 고지기관, 체납 내역, 공식 상담 절차를 먼저 봐야 합니다. 확인 대상을 나눠 두면 ‘기관명이 맞다’거나 ‘실제 사고가 있었다’는 한 가지 사실만으로 전체 연락을 진짜라고 판단하는 실수를 줄일 수 있습니다.

세 상황을 구분하는 판단 기준

세 사례에서 상대는 서로 다른 신뢰 신호를 사용합니다. 전화 사칭은 화면에 표시되는 기관 번호를 이용하고, 데이터 사고를 악용한 연락은 실제 기업명과 사고 소식을 이용하며, 체납 해결 광고는 공문 형태와 긴급한 기한을 이용합니다. 신뢰 신호가 사실이라고 해서 그 뒤에 제시되는 연락처와 요구까지 사실이 되는 것은 아닙니다. 기관명과 사건명은 맞지만 결제계좌, 상담번호, 인증 페이지가 가짜일 수 있으므로 각각을 따로 확인해야 합니다.

확인 과정에서는 ‘상대가 준 정보’를 한 묶음으로 보지 않는 편이 좋습니다. 첫째, 기관이나 기업이 실제로 존재하는지 확인합니다. 둘째, 해당 기관이 같은 공지나 제도를 공식 홈페이지에 게시했는지 찾습니다. 셋째, 공식 홈페이지에 공개된 대표번호로 연락해 내가 받은 전화·문서·메일의 진위를 묻습니다. 넷째, 본인인증 번호·비밀번호·계좌정보·신분증 사진을 요구하는 이유와 처리 주체를 확인합니다. 이 네 단계 중 하나라도 맞지 않으면 다음 행동으로 넘어가지 않아야 합니다.

이미 응답한 뒤에는 무엇을 제공했는지부터 시간 순서로 적는 것이 좋습니다. 통화만 했는지, 이름과 생년월일을 말했는지, 인증번호나 계좌정보를 넘겼는지, 앱을 설치했는지, 돈을 보냈는지에 따라 필요한 조치가 달라집니다. 통화기록·문자·입금내역·설치한 앱 이름은 삭제하기 전에 보관하고, 계정 변경은 의심받은 기기가 아닌 안전한 기기에서 공식 서비스 화면을 이용합니다. 금융거래가 포함됐다면 광고업체나 상대방과 재협상하기보다 금융회사와 신고기관의 안내를 먼저 따라야 합니다.

이번 회차 확인 항목

1. 주민센터·경찰·금융기관을 자칭한 전화가 다른 번호로 회신을 요구하면 통화를 끝내고 해당 기관 공식 홈페이지의 대표번호를 직접 찾습니다.
2. 본인인증 번호, 공동인증서 정보, 계좌 비밀번호, 원격제어 앱 설치를 요구하면 전달하거나 설치하지 않습니다.
3. 보안사고 안내 메일을 받으면 메일 속 버튼 대신 평소 사용하던 공식 앱이나 직접 입력한 주소에서 공지와 계정 활동을 확인합니다.
4. 체납 해결이나 정부지원 광고는 제도명과 담당기관을 분리해 기록하고 정부·지자체 공식 사이트에서 같은 제도가 있는지 대조합니다.
5. 결과 보장, 큰 폭의 감면, 선결제, 당일 마감이 한꺼번에 제시되면 결제 전에 공식기관과 별도로 확인합니다.
6. 개인정보나 금융정보를 이미 전달했다면 관련 계정의 비밀번호를 공식 화면에서 변경하고, 금융기관·통신사·112 또는 118에 상황에 맞는 조치를 문의합니다.

의심스러운 연락을 받았을 때 가장 먼저 할 일은 상대를 설득하거나 계속 질문하는 것이 아니라 연락 경로를 분리하는 것입니다. 끊고, 닫고, 공식 주소를 직접 찾아 다시 확인하면 발신번호·기업명·문서 형식이 주는 착각에서 벗어날 수 있습니다. 이미 통화했더라도 개인정보와 인증정보를 넘기지 않았다면 이후 요구를 중단하고 번호와 메시지를 보관해 신고 여부를 판단하면 됩니다. 금전 이체가 있었다면 시간을 지체하지 말고 이용한 금융회사와 경찰에 지급정지 등 가능한 조치를 문의해야 합니다.