사기범들은 어떻게 개인 정보를 얻나요?
사기범들은 여러 경로로 개인 정보를 얻습니다. 때로는 피싱 메시지, 가짜 웹사이트, 사기 전화, 퀴즈·설문 또는 기타 사회공학 기법을 이용해 사람들을 속여 정보를 직접 받아냅니다. 정보는 악성코드로 기기에서 직접 훔쳐지거나, 데이터 유출(data breach)로 노출되거나, 공개 소스에서 수집되거나, 카드 스키밍이나 우편물 도난 같은 물리적 수단으로 확보되기도 합니다.
사기범들은 종종 단일 침해에만 의존하지 않고 여러 출처에서 정보를 수집해 연결합니다. 이렇게 모은 정보로 한 사람에 대한 프로필을 더 정교하게 만들면 사기의 신빙성이 높아집니다.
- 사기범들이 정보를 얻는 일반적인 경로는 세 가지로, 피해자에게서 직접 얻는 경우, 유출·침해된 데이터에서 입수하는 경우, 그리고 공개 또는 상업적으로 구매 가능한 출처에서 확보하는 경우입니다.
- 여러 종류의 정보 조각을 결합하면 훨씬 상세한 프로필이 만들어질 수 있어, 사기범이 이미 진짜 개인정보를 알고 있는 것처럼 보일 수 있습니다.
- 카스퍼스키의 2025년 연구에서는 분석된 피싱 공격의 88.5%가 계정 자격증명 탈취를 목표로 한 것으로 나타났습니다.
- 이름·주소·은행·직장 등 실제 정보를 알고 있는 발신자나 메시지가 곧바로 신뢰할 수 있다는 증거는 아닙니다.
- 보안 소프트웨어, 신뢰할 수 있는 다운로드, 소프트웨어 업데이트, 온라인에 공개하는 개인정보 최소화는 사기범들이 얻을 수 있는 정보의 양을 줄이는 데 도움이 됩니다.
- 고유한 비밀번호와 2단계 인증은 개인정보가 유출되더라도 유출된 자격증명이 쓸모없어지게 할 수 있습니다.
피싱과 사회공학
피싱과 다른 형태의 사회공학 공격은 기술적 해킹(hacking)보다 사람을 조종하는 방식에 의존합니다. 사기범들은 은행, 택배사, 정부 서비스, 고용주 또는 다른 신뢰할 수 있는 기관에서 보낸 것처럼 보이는 이메일이나 전화를 보낼 수 있습니다.
이러한 사기는 여러 형태로 나타납니다. 스미싱(smishing)은 문자 메시지를 이용하며, 비싱(vishing)은 음성 통화를 이용합니다. 가짜 웹사이트, 온라인 쇼핑몰, 퀴즈, 설문, 경품 이벤트도 개인 정보를 수집하도록 설계될 수 있습니다.
목적은 보통 사용자명·비밀번호·결제 정보·신원 식별자 같은 정보를 밝히도록 설득하는 것입니다. 사기 메시지는 악성 링크 클릭을 유도하거나 발신자가 원격으로 기기에 접근하도록 유도할 수 있습니다.
정보 탈취형 악성코드 및 기타 악성코드
악성코드는 감염된 기기에서 직접 개인 정보를 수집할 수 있습니다. 인포스틸러(infostealer)는 저장된 비밀번호, 브라우저 쿠키, 결제 정보, 파일 및 기타 민감한 정보를 찾아 훔치도록 설계된 악성코드 유형입니다.
악성코드는 악성 다운로드, 피싱 첨부파일, 손상된 웹사이트, 합법적 소프트웨어로 위장한 가짜 앱을 통해 기기를 감염시킬 수 있습니다.
브라우저 쿠키도 가치가 있습니다. 탈취된 세션 쿠키는 공격자가 비밀번호를 다시 입력하지 않고도 활성 로그인 세션을 가로챌 수 있게 할 수 있습니다. 이런 이유로 신뢰된 기기에 설치된 악성코드는 로컬에 저장된 파일 이상을 노출할 수 있습니다.
데이터 유출
개인이 아무런 잘못을 하지 않았더라도 회사나 온라인 서비스의 약점으로 개인정보가 노출될 수 있습니다.
데이터 유출(data breach)은 이메일 주소, 전화번호, 이름, 비밀번호, 결제 정보, 생년월일 또는 기타 계정 데이터를 드러낼 수 있습니다. 탈취된 자격증명은 이후 사기에 재사용되거나 다크웹에서 다른 범죄자에게 판매될 수 있습니다.
침해된 데이터는 오랫동안 유용할 수 있습니다. 오래된 비밀번호가 더 이상 유효하지 않더라도 이메일 주소·전화번호·주소·생년월일 같은 정보는 다른 최신 정보와 결합되어 신원 사기에 이용될 수 있습니다.
공개 출처 및 데이터 브로커
사기범들이 사용하는 모든 정보가 도난된 것은 아닙니다. 일부 정보는 이미 공개되어 있거나 상업적으로 구매할 수 있습니다.
소셜 미디어 프로필은 이름, 직장, 가족, 위치, 생일, 관심사, 여행 계획 등 여러 개인 정보를 드러낼 수 있습니다. 공적 기록, 사람 찾기 서비스, 디렉터리, 데이터 브로커는 연락처, 주소, 인구통계학적 데이터 등 추가 정보를 제공할 수 있습니다.
물리적 수단
사기범들은 오프라인에서도 정보를 수집할 수 있습니다. 숄더서핑(shoulder surfing)은 공공장소에서 누군가가 PIN 또는 기타 민감한 정보를 입력하는 것을 엿보는 행위입니다.
카드 스키밍 장치는 결제카드 정보를 포착할 수 있고, 도난당한 우편물에는 은행 명세서·계좌 정보·신분증이 들어 있을 수 있습니다. 버려진 서류가 안전하게 폐기되지 않으면 유용한 개인정보를 노출할 수 있습니다.
사기범들은 당신의 개인 정보로 무엇을 할 수 있나요?
사기범들이 개인 정보로 할 수 있는 일은 입수한 세부 정보에 따라 다릅니다. 이메일 주소나 전화번호만으로도 피싱이나 표적형 사기에 사용될 수 있고, 추가 정보가 있으면 더 신빙성 있는 사칭, 계정 탈취, 신원 도용이 가능해집니다.
예를 들어, 사기범은 데이터 유출로 공개된 이메일 주소와 소셜 미디어에서 찾은 직장명을 결합할 수 있습니다. 그런 다음 회사의 IT 부서에서 보낸 것처럼 보이는 피싱 메시지를 보내 요청을 더 신뢰할 만하게 보이게 만들 수 있습니다.
실제 개인 정보를 알고 있다고 해서 발신자나 메시지가 신뢰할 수 있다는 의미는 아닙니다.
사기범들은 다양한 개인 정보를 다양한 목적으로 사용할 수 있습니다:
|
노출된 정보 |
사기범들이 할 수 있는 일 |
|
이메일 주소와 전화번호 |
표적형 피싱 메시지, 사기 전화 또는 허위 계정 알림을 보냅니다. |
|
사용자명과 비밀번호 |
계정에 접근하려 하거나 다른 서비스에서 재사용된 자격증명을 테스트합니다. |
|
결제카드 또는 은행 정보 |
취득한 정보에 따라 무단 결제나 금융 사기를 시도할 수 있습니다. |
|
이름·주소·소셜 미디어 정보 |
신뢰받는 지인을 사칭하거나 사기를 더 신빙성 있게 보이게 만듭니다. |
|
신분증과 민감한 개인 정보 |
신원 도용, 허위 신청서 작성, 계정 사칭 등을 시도할 수 있습니다. |
|
브라우저 쿠키와 활성 세션 |
비밀번호를 다시 입력하지 않고 로그인된 계정을 가로챌 가능성이 있습니다. |
사기범이 내 개인 정보를 가지고 있다면 어떻게 해야 하나요?
우선 어떤 개인 정보가 노출되었는지 확인하는 것이 중요합니다. 적절한 대응은 관련 데이터의 종류, 계정 접근 여부, 기기 감염 여부에 따라 달라집니다.
|
노출된 정보 |
주요 위험 |
대응 방법 |
|
비밀번호 또는 계정 자격증명 |
계정 탈취 및 무단 접근 |
영향을 받은 비밀번호를 포함해 해당 비밀번호를 재사용한 다른 계정의 비밀번호도 변경하세요. 2단계 인증(2FA)을 활성화하고 계정 활동을 검토하며, 알 수 없는 세션에서 로그아웃하세요. |
|
결제카드 또는 은행 정보 |
무단 결제 및 금융 사기 |
즉시 은행 또는 카드사에 연락하세요. 카드나 계좌를 차단하거나 재발급해야 하는지 확인하고 최근 거래 내역을 검토하세요. |
|
신분증 또는 민감한 개인 정보 |
신원 도용 및 사칭 |
해당 발급 기관이나 서비스를 통해 안내를 받고, 본인 명의로 만든 낯선 계정이나 신청 내역이 있는지 주시하며 의심되는 신원 도용을 신고하세요. |
|
이메일 주소 또는 전화번호 |
피싱·사기 전화·표적형 사기 |
특히 실제 개인 정보가 포함된 예상치 못한 메시지나 전화에 주의하세요. 의심스러운 링크는 피하고 요청을 독립적으로 확인하세요. |
|
브라우저 쿠키·활성 세션·악성코드 관련 데이터 |
세션 하이재킹과 추가적인 자격증명 탈취 |
신뢰할 수 있는 보안 소프트웨어로 영향을 받은 기기를 점검·정리하세요. 그런 다음 깨끗한 기기에서 중요한 비밀번호를 변경하고 가능한 경우 활성 세션을 해제하며 계정 활동을 검토하세요. |
중요한 계정에서 의심스러운 로그인, 비밀번호 재설정 시도, 무단 거래가 있는지 지속적으로 모니터링하세요. 확인된 악용 사례가 있으면 해당 제공자나 기관에 신고하세요.
사기범들로부터 개인 정보를 어떻게 보호할 수 있나요?
개인정보 보호는 사기범들이 유용한 정보를 수집하기 어렵게 만드는 것에서 시작합니다. 예상치 못한 메시지나 전화는 특히 긴박감을 조성하거나 계정 접근을 요구할 때 주의하세요. 요청이 신뢰할 수 있는 기관에서 온 것처럼 보여도 공식 연락처로 직접 확인한 후 정보를 공유하거나 접근을 허용하세요.
계정 보호도 중요합니다. 모든 온라인 계정에 대해 서로 다른 비밀번호를 사용하세요. 비밀번호는 평판 있는 비밀번호 관리자에 저장할 수 있습니다. 가능한 곳에서는 2단계 인증(2FA)을 활성화하는 것이 좋습니다. 이렇게 하면 비밀번호만으로는 계정에 접근할 수 없게 됩니다.
기기도 악성코드와 인포스틸러로부터 보호되어야 합니다. 앱과 소프트웨어는 신뢰할 수 있는 출처에서 내려받고, 보안 업데이트를 즉시 설치하며, 악성 파일·웹사이트·기타 위협을 탐지할 수 있는 평판 있는 보안 소프트웨어를 사용하세요.
소셜 미디어 개인정보 설정을 검토하고 생일·가족 정보·여행 계획 등 불필요한 공개 정보를 제한해 온라인상에 노출되는 개인정보를 최소화하세요. 사용하지 않는 계정을 삭제하고 더 이상 필요 없는 서비스에서 개인정보를 제거하세요.
데이터 유출 알림과 의심스러운 로그인 경보에 주의를 기울이세요. 이런 예방 조치는 모든 유출을 막을 수는 없지만 노출 범위를 줄이고 도난된 정보가 악용되기 전에 대응할 수 있게 도와줍니다.
Kaspersky Premium은 악성 웹사이트와 피싱 시도를 차단하고, 데이터 및 비밀번호 유출을 식별하며, 비밀번호를 안전하게 관리하는 도구를 포함해 백신 보호를 보강합니다.
업계 유수의 테스트랩에서 독립적으로 검증받고 수상했습니다.
관련 기사
추천 제품
FAQs
문자나 전화만으로 사기범이 내 정보를 얻을 수 있나요?
대부분의 경우 문자나 전화만으로는 불가능합니다. 더 큰 위험은 수신자가 악성 링크를 탭하거나 개인정보를 회신하거나 소프트웨어를 설치하거나 기기 접근을 허용할 때 발생합니다. 회신은 전화번호가 활성화되어 있다는 것을 확인시켜줄 수 있으므로 의심스러운 메시지는 차단하고 삭제하는 것이 좋습니다.
이름과 주소만 있으면 신원 도용이 가능한가요?
일반적으로 이름과 주소만으로는 불가능합니다. 다만 이러한 정보만으로도 표적형 사기나 사칭 시도가 더 신빙성 있게 보일 수 있습니다. 신원 도용은 보통 생년월일, ID 정보, 계정 자격증명 또는 다른 개인 정보가 추가로 필요합니다.
사기범이 은행 계좌에 접근하려면 어떤 정보가 필요한가요?
이름과 계좌번호만으로는 일반적으로 온라인 뱅킹에 접근할 수 없습니다. 사기범들은 보통 로그인 자격증명, 보안 코드, 신뢰된 기기·활성 세션 또는 화면 접근 같은 추가 인증 정보를 필요로 합니다.
카드가 스키밍된 것을 어떻게 알 수 있나요?
기기 자체에서 이를 판단하기는 어렵습니다. 느슨하거나 평소와 다른 카드 슬롯, 예기치 않은 부착물은 경고 신호가 될 수 있습니다. 무단 거래나 은행 알림이 카드 정보가 유출되었음을 알려주는 가장 명확한 표시인 경우가 많습니다.
