추석 명절을 앞두고 택배·결제 내역을 사칭한 피싱 문자가 급증하고 있습니다. 에버스핀이 9월 1일~21일 국내 주요 금융사에서 수집한 탐지 데이터를 분석한 결과, 총 1,381건의 위험 악성 앱이 발견됐으며 그중 65%는 공공·금융기관을 사칭해 추가 악성 앱 설치를 유도하는 방식이었습니다. 악성 앱이 설치되면 연락처·문자·사진 등 개인정보가 탈취되거나, 전화가 범죄자에게 그대로 연결되는 '전화 가로채기' 피해를 입을 수 있습니다. 피싱 링크를 눌렀다고 해서 즉시 피해가 발생하는 것은 아니며, 가짜 사이트에서 개인정보를 입력하거나 악성 앱에 권한을 허용하는 순간이 실제 피해의 분기점입니다. '보안', '업데이트' 같은 단어가 앱 이름에 포함되어 있어도 안전을 보장할 수 없으므로, 출처 불명의 앱 설치 및 권한 허용을 절대 하지 않는 것이 최선의 예방책입니다.
추석 명절 시즌을 노린 택배·결제 사칭 피싱 문자가 기승을 부리고 있으며, 악성 링크를 통해 스마트폰에 악성 앱이 설치되는 사례가 9월 한 달간 1,381건 탐지됐다.
악성 앱 설치 및 권한 허용 시 연락처·문자·사진 등 개인정보 탈취, 지인 사칭 메신저 피싱·금융 사기 악용, 발신 전화를 범죄자에게 연결하는 전화 가로채기 피해가 발생할 수 있다.
공공·금융기관을 사칭한 문자 링크로 가짜 사이트에 유도한 뒤 악성 앱 설치를 권유하며, 앱이 요청하는 접근 권한을 사용자가 무심코 허용하는 것이 직접 원인이다.
피싱 문자 링크 클릭 자체보다 이후 개인정보 입력·앱 설치·권한 허용 여부가 핵심이므로, 해당 행위를 즉시 중단하고 공식 앱스토어 외 경로의 앱 설치를 차단해야 한다.
'보안', '업데이트' 등 신뢰감을 주는 앱 이름이나 익숙한 아이콘도 악성 앱일 수 있으므로, 출처 불명 앱의 설치 요청과 접근 권한 허용 요청을 모두 거부해야 한다.
본문
추석 명절을 앞두고 택배 배송 조회나 결제 내역 확인 등을 위장한 피싱 문자가 기승을 부리고 있다. 특히 문자에 포함된 악성 링크를 무심코 클릭할 경우 스마트폰 내 개인정보 탈취는 물론, 발신 전화를 범죄자에게 연결하는 '전화 가로채기' 등 심각한 2차 피해로 이어질 수 있어 주의가 요구된다.
에버스핀은 자사의 악성 앱 탐지 솔루션 'FakeFinder(페이크파인더)'를 통해 국내 주요 금융사에서 수집한 9월 탐지 데이터를 분석하고 스마트폰에서 발견된 주요 악성 기능을 22일 공개했다. 이번 조사는 2026년 9월 1일부터 21일까지 FakeFinder가 위험 등급(DANGER)으로 분류한 탐지 데이터 중 집계 건수 상위 30개 항목을 대상으로 진행됐다.
분석 결과, 상위 30개 항목의 총 탐지 건수는 1,381건으로 집계됐다. 유형별로는 공공·금융기관을 사칭해 추가 악성 앱 설치를 유도하는 사례가 903건(65.4%)으로 가장 큰 비중을 차지했다. 이어 개인정보 탈취 유형이 428건(31.0%), 전화 가로채기 유형이 50건(3.6%) 순으로 나타났다.
가장 빈번하게 발생하는 '기관 사칭 및 추가 앱 설치 유도' 유형은 공공기관이나 금융기관으로 위장해 사용자에게 개인정보 입력을 요구하거나 송금을 유도하는 수법이다. 이 과정에서 또 다른 악성 앱을 설치하도록 유도해 공격을 지속하는 형태를 띤다.
'개인정보 탈취' 유형은 스마트폰에 저장된 연락처, 문자 메시지, 사진, 메모 등 민감한 데이터에 접근한다. 사용자가 악성 앱에 무심코 허용한 권한에 따라 유출되는 정보의 범위가 달라지며, 이렇게 탈취된 정보는 피해자 지인을 사칭한 메신저 피싱이나 추가적인 금융 사기 범죄에 악용될 소지가 높다. '전화 가로채기'는 피해자가 기관 등에 사실 확인을 위해 전화를 걸 때, 단말기 수·발신을 조작해 범죄자가 미리 지정해 둔 번호로 연결되도록 가로채는 수법이다.
더욱 교묘해진 점은 이번 분석 데이터에서 보안 서비스나 시스템 관리 기능을 연상시키는 앱 이름을 사용하면서 전화 가로채기나 개인정보 탈취 기능을 수행하는 악성 앱이 다수 탐지됐다는 것이다. 앱 이름에 '보안'이나 '업데이트' 등의 단어가 포함되어 있거나 아이콘이 익숙하다는 이유만으로 안전성을 장담할 수 없는 상황이다.
전문가들은 피싱 문자 내 링크를 클릭했다고 해서 즉각적인 피해가 발생하는 것은 아니라고 조언한다. 링크로 연결된 가짜 사이트에서 개인정보를 입력하거나, 악성 앱을 설치하고 접근 권한을 허용했는지 여부에 따라 실제 위험도가 결정된다는 설명이다.
한편, 에버스핀은 고도화된 악성 앱 위협에 대응하기 위해 화이트리스트 기반의 악성 앱 탐지 솔루션 FakeFinder를 금융권에 공급하고 있다. 나아가 금융권에서 검증된 기술력을 바탕으로 개인용 피싱 방지 앱 'Phishing Block(피싱블락)'도 서비스 중이다.
