저장된 번호로 떠도 사기일 수 있다 — 발신번호 스푸핑 원리와 되걸기 확인법

-

발신번호 위조, ’아는 번호’도 못 믿는 이유 — 되걸어 확인하는 습관이 답입니다

이 글은 일반적인 예방 정보 제공을 목적으로 하며, 개별 피해 상황에 대한 법률·금융 자문이 아닙니다. 실제 피해가 발생했다면 즉시 경찰청(112)·금융감독원(1332)과 거래 금융사에 연락하세요.

화면에 뜬 번호는 사기범이 마음대로 바꿔 넣을 수 있습니다. 발신번호(발신자 표시)는 통화가 연결되기 전 발신 측이 임의로 지정하는 정보라, 은행·경찰·가족 번호로도 얼마든지 위조됩니다. 그래서 “아는 번호니까 괜찮겠지”는 더 이상 안전의 기준이 되지 못합니다. 진짜 방어는 화면을 믿는 게 아니라, 끊고 내가 직접 저장된 번호로 되거는 것입니다.

발신번호는 왜 못 믿나, 아는 번호도 위조일 수 있다


이 글을 쓰기 전에 저는 KISA(한국인터넷진흥원) ’발신번호 거짓표시 신고센터’에 직접 들어가 봤습니다. 화면 첫머리부터 발신번호 거짓표시(변작)를 “보이스피싱, 스미싱과 같은 전기통신금융사기 또는 불법 광고성 정보 전송 등의 목적으로 전화 및 문자를 보낼 때 타인의 전화번호, 없는 전화번호 등으로 발신 전화번호를 거짓으로 표시하는 행위”로 정의해 두었더군요. 국가기관이 별도 신고센터를 운영할 만큼, 번호 위조는 예외적 사고가 아니라 일상적으로 벌어지는 일이라는 뜻입니다. 실제로 이곳에서 위조가 의심되는 번호를 신고·조회할 수 있고, 내 번호가 문자 발송에 도용되는 것을 미리 막는 무료 서비스까지 제공하고 있었습니다(자세한 건 아래에서 다룹니다).

KISA 발신번호 거짓표시 신고센터 ‘번호도용 문자차단 서비스’ 실제 화면


이 글은 ’전화가 왔을 때 목소리로 판별하는 법’이나 ’이미 당한 뒤의 신고 절차’가 아닙니다. 그건 딥보이스 AI 사칭 전화 즉시 판별법과 아래 대응 절차 글로 따로 연결해 두었습니다. 이 글의 목표는 딱 하나, 왜 표시된 번호를 믿으면 안 되는지 원리로 이해하고, 되걸기라는 습관 하나를 몸에 붙이는 것입니다.

이 글이 속한 주제: 보이스피싱·사칭 전화 대응 총정리

발신번호는 어떻게 위조되나 — 표시번호의 구조적 허점

결론부터 말하면, 발신번호는 ’실제로 그 번호에서 걸었다는 증명’이 아니라 발신 측이 통신망에 함께 실어 보내는 ’표시용 정보’일 뿐이기 때문입니다. 편지 봉투의 보내는 사람 칸을 발신자가 직접 적는 것과 같습니다. 봉투에 ’국세청’이라고 적어도, 그 편지가 국세청에서 왔다는 뜻은 아닌 것처럼요.

인터넷 전화(VoIP)와 문자 대량 발송 시스템이 보편화되면서, 이 ’표시용 번호’를 원하는 값으로 넣어 보내는 일이 기술적으로 쉬워졌습니다. 범죄 조직은 여기에 발신번호를 조작하는 장비·서비스를 더해, 걸려오는 화면에 특정 은행·기관·개인의 번호가 뜨도록 꾸밉니다. 미국 연방통신위원회(FCC)는 이를 ’스푸핑(spoofing)’이라 부르며, “발신자가 신원을 숨기려고 발신자 표시(caller ID)에 전송되는 정보를 고의로 위조하는 것”이라고 정의합니다.

특히 조심할 유형이 ‘옆자리 번호’ 스푸핑(neighbor spoofing)입니다. 내 번호와 앞·끝자리가 비슷한 번호로 걸어 “같은 지역·아는 사람” 같은 착시를 노리는 수법입니다. “내 끝번호랑 똑같은 번호로 전화가 왔다”는 제보가 늘어난 것도 이 때문입니다.

물론 이건 불법입니다. 한국은 전기통신사업법 제84조의2에서 타인의 전화번호나 없는 번호 등으로 발신번호를 거짓 표시하는 행위를 금지하고 있고, 미국도 ’Truth in Caller ID Act’로 기만·피해·부당이득을 목적으로 한 발신번호 위조를 위반당 벌금 대상으로 규정합니다. 문제는 불법이라고 해서 화면에 안 뜨는 게 아니라는 점입니다. 그래서 법과 별개로, 이용자 쪽 습관이 필요합니다.

전화만 위조될까? 문자(SMS) 발신번호도 위조된다

전화만 조심하면 될까요? 아닙니다. 문자 메시지의 발신번호도 똑같이 위조·도용됩니다. KISA(한국인터넷진흥원)가 개인이 자기 번호를 미리 등록해 두면 그 번호가 문자 발신에 도용되는 것을 막아주는 ’번호도용 문자차단 서비스’를 운영한다는 사실 자체가, 문자 발신번호 위조가 현실이라는 방증입니다.

실전에서 문자를 볼 때 위험 신호는 대체로 이렇습니다.

  • ‘국제발신’·‘해외발신’ 라벨이 붙은 문자 — 국내 기관·지인을 사칭하면서 실제로는 해외 경유로 뿌리는 경우가 많습니다.
  • 010이 아닌 낯선 형식의 번호, 또는 ’+’로 시작하는 국제번호.
  • 아는 기관 이름·번호처럼 보이지만 링크(URL)나 앱 설치, 개인정보·인증번호를 요구하는 문자.

핵심은 문자든 전화든 같습니다. 표시된 번호는 ’누가 보냈는지’를 증명하지 못합니다. 그러니 번호가 익숙하다는 이유만으로 링크를 누르거나 요구에 응해선 안 됩니다.

참고로, 내 번호가 사기 문자에 도용되는 것을 미리 막고 싶다면 KISA의 ’번호도용 문자차단 서비스’를 이용할 수 있습니다. 제가 직접 확인해 보니 SKT·KT·LG U+ 통신사별로 무료가입 버튼이 있었고, 유의사항에는 “가입자의 이동전화번호로 발송되는 모든 인터넷 문자가 차단된다”고 안내돼 있었습니다. 즉 누군가 인터넷 문자 시스템으로 내 번호를 발신번호처럼 꾸며 뿌리는 것을 원천 차단하는 서비스입니다.

그래서 확실한 방어는 ‘되걸기’ — 왜 되걸면 스푸핑이 무력화되나

여기서 이 글의 가장 중요한 한 줄입니다. 위조할 수 있는 건 ’걸려오는 표시’뿐이고, 내가 직접 새로 거는 통화는 위조할 수 없습니다.

원리는 이렇습니다. 걸려온 전화의 발신번호는 발신자가 지정한 값이라 못 믿지만, 내가 저장된 번호나 공식 대표번호를 눌러 새 통화를 걸면 그 통화는 통신망의 정상 경로를 타고 ’진짜 그 번호의 주인’에게 연결됩니다. 사기범이 화면 표시는 바꿔도, 내가 능동적으로 거는 통화의 목적지까지 가로챌 수는 없습니다. 그래서 되걸기는 스푸핑의 효과를 근본적으로 무너뜨립니다.

이건 한국만의 요령이 아니라 국제 표준 지침입니다. 미국 FCC와 영국 Ofcom도 동일한 원칙을 안내합니다. “끊고, 명세서·전화번호부·회사나 정부기관 공식 웹사이트에 있는 번호로 직접 전화해 진위를 확인하라”는 것입니다. 국내 금융감독원 보이스피싱지킴이도 기관 사칭 전화는 해당 기관 대표번호로 직접 확인하도록 권고합니다.

구분 걸려온 전화·문자의 표시번호 내가 저장된 번호로 되거는 통화
번호를 정하는 주체 발신자(사기범이 임의 지정 가능) 나(주소록·대표번호를 직접 입력)
위조 가능성 있음 — 은행·기관·지인 번호로도 조작 없음 — 정상 경로로 진짜 주인에게 연결
신뢰해도 되나 아니오 — 신원 증명이 아님 예 — 진위 확인의 기준
해야 할 일 요구에 응하지 말고 끊기 저장된 번호·대표번호로 새로 걸어 확인
위조되는 '걸려온 표시' vs 위조 안 되는 '내가 거는 되걸기' 비교

되걸기 습관, 이렇게 만드세요

원리를 알아도 급하면 흔들립니다. 사기는 바로 그 ’급함’을 노리니까요. 아래를 습관으로 굳혀 두면 흔들릴 일이 줄어듭니다.

  1. 받은 번호로 회신하지 않습니다. 문자 속 번호, 방금 걸려온 그 번호로 다시 거는 건 되걸기가 아닙니다. 사기범에게 연결될 수 있습니다.
  2. 저장된 번호 또는 공식 대표번호로만 겁니다. 은행·카드사는 카드 뒷면·앱·공식 홈페이지의 대표번호, 가족은 평소 주소록에 저장된 번호로 겁니다.
  3. 문자·전화 화면을 보며 그대로 누르지 말고, 번호를 새로 찾아 입력합니다. 화면의 ‘통화’ 버튼이 아니라, 주소록·명세서에서 번호를 직접 확인해 겁니다.
  4. 급할수록 30초 멈춥니다. “지금 안 하면 큰일 난다”는 재촉 자체가 신호입니다. 진짜 기관은 끊고 되걸어 확인하는 걸 막지 않습니다.
  5. 가족, 특히 부모님과 “돈·개인정보 얘기가 나오면 무조건 끊고 저장된 번호로 되건다”를 하나의 규칙으로 공유합니다.

되걸어 볼 것도 없는 신호 — 상품권·암호화폐·급송금 요구

되걸기 전에, 그 자리에서 바로 사기로 확정해도 되는 신호가 있습니다. 결제·송금 수단을 콕 집어 요구하는 경우입니다.

미국 FTC(연방거래위원회)는 이 점을 아주 단호하게 못 박습니다. “사기범만이 특정 방식으로 지불하라고 요구한다”며, 계좌이체(무통장 송금)·기프트카드(상품권)·암호화폐·간편결제 앱으로 보내라는 요구를 대표적 사기 신호로 규정합니다. 특히 상품권에 대해서는 “기프트카드는 선물용입니다. 오직 선물용. 결제 수단이 아닙니다”, “정상적인 기업이나 정부기관은 절대 상품권으로 대금을 내라고 하지 않는다”고 명시합니다. 암호화폐 결제를 강요하는 것도 마찬가지 경고 대상입니다.

정리하면, 상대가 아무리 ’아는 번호’로 떠도 다음을 요구하면 되걸어 확인할 것도 없이 사기로 보고 끊으면 됩니다.

  • 상품권을 사서 뒷면 핀번호(카드번호)를 불러 달라
  • 암호화폐(가상자산)로 보내 달라
  • 지금 당장 특정 계좌로 이체·무통장 송금하라
  • 이 모든 걸 비밀로 하고 다른 사람에겐 말하지 말라

정상적인 기관·기업은 이렇게 일하지 않습니다. 이 네 가지 중 하나라도 나오면, 번호 진위를 따질 필요조차 없습니다.

자주 묻는 질문 (FAQ)

저장된 가족·은행 번호로 떠도 위조일 수 있나요?

네. 발신자 표시는 발신 측이 지정하는 정보라, 저장된 지인이나 은행·기관 번호로도 위조가 가능합니다. 번호가 익숙하다는 이유만으로 요구에 응하지 말고, 끊은 뒤 저장된 번호나 공식 대표번호로 직접 되걸어 확인하세요.

문자도 발신번호가 위조되나요?

됩니다. KISA가 ‘번호도용 문자차단 서비스’를 운영할 만큼 문자 발신번호 도용은 흔합니다. ’국제발신’ 라벨, 010이 아닌 낯선 번호, 아는 이름인데 링크·앱 설치·개인정보를 요구하는 문자는 위험 신호로 보세요.

되걸기를 할 때 방금 걸려온 번호로 다시 걸면 되나요?

아니요. 걸려온 그 번호로 회신하면 사기범에게 연결될 수 있습니다. 반드시 주소록에 저장된 번호, 카드 뒷면·명세서·공식 홈페이지의 대표번호를 새로 찾아 거세요.

발신번호 위조는 불법 아닌가요? 왜 계속 오죠?

불법입니다. 전기통신사업법 제84조의2가 발신번호 거짓 표시를 금지합니다. 다만 해외 경유·대량 발송 등으로 단속을 피해 계속 시도되기 때문에, 법적 금지와 별개로 이용자 쪽의 되걸기 습관이 필요합니다. 위조 번호는 KISA에 신고할 수 있습니다.

내 번호가 사기 문자에 도용되는 것도 막을 수 있나요?

네. KISA ’번호도용 문자차단 서비스’에 본인 번호를 등록하면, 그 번호가 인터넷 문자 발송에 도용되는 것을 사전에 차단할 수 있습니다. SKT·KT·LG U+ 통신사별로 무료가입할 수 있으며, 가입하면 내 번호로 발송되는 인터넷 문자가 차단됩니다(본인이 인터넷 문자를 보낼 일이 있다면 이 점은 참고하세요).

결론 — 화면을 믿지 말고, 끊고 되거세요

발신번호는 ’누가 걸었는지’의 증명이 아니라 발신자가 적어 넣는 표시일 뿐입니다. 그러니 아는 번호가 떠도, 돈·개인정보·인증번호를 요구하면 일단 끊고 저장된 번호로 내가 다시 겁니다. 상품권·암호화폐·급송금을 요구하면 되걸어 볼 것도 없이 사기입니다. 오늘 가족과 “이런 전화·문자는 무조건 끊고 되건다”는 규칙 하나만 정해도, 위조된 번호가 만드는 착시는 대부분 막을 수 있습니다.

함께 보면 좋은 글

참고 출처

Location: 대한민국 서울특별시