금융 사기 탐지 업체 BioCatch가 21개국 370여 개 은행·금융사의 신고 자료를 분석한 결과, 최근 12개월간 "취업 사기(일자리를 미끼로 돈을 빼가는 사기)" 피해자가 258%나 늘어 다른 어떤 사기 유형보다 빠르게 증가했습니다. 전체 사기 신고는 35% 늘었고, 사기 행위의 90%가 모바일 기기에서 시작됩니다. 투자 사기는 건당 피해액이 가장 커서 평균 6,600달러에 달했고, 구매 사기는 건수가 가장 많지만 피해 금액은 가장 적었습니다. 기사는 15분짜리 실제 사기 시도 사례를 통해 은행이 돈이 빠져나가기 전에 막을 수 있는 경고 신호들을 짚고, 미성년자를 노린 "금융 성착취(섹스토션)" 피해와 나이지리아의 조직적 사기 범죄 단속 사례도 함께 전합니다.
BioCatch가 21개국 370여 개 금융기관의 사기 신고 데이터를 분석한 결과, 지난 1년간 취업 사기 피해자가 258% 증가해 다른 사기 유형보다 훨씬 빠르게 늘었다.
전체 사기 신고가 35% 늘었고, 사기 행위의 90%가 모바일에서 시작됐다. 투자 사기 건당 평균 피해액은 6,600달러로 전체 평균의 약 5배였으며, 미성년자를 노린 금융 성착취(섹스토션) 피해로 미국에서 최소 36명의 청소년이 극단적 선택을 한 사례도 확인됐다.
모바일 중심의 원격 접속·소액 분할 송금·가짜 투자/연애 관계 등을 이용한 사회공학적 수법과, 휴대폰 번호만으로 개설 가능한 핀테크 계좌 등 자금 수취 통로의 취약성이 배경으로 꼽힌다.
은행은 실시간 경고 메시지 발송 등으로 거래 중단을 유도할 수 있으며, 전문가들은 송금 계좌뿐 아니라 '받는 계좌(돈세탁용 계좌)'도 함께 감시해야 한다고 지적한다. 실제로 한 나이지리아 수사관은 피해금 흐름을 추적해 구매된 트럭을 압류하고 민사몰수 절차를 밟았다.
통화 중 로그인, 신규 수취인 추가, 평소와 다른 큰 금액 송금, 숫자를 끊어서 입력하는 패턴 등 복합 신호를 함께 봐야 하며, 단일 신호(예: 통화 중 상태)만으로는 사기 여부를 판단하기 어렵다.
본문
신고된 취업 사기 피해자 수가 지난 12개월간 21개국 370여 개 은행 및 기타 금융기관에서 3배 이상 늘었습니다. 258% 증가라는 수치는 다른 모든 사기 유형을 앞질렀으며, 같은 기관들에서 신고된 전체 사기 건수는 35% 늘었습니다.
숫자로 보는 사기 현황 (출처: BioCatch)
사기 탐지 업체 BioCatch의 연구원들은 자사 소프트웨어를 사용하는 기관들이 제출한 신고를 바탕으로 이 수치를 집계했습니다. 이 수치는 사기가 어디서 일어나는지를 보여주기 때문에 사기 대응 업무를 하는 모든 사람에게 중요합니다. 이제 사기 세션의 10건 중 9건이 모바일 기기에서 시작됩니다. 범죄자가 계정 소유자의 도움 없이 계정을 직접 조작하는 전통적인 '미승인 사기'의 경우도 75%가 모바일에서 발생합니다.
투자 사기가 여전히 가장 큰 피해를 낸다
투자 사기의 평균 피해 금액은 6,600달러에 달해, 전체 사기 유형 평균의 거의 5배였습니다. 구매 사기는 신고된 사건의 거의 3분의 1을 차지하며 여전히 가장 흔한 유형이었습니다. 다만 구매 사기는 연구원들이 구분한 4개 지역(북미, 유럽, 라틴아메리카, 아시아태평양) 모두에서 건당 평균 피해액이 가장 낮았습니다. 로맨스 사기(연애를 빙자한 사기)는 추적된 모든 유형 중 피해자 증가 속도가 가장 느려 23% 증가에 그쳤습니다. 라틴아메리카를 제외한 모든 지역에서 로맨스 사기는 지속 기간도 가장 길어, 보통 몇 주에서 몇 달씩 이어졌습니다.
15분, 다섯 가지 경고 신호
연구원들은 돈이 실제로 빠져나가기 전에 은행이 개입할 수 있었던 지점을 보여주기 위해 약 15분간 진행된 어느 사기 세션을 단계별로 살펴봤습니다. 로그인 당시 고객은 통화 중이었고 원격 접속 소프트웨어가 설치되어 있었습니다. 연구원들은 통화 중 상태 하나만으로는 약한 신호로 취급합니다. 평균적으로 '사회공학적 보이스 스캠(전화를 이용한 사기)'으로 신고된 활동의 30%는 세션 중 활성 통화가 있는 상태이기 때문에, 이 조건만으로는 대부분의 사례가 체크를 통과하게 됩니다.
계정 개요 화면에서 고객은 거의 2분간 가만히 있었습니다. 새 수취인을 추가할 때, 고객은 계좌번호를 세 자리씩 끊어서, 사이사이 짧은 멈춤을 두며 입력했습니다. 연구원들은 이 패턴을 누군가가 전화로 숫자를 불러주는 것을 듣고 받아 적는 행동과 연결 지었습니다. 송금은 처음 등록된 수취인에게, 고객의 평소 거래 내역과는 전혀 다른 큰 금액으로 이루어졌으며, 검토 화면이 뜬 동안 같은 지점에 터치 입력이 계속 쌓였습니다.
은행은 세션 중 앱으로 경고를 보냈습니다. 고객은 검토 화면에서 '뒤로' 버튼을 눌러 송금을 중단했는데, 이는 은행이 위험도 평가(리스크 스코어)를 요청하기도 전이었습니다. 연구원들은 피해자가 이 결론에 스스로 도달해야 했다고 지적합니다. 왜냐하면 자신이 사기를 당하고 있다는 말을 들은 피해자들은 오히려 그 말에 반발하는 경우가 많기 때문입니다. 사기범들은 미리 이런 상황에 대비시킵니다: "은행이 당신을 막으려 할 겁니다. 듣지 마세요. 그들은 이해하지 못합니다."
적은 금액, 큰 위험
전직 검사이자 'Operation Shamrock'을 설립한 Erin West는 지난 7월 나이지리아를 방문하고 돌아와 은행이 주목해야 할 지점에 대한 경고를 전했습니다. 사기 조직 캠프 네트워크는 이미 그곳에 있습니다. 2024년 12월, 나이지리아 경제금융범죄위원회(EFCC)는 빅토리아 아일랜드의 7층짜리 건물에서 벌어진 가상자산 투자 및 로맨스 사기 조직을 급습해 중국인 148명을 포함한 792명을 체포했습니다. 그녀가 목격한, 더 오래되고 토착화된 형태의 사기는 상품권, 전신 송금, Venmo, Cash App, 그리고 소액으로 나눈 개인 간(P2P) 결제를 이용합니다. 이 돈은 '뮬 계정(자금 세탁용 대리 계정)'으로 흘러가는데, 여기에는 휴대폰 번호만 있으면 개설할 수 있는 핀테크 지갑도 포함됩니다.
가장 심각한 형태는 아동을 대상으로 합니다. '금융 성착취(섹스토션)'에서는 사기범이 보통 13~17세 소년을 꾀어 민감한 사진을 보내게 한 뒤, 이를 친구와 가족에게 공개하지 않는 조건으로 100달러, 200달러, 또는 상품권을 요구합니다. 미국 재무부 산하 FinCEN은 2021년 이후 이 범죄와 관련해 극단적 선택을 한 미국 청소년이 최소 36명이라고 집계했으며, West는 이것이 미국 신고 사례만 포함하는 최소치라고 말합니다. 미국 실종학대아동센터(NCMEC)는 현재 하루 137건의 금융 성착취 신고를 받고 있습니다.
West는 "어떤 모니터링 시스템도 포착하도록 설계되지 않은 적은 금액 때문에 소년들이 목숨을 잃고 있다"고 썼습니다.
West는 은행이 돈을 보내는 계정만큼 받는 계정도 철저히 감시해야 한다고 요구합니다. 뮬 계정은 돈을 받는 즉시 한 번에 빼내 버리기 때문입니다. 그렇게 할 경우 자금 회수도 가능합니다. 한 나이지리아 수사관은 약 5만 달러 규모의 '피그 버쳐링(장기간에 걸친 투자 사기)' 피해에 대한 미국 경찰 신고서를 받아, 자금이 다섯 개 은행 계좌를 거쳐 흘러간 경로를 추적했고 그 돈으로 구매된 트럭 두 대를 찾아냈습니다. 그는 트럭을 압류하고 민사몰수를 신청했습니다. 이 사건은 현재도 항소 중입니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
