스미싱

스미싱이란 무엇일까요?

스미싱(Smishing)은 문자메시지(SMS)와 피싱(Phishing)의 합성어로, 악성 앱 설치용 인터넷주소(URL)가 포함된 문자를 대량 발송한 뒤 이용자가 링크를 눌러 악성 앱을 설치하도록 유도하고, 이를 통해 개인정보·금융정보를 탈취하거나 소액결제·계좌이체 피해를 일으키는 사기 수법입니다. 문자로 시작하지만 피해는 문자에서 끝나지 않습니다. 악성 앱이 설치되는 순간 휴대전화 안의 연락처, 사진, 인증서, 문자로 오는 인증번호까지 통째로 사기범 손에 넘어가고, 이 정보가 소액결제·오픈뱅킹 이체·비대면 대출 같은 금전 피해와 지인 대상 2차 유포로 이어집니다.

스미싱은 언제, 어떻게 시작됐을까요?

스미싱은 2012년 국내에 처음 등장한 것으로 기록되어 있습니다. 금융감독원 자료에 따르면 초기 스미싱은 무료쿠폰 제공, 돌잔치·청첩장 초대, 요금명세서 안내 등을 가장한 문자로 악성코드를 유포한 뒤, 휴대전화 소액결제 인증번호를 가로채 게임 아이템 구매 등에 사용하는 '소액결제 사기'가 주류였습니다. 실제로 2012년 말부터 소액결제 인증번호 탈취형 스미싱이 집중적으로 발생하자, 정부는 2014년 소액결제 표준결제창 도입과 USIM 기반 인증 강화 등 제도 개선에 나서기도 했습니다.

이후 스미싱은 스마트폰 기능의 발전과 함께 성격이 달라졌습니다. 초창기 악성 앱이 소액결제 문자를 몰래 가로채는 수준이었다면, 최근의 악성 앱은 연락처·통화목록·사진첩·금융정보를 통째로 탈취하고 휴대전화를 원격 조종하는 수준까지 진화했습니다. 경찰청은 "초기 악성 앱은 정보를 탈취하는 기능 위주였으나, 최근에는 휴대전화를 원격으로 조종하는 기능까지 추가될 정도로 진화했다"고 설명합니다. 즉 스미싱은 '몇십만 원짜리 소액결제 사기'에서 출발해, 지금은 보이스피싱·메신저피싱과 결합해 전 재산을 노리는 복합 범죄의 '침투 경로'가 된 셈입니다.

※ 출처: 금융감독원 「알아두면 든든한 금융사기 예방법」(2014.12, 법제처 찾기쉬운 생활법령정보 재인용), 과기정통부·경찰청·KISA 합동 보도자료(2024.10.15) 종합

스미싱 vs 보이스피싱 vs 큐싱 vs 파밍, 무엇이 다를까요?

스미싱은 피싱사기의 한 갈래로, 공격이 시작되는 매개체가 문자메시지라는 점이 핵심 구분 기준입니다. 다만 최근에는 문자로 시작해 전화(보이스피싱)로 이어지거나, 문자 대신 QR코드(큐싱)를 쓰는 등 경계가 흐려지고 있습니다. 헷갈리기 쉬운 용어를 정리하면 다음과 같습니다. 피싱사기 전반의 구조가 궁금하다면 피싱사기 가이드를 참고하세요.

주의할 점은 이 유형들이 실제 범죄에서는 순서대로 결합된다는 것입니다. 문자 링크로 악성 앱을 설치시킨 뒤(스미싱), 그 앱으로 전화를 가로채 수사기관을 사칭하는(보이스피싱) 복합 수법이 대표적입니다. 따라서 용어 구분보다 중요한 것은 "출처 불분명한 링크·QR·전화는 매체를 가리지 않고 일단 의심한다"는 원칙입니다.

스미싱 피해 현황 (연도별 탐지 건수·피해액 추이)

스미싱은 최근 몇 년 사이 가장 가파르게 증가한 사이버 사기 유형입니다. (※ 아래 수치는 2026년 7월 작성 시점 기준 최신 공개 자료이며, KISA·경찰청이 새 통계를 발표할 때마다 갱신됩니다.)

※ 출처: 탐지·신고 건수는 KISA 발표(전자신문 2025.6.2, 연합뉴스 계열 사이언스타임즈 2025.8 보도 재인용), 피해액은 경찰청 집계 기준 — 2018~2022년은 경찰청 '최근 5년간 스미싱 피해 현황'(뉴스1 2023.12.20 보도 재인용), 2024년은 경찰청이 김종양 의원실에 제출한 자료(KB국민은행 2025.8 콘텐츠 재인용). 두 자료의 2020년(약 11억 원)·2022년(약 41억 원) 수치가 일치해 상호 검증됩니다. 2025년 상반기 탐지 건수는 KISA 발표(서울경제 2025.8.31 보도 재인용)입니다. 연도별로 발표되지 않은 칸은 "-"로 비워두었으며 임의 추정치를 채우지 않았습니다.

※ 비교 시 주의: 경찰청은 2024년부터 사이버범죄 통계의 세부 유형 분류를 개편해, 피싱형 범죄를 '정보탈취 연계형 범죄' 중분류 아래로 재편했습니다(경찰청 경찰통계자료 공지). 따라서 2024년 피해액을 2022년 이전 수치와 직접 비교할 때는 집계 기준 차이가 있을 수 있음을 감안해야 합니다.

※ 참고(2026-07-07 검수 확정) — 2026년 6월 언론 보도(서울경제, 하나은행-KISA 업무협약)에서는 2025년 스미싱 탐지 건수를 "약 4,481만 건(2년 만에 90배)"으로 전했습니다. 이는 2025년 상반기 탐지 약 100만 건(KISA 발표, 바이라인네트워크 2025.8 보도)과 규모 차이가 매우 커서, 2025년 9월부터 의무화된 '악성문자 엑스레이'의 발송 단계 사전 차단 건수가 집계에 포함되며 집계 범위가 넓어진 영향으로 추정되나, KISA 공식 연간 발표로 기준을 확인하기 전까지는 표에 반영하지 않습니다(2026년 7월 검수 시점에도 공식 연간 확정치 미발표 확인).

표에서 두 가지 흐름을 읽을 수 있습니다.

첫째, 탐지 건수가 매년 4~13배씩 뛰는 폭증세입니다. 2022년 3만 7천 건 수준이던 스미싱 탐지는 2023년 50만 건, 2024년 219만 건을 넘어섰습니다. AI로 자연스러운 문자를 대량 생성할 수 있게 되고, 대량문자 발송 계정을 탈취해 한 번에 수만 건씩 뿌리는 수법이 보편화되면서 '발송 비용'이 사실상 사라진 것이 배경으로 지목됩니다.

둘째, 건수보다 피해액이 더 가파르게 늘고 있다는 점입니다. 연도별 궤적은 위 표에 정리되어 있는데, 흐름만 짚으면 이렇습니다. 2018년 2억 원대에서 출발한 피해액은 2021년 약 50억 원으로 정점을 찍고 잠시 줄었다가, 2024년 546억 원으로 되돌아왔습니다. 정부 단속으로 주춤하다가 수법을 바꿔 더 크게 돌아오는 패턴은 보이스피싱 피해 추이에서도 확인됩니다. 피해액이 이렇게 커진 이유는, 과거처럼 소액결제 한도(수십만 원) 안에서 끝나는 것이 아니라 악성 앱으로 휴대전화 전체를 장악해 오픈뱅킹 이체와 비대면 대출까지 실행하기 때문입니다. 이것이 시사하는 점은 분명합니다. 스미싱을 "당해봐야 몇십만 원"으로 여기던 시대는 끝났으며, 링크 클릭 한 번이 전 재산 피해로 직결될 수 있는 구조가 됐다는 것입니다. 한편 경찰청 피싱 통합대응단 출범 이후 발표 기준으로 2025년 1~10월 스미싱 단독 피해액은 약 255억 원(2,400건)으로 집계됐습니다(뉴시스 2025.11.24 보도). 2024년 546억 원(의원실 제출자료)과는 집계 출처와 분류 기준이 달라, 두 수치를 하나의 추세로 직접 잇는 것은 적절하지 않습니다.

한편 정부 대응도 2025년을 기점으로 사후 대응에서 사전 차단으로 전환됐습니다. KISA가 2025년 4월 시범 도입한 '악성문자 엑스레이' 체계는 문자가 발송되기 전 URL을 검사해 악성 문자를 원천 차단하는 방식으로, 시범 운영에서 탐지율 99%를 기록했고 2025년 9월 19일부터 문자중계사·재판매사에 도입이 의무화됐고, 유예기간(2026년 3월)이 지나 현재는 전면 적용 단계입니다.

※ 출처: 바이라인네트워크(2025.8.29), 뉴스1(2025.8.31), KISA 발표 종합

스미싱 사칭 유형별 현황

스미싱 문자가 무엇을 사칭하는지는 시기마다 크게 달라집니다. 2023년 이후 누적 기준 최다는 공공기관 사칭이지만, 2025년 들어서는 계정 탈취형이 상반기 전체의 절반을 차지하며 1위로 올라섰습니다.

※ 출처: 2025년 상반기 유형별 건수는 KISA 발표(서울경제 2025.8.31 보도 재인용), 누적 비중(53.4%)은 관계 당국 집계(시사저널 2025.9.29 보도 재인용), 연도별 계정탈취·지인 추이는 KISA 발표 종합. 도넛 차트의 '기타'는 상반기 총계(1,005,434건)에서 발표된 3개 유형을 뺀 잔여 계산값(7,856건)입니다.

※ 위 유형별 수치는 KISA 발표의 언론 재인용 기준이며, 2026년 7월 검수 시점까지 KISA 공식 원문 자료는 공개되지 않았습니다. 이후 공식 발표에 따라 수치가 일부 조정될 수 있습니다.

누적 기준으로 공공기관 사칭이 최다인 이유는 소재의 강제력입니다. 과태료·연금·환급금은 "확인하지 않으면 불이익이 생길 것 같은" 소재이기 때문입니다. 택배 문자는 기다리는 물건이 없으면 무시할 수 있지만, "신호위반 과태료 미납"은 누구든 '혹시 내가?' 하는 마음에 링크를 누르게 됩니다. 여기에 공공기관 문자는 원래 발신 전용 번호로 오는 경우가 많아, 이용자가 발신번호로 진위를 가리기 어렵다는 점도 악용됩니다.

그런데 2025년 들어 판이 바뀌었습니다 — 계정 탈취형의 역전입니다. 2023년 2,402건에 불과했던 계정 탈취형은 2년 만에 55만 6,367건(2025년 상반기)으로 폭증해 상반기 전체 스미싱의 절반을 차지했습니다. 연도별 추이는 위 표의 동향 열에 정리되어 있습니다. KISA는 그 배경으로, 악성문자 엑스레이 등 URL 사전 차단이 강화되자 범죄조직이 문자 대신 전화로 접근해 "원격으로 지원해주겠다"며 URL 설치를 유도하고 "과거 개인정보 유출 피해 금액을 반환해주겠다"는 미끼를 쓰는 방식으로 진화했다고 분석합니다. 계정을 탈취하면 금전 피해에 그치지 않고 그 계정으로 지인에게 접근하는 2차 범죄의 발판이 되기 때문에, 범죄조직 입장에서 '수익성'도 더 높습니다.

이것이 시사하는 점은 두 가지입니다. 첫째, 방어선이 뚫리면 수법이 이동한다는 것입니다. 문자 링크 차단이 강화되자 전화·계정 탈취로 옮겨간 것처럼, 특정 유형 하나를 조심하는 방식은 오래가지 못합니다. 둘째, 그래서 판별 기준을 '발신자가 누구인가'가 아니라 '링크 접속·앱 설치·계정 정보 입력을 요구하는가'로 바꿔야 합니다. 공공기관은 과태료·환급금 안내에 앱 설치나 개인정보 입력을 요구하는 링크를 넣지 않고, 어떤 기관·기업도 전화로 원격 지원을 빙자해 접속 주소를 불러주지 않습니다. 확인이 필요하면 문자·전화 속 안내가 아니라 정부24·해당 기관 공식 앱에서 직접 조회하고, 주요 계정에는 2단계 인증을 걸어두는 것이 가장 확실한 방어입니다.

스미싱 피해 사례

스미싱은 유형마다 미끼와 진행 순서가 다릅니다. 실제로 어떤 순서로 전개되는지 알아야 비슷한 문자를 받았을 때 바로 알아챌 수 있습니다. 아래 사례는 앞서 본 사칭 유형 통계의 지인 사칭·택배 사칭·공공기관 사칭·금융기관 사칭 4개 유형과, 통계 분류에는 없지만 최근 고액 피해를 주도하는 보이스피싱 연계 복합형으로 구성했습니다. 2025년 들어 통계 1위로 올라선 계정 탈취형은 최신 수법 섹션에서 별도로 다룹니다. 각 사례는 실제 사건 보도와 정부 공개 사례를 시간 순서대로 정리한 내용입니다.

지인 사칭형 — 지인의 번호로 도착하는 부고장·청첩장 미끼문자

지인 사칭형은 좀비폰(악성 앱에 감염돼 원격 조종되는 휴대전화)을 통해 실제 지인의 번호로 발송되기 때문에 가장 알아채기 어려운 유형입니다.

택배 사칭형 — 배송 문제를 가장해 링크 클릭 유도

공공기관 사칭형 — 범칙금·환급금·연말정산을 미끼로 유인

금융기관 사칭형 — 신청한 적 없는 카드 발급 안내로 전화 유도

카드사를 사칭해 "발급 완료" 문자를 보내고, 놀란 피해자가 스스로 가짜 고객센터에 전화하게 만드는 유형입니다. 경찰청에 따르면 2024년 11월 한 달간 카드사 사칭 문자 신고가 전년 동월 대비 75배로 폭증했습니다.

※ 출처: 경찰청 국가수사본부 공개 수법(농민신문 2024.7.22 보도), 카드사 사칭 신고 75배 통계는 경찰청 발표(금융감독원·금융위원회 보도자료 기반 KB국민은행 2025.1 콘텐츠 재인용), 신한카드·롯데카드 공식 사칭 주의 공지(보안뉴스 2023.12, 2024.4 보도)

보이스피싱 연계형 — 악성 앱 설치 후 전화까지 가로채는 복합 수법

최근 피해액이 큰 사건들은 대부분 스미싱 단독이 아니라, 악성 앱 설치 후 보이스피싱으로 이어지는 복합형입니다.

스미싱 최신 수법 (2025~2026)

스미싱은 차단 기술이 발전하는 만큼 빠르게 형태를 바꾸고 있습니다. KISA는 최근의 스미싱이 "단순 문자 사기를 넘어 전화·검색·계정 탈취형으로 진화하고 있다"고 분석합니다. 2025~2026년에 특히 주의해야 할 수법을 정리했습니다.

좀비폰 — 내 전화번호가 스미싱 발송기가 된다

과기정통부·경찰청·KISA는 2024년 10월 합동 발표에서 좀비폰 확산에 대해 국민적 주의를 당부했습니다. 작동 구조는 이렇습니다. 1차 피해자가 부고장·범칙금 등 미끼문자의 링크를 누르면 악성 앱이 설치되고, 연락처·통화목록·사진첩 등 모든 개인·금융정보가 탈취됩니다. 이어 범죄조직은 감염된 휴대전화를 원격 조종해, 그 전화번호로 연락처 목록의 지인들에게 똑같은 미끼문자를 대량 유포합니다. 받는 사람 입장에서는 '평소 알고 지내던 사람의 번호'로 문자가 오기 때문에 의심 없이 링크를 누르기 쉽고, 이렇게 2차·3차 피해자가 연쇄적으로 만들어집니다.

규모도 상당합니다. 경찰청·과기정통부 분석에 따르면 청첩장·부고장 등 지인 사칭형 스미싱은 2023년 59,565건에서 2024년 363,622건으로 1년 새 6배 이상 늘었습니다. 악성 앱은 아이콘을 투명하게 숨기거나 삭제를 방해하는 기능까지 갖추고 있어, 정부는 감염이 의심되면 모바일 백신 점검 후 필요시 휴대전화 초기화를 권고하고 있습니다.

※ 출처: 과기정통부·경찰청·KISA 합동 보도자료(2024.10.15), 서울경제(2025.3.10) 보도 종합

전화 유도형 — 문자 없이 전화로 주소를 불러주는 2단계 수법

문자 링크 차단이 강화되자, 아예 문자를 생략하는 수법이 등장했습니다. KISA가 2025년 공개한 '전화 유도형' 스미싱은 정부기관을 사칭한 전화로 인터넷 주소를 직접 불러준 뒤, 2단계에 걸쳐 악성 앱을 설치하게 하고 민감정보를 탈취합니다. 피해자가 '스스로' 주소를 입력하고 앱을 설치하는 과정이 포함되기 때문에 의심을 덜 느끼게 되고, 문자 필터링 시스템으로는 잡히지 않는다는 점이 특징입니다. 검색 결과에 피싱사이트를 노출시키는 '검색 노출 유도형'도 같은 맥락에서 확인되고 있습니다.

큐싱 — QR코드로 옮겨간 스미싱

큐싱(Qshing)은 QR코드에 악성 앱 설치 주소나 피싱사이트를 심는 수법입니다. 공유 자전거·전동킥보드의 결제 QR 위에 가짜 QR 스티커를 덧붙이거나, 전단지·이메일·게시물에 QR을 심어 유포합니다. 문자 속 URL은 이용자가 주소를 눈으로 확인할 수라도 있지만, QR코드는 스캔하기 전까지 어디로 연결되는지 알 수 없다는 점이 악용됩니다. KISA는 큐싱을 스미싱과 함께 공식 대응 대상으로 지정하고, QR코드의 악성 여부를 스캔으로 확인할 수 있는 큐싱 확인 서비스를 도입해 대응하고 있습니다.

계정 탈취·유출정보 결합형 — 대량문자 계정과 유출 개인정보의 악용

KISA 통계에서 2025년 상반기 전체 스미싱의 절반(55만 6,367건)을 차지하며 1위로 올라선 유형입니다. 문자 없이 전화로 접근해 "원격으로 지원해주겠다", "과거 유출 피해 금액을 반환해주겠다"며 접속 주소 입력과 앱 설치를 유도한 뒤, 포털·메신저·이커머스 계정을 통째로 탈취합니다. 빼앗긴 계정은 금전 피해로 끝나지 않고 지인에게 접근하는 발판으로 재사용됩니다.

여기에 더해, 최근 스미싱의 정교함은 두 가지 '탈취 자원'에서 나옵니다. 첫째, 기업·기관의 대량문자 발송 계정입니다. 공격자가 이 계정을 탈취하면 정상 기업 명의로 수만 건의 사칭 문자를 한 번에 발송할 수 있어, 정부가 발송 단계 검사(악성문자 엑스레이)를 의무화한 직접적 배경이 됐습니다. 둘째, 대규모 개인정보 유출 사고입니다. 2025년 통신사·유통 플랫폼 등의 연쇄 유출 사고 이후, 정부는 유출 정보를 악용한 스미싱·피싱 2차 피해 가능성을 경고하고 관계기관 합동 대응에 나섰습니다. 이름·전화번호 등 실제 정보가 문자에 담기면 신뢰도가 급격히 올라가기 때문에, "내 정보를 정확히 알고 있으니 진짜겠지"라는 판단 기준 자체가 더 이상 안전하지 않습니다.

이처럼 수법이 다양해질수록, 대응의 무게중심은 문자를 받은 뒤의 판별보다 애초에 당하지 않도록 환경을 만드는 쪽으로 옮겨가야 합니다. 구체적인 방법을 스미싱 예방 방법 섹션에서 살펴보겠습니다.

※ 출처: 뉴스1·서울경제(2025.8.31), KISA 「2025년 사이버 위협 동향 및 2026년 전망」 보고서 종합

스미싱 피해를 예방하는 방법은?

스미싱 예방의 핵심은 ① 문자·QR 속 링크를 누르지 않고 공식 앱에서 직접 확인하며, ② 출처 불명 앱 설치와 소액결제를 미리 차단해두는 것입니다. 아무리 정교한 미끼문자도 링크를 누르지 않으면, 그리고 링크를 눌렀더라도 앱이 설치되지 않으면 피해로 이어지지 않습니다. 판별 능력보다 환경 설정이 먼저입니다.

🔗 문자 속 링크는 누르지 말고 공식 경로로 확인하세요

발신자가 누구든, 내용이 얼마나 그럴듯하든 원칙은 하나입니다. 문자·메신저로 온 링크로 확인하지 말고, 해당 기관·회사의 공식 앱이나 공식 홈페이지에 직접 접속해 확인하는 것입니다. 이때 '직접 접속'은 검색 결과 상단을 무심코 누르는 것과 다릅니다. 범죄조직이 피싱사이트를 검색 결과에 노출시키는 '검색 노출 유도형' 수법이 확인된 만큼(KISA), 검색으로 찾아가더라도 광고 표시가 붙은 링크는 피하고 주소가 공식 도메인인지 확인한 뒤 접속하거나, 이미 설치해 둔 공식 앱과 즐겨찾기를 이용하는 것이 안전합니다. 택배는 주문한 쇼핑몰·택배사 공식 앱에서 운송장 번호로, 과태료는 경찰청 교통민원24에서, 세금·보험료는 홈택스·건강보험공단 공식 채널에서 조회하세요. 공공기관을 사칭한 문자의 링크 주소가 go.kr, or.kr이 아닌 낯선 도메인이라면 그 자체가 강한 사칭 신호입니다. 지인 명의의 부고·청첩장은 반드시 당사자에게 직접 연락해 확인하고, '국외발신' 표기가 붙은 국내 기관·택배사 문자는 사기로 간주하세요.

📱 스마트폰 설정으로 악성 앱 설치를 원천 차단하세요

스미싱 피해의 관문은 악성 앱 설치입니다. 설치 자체를 막는 설정이 가장 강력한 예방이며, 기기별로 활용할 수 있는 보호 기능이 다릅니다. 기능 명칭과 메뉴 위치는 기기 모델·OS 버전에 따라 다를 수 있으니, 이름이 조금 달라도 같은 성격의 기능을 찾아 켜두면 됩니다.

공통 원칙

• 앱은 공식 마켓에서만 설치 — 문자·전화로 안내받은 경로의 앱 설치는 어떤 명분이든 거부하세요. 악성 앱은 크롬·플레이스토어·백신 같은 정상 앱의 이름과 아이콘을 사칭합니다.
• 운영체제·앱 최신 업데이트 유지 — 보안 취약점을 이용한 감염을 줄입니다.
• 설치한 기억이 없는 앱 점검 — 앱 목록에서 낯선 앱, 특히 전화·문자·접근성 등 과도한 권한을 요구하는 앱이 있는지 주기적으로 확인하세요.

갤럭시(안드로이드) 설정

안드로이드는 설치 파일(APK) 방식 악성 앱의 주된 표적이므로, 설치 경로 차단이 핵심입니다.

• '출처를 알 수 없는 앱 설치' 차단 — 설정에서 브라우저·메시지 앱의 '알 수 없는 앱 설치 허용'을 모두 꺼두세요. 공식 마켓 외 경로의 설치가 차단됩니다.
• '보안 위험 자동 차단' 활성화 — One UI 6부터 제공되는 기능으로, 승인되지 않은 출처의 앱 설치와 악성 명령 시도를 자동으로 막아줍니다(삼성전자 공식 안내).
• 메시지 앱의 '악성 메시지 차단'·'AI로 차단' 켜기 — KISA·경찰청이 악성으로 분류한 번호·위험 URL 기반으로 스미싱 문자를 자동 차단하고, 2025년 3월부터 갤럭시 S25 시리즈에는 기기 내 AI가 의심 메시지를 걸러내는 기능이 더해졌습니다.
• AI 보이스피싱 탐지 알림 확인 — 통화 내용을 기기 내 AI가 분석해 '의심'·'경고' 2단계로 알려주는 기능으로, 2025년 11월부터 기본 탑재가 시작됐습니다. 스미싱과 결합된 전화 유도형 사기 방어에 유효합니다.

아이폰(iOS) 설정

아이폰은 앱스토어 외 설치가 구조적으로 제한되어 악성 앱 감염 위험은 낮지만, 그만큼 피싱사이트 정보 입력과 전화 유도형 수법이 집중되므로 전화·문자 필터를 강화하는 것이 핵심입니다.

• '전화 차단 및 발신자 확인' 설정 점검 — 설정 > 전화에서 통화 스크리닝을 켜면 알 수 없는 번호의 전화에 iPhone이 먼저 응답해 용건을 확인해줍니다(Apple 공식 기능).
• '알 수 없는 발신자 음소거' 활성화 — 저장되지 않은 번호의 전화를 음성 사서함으로 바로 넘겨, 전화 유도형 사기의 접촉 자체를 줄입니다.
• "아이폰이라 안전하다"는 방심 금지 — 링크를 눌러 가짜 사이트에 개인정보·카드정보를 입력하는 피해는 기기와 무관하게 발생합니다. 링크 원칙(공식 앱·직접 접속)은 아이폰에서도 동일하게 지켜야 합니다.

※ 출처: 삼성전자 뉴스룸(2025.10.17)·삼성전자서비스 공식 안내(악성 메시지 차단·AI 차단·보안 위험 자동 차단), 과학기술정보통신부 2026년 주요업무 추진계획(보이스피싱 탐지 기능 기본 도입, 2025.11~), Apple 공식 지원 문서(통화 스크리닝·발신자 차단)

💸 소액결제를 차단하거나 한도를 낮추세요

휴대폰 소액결제는 스미싱의 고전적 표적입니다. 소액결제를 쓰지 않는다면 통신사 고객센터(114)나 통신사 앱에서 아예 차단하고, 사용한다면 월 한도를 필요한 만큼만 낮춰두세요. 콘텐츠 이용료 결제도 별도 항목이므로 함께 점검하는 것이 좋습니다. 소액결제를 차단해두면 설령 악성 앱에 감염되더라도 소액결제 경로의 피해는 원천적으로 발생하지 않습니다.

🔍 의심 문자는 '보호나라'에서 1분 만에 확인하세요

한국인터넷진흥원(KISA)은 카카오톡 보호나라(boho.or.kr) 채널에서 스미싱 확인 서비스를 운영하고 있습니다. 카카오톡에서 '보호나라' 채널을 친구 추가한 뒤 의심 문자를 그대로 복사해 붙여넣으면 악성 여부를 판별해줍니다. QR코드의 악성 여부를 확인하는 큐싱 확인 서비스도 함께 제공됩니다. 판단이 서지 않는 문자는 지우기 전에 이 채널로 먼저 확인하는 습관을 들이세요. 전화 상담이 필요하면 KISA 118 상담센터(국번 없이 118)를 이용할 수 있습니다.

🛡️ 점검·차단 앱과 금융 예방 서비스를 활용하세요

이미 악성 앱이 설치됐는지 점검하거나, 명의도용·무단 대출 같은 2차 피해를 미리 막아주는 도구들입니다.

스미싱 피해 대처 방법은?

스미싱 피해가 발생했다면 ① 계좌이체 피해는 112·1332·은행에 즉시 지급정지를 신청하고, ② 소액결제 피해는 통신사에서 결제 내역 확인과 '소액결제확인서' 발급부터 시작하는 것이 핵심입니다. 피해 유형(계좌이체·소액결제·정보 유출)에 따라 절차가 다르므로, 아래에서 본인 상황에 맞는 항목을 따라가세요.

계좌이체·송금 피해 발생 시 즉시 대처 방법

악성 앱을 통한 오픈뱅킹 이체, 메신저피싱 연계 송금 등 계좌에서 돈이 빠져나간 경우는 통신사기피해환급법상 구제 절차를 따릅니다. 속도가 환급 가능성을 좌우합니다.

1. 사기 계좌 지급정지 신청 — 경찰청 112, 금융감독원 1332, 또는 송금·입금 은행 고객센터 중 어디에 연락해도 즉시 지급정지가 이루어집니다. 다른 전화기로 신고하세요.
2. 경찰서 방문 신고 후 '사건사고사실확인원' 발급 — 스미싱 문자 원문, 이체 내역 등 증거를 함께 제출합니다.
3. 피해구제 신청서 제출 — 지급정지 신청일로부터 3영업일 이내에 해당 금융회사에 제출해야 지급정지가 유지되고 채권소멸·환급 절차가 진행됩니다.
4. 본인 명의 계좌 일괄 점검 — 추가 유출이 의심되면 계좌정보통합관리서비스(payinfo.or.kr)에서 본인 계좌를 일괄 지급정지하고, 모르는 계좌·대출 개설 여부를 확인하세요.

소액결제 피해 환급 신청 절차

휴대폰 소액결제로 빠져나간 피해는 은행이 아니라 통신사·결제대행사를 상대로 한 절차를 밟습니다. KISA가 안내하는 표준 절차는 다음과 같습니다.

1. 통신사 고객센터에서 최근 모바일 결제 내역 확인 — 악성 앱 감염이 의심되면 피해 발생 여부부터 확인합니다.
2. 스미싱 문자 캡처 등 증거 확보 — 문자 원문, 결제 문자, 앱 설치 기록을 삭제하지 말고 보관하세요.
3. 통신사에 피해 신고 후 '소액결제확인서' 발급
4. 경찰서(사이버수사대·민원실)에 사고 신고 후 '사건사고사실확인서' 발급 — 소액결제확인서를 지참합니다.
5. 통신사·결제대행사에 확인서 제출 및 피해 보상 요구 — 방문, 팩스, 전자우편 제출이 가능합니다.

악성 앱이 설치되었을 때 대처 방법

1. 즉시 비행기 모드 전환 또는 전원 끄기 — 정보 유출과 원격 조종을 차단합니다. 이후 신고는 다른 전화기로 하세요.
2. 악성 앱과 APK 파일 삭제 — 앱 목록에서 사칭 앱을 삭제하고, '내 파일'의 Download 폴더에서 설치 파일(APK)까지 지워야 재설치를 막을 수 있습니다. 삭제가 안 되면 안전 모드로 부팅해 기기 관리자 권한을 해제한 뒤 삭제하세요.
3. 모바일 백신·시티즌코난으로 정밀 검사
4. 필요시 초기화 — 정부는 좀비폰 의심 시 중요한 정보만 백업한 뒤 휴대전화를 초기화하는 것을 가장 확실한 방법으로 권고합니다.
5. 금융정보 폐기·재발급과 비밀번호 전면 변경 — 감염된 폰으로 금융 서비스를 이용했다면 인증서를 폐기·재발급하고, 금융·이메일·SNS 비밀번호를 모두 바꾸세요.
6. 지인들에게 감염 사실 알리기 — 내 번호로 스미싱 문자가 발송됐을 수 있으므로, 링크를 누르지 말라고 즉시 공지하세요.

※ 출처: KISA 보호나라 스미싱 대응 안내, 과기정통부·경찰청·KISA 합동 보도자료(2024.10.15)

개인정보 유출 시 후속 조치

링크 클릭 후 이름·주민등록번호·계좌번호 등을 입력했다면, 당장 돈이 빠져나가지 않았어도 명의도용 2차 피해를 막는 조치가 필요합니다.

• 계좌·대출 개설 여부 확인 — 계좌정보통합관리서비스(payinfo.or.kr)에서 본인 명의 전체 계좌와 대출 내역을 조회하세요.
• 여신거래 안심차단 신청 — 거래 은행에서 신청하면 본인 명의 신규 대출·카드 발급이 차단됩니다.
• 휴대전화 신규 개통 제한 — 명의도용방지서비스(엠세이퍼)에서 가입제한을 신청하세요.
• 개인정보 노출자 사고예방 시스템 등록 — 금융감독원 파인(fine.fss.or.kr)에 등록하면 명의도용 금융거래가 제한됩니다.
• 신분증 사진을 전송했다면 재발급 — 주민등록증·운전면허증을 재발급받아 기존 신분증을 무효화하세요.

스미싱 피해 구제와 처벌, 관련 법률과 제도는?

스미싱은 '문자 발송 → 악성 앱 유포 → 금전 편취'의 단계마다 적용되는 법이 다릅니다. 피해자 입장에서는 구제의 근거를, 그리고 무심코 범죄에 가담하지 않기 위한 기준을 알아두는 것이 중요합니다.

📜 정보통신망법 — 악성 앱 유포 처벌과 소액결제 이용자 보호

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(정보통신망법)은 스미싱 처벌의 기본 축입니다. 제48조 제2항은 정보통신시스템·데이터를 훼손하거나 운용을 방해할 수 있는 악성프로그램의 전달·유포를 금지하며, 위반 시 제70조의2에 따라 7년 이하의 징역 또는 7천만 원 이하의 벌금에 처해집니다. 대법원은 악성프로그램을 전달·유포하는 행위만으로 범죄가 성립하며, 실제 피해 결과 발생까지는 필요하지 않다고 판시했습니다(대법원 2019.12.12. 선고 2017도16520 판결). 즉 스미싱 문자를 뿌린 것만으로도 처벌 대상이며, 여기에 금전 편취가 더해지면 형법상 사기죄·컴퓨터등사용사기죄(각 10년 이하의 징역) 등이 함께 적용됩니다.

정보통신망법은 처벌 규정만이 아니라 피해자 보호 장치도 담고 있습니다. 휴대폰 소액결제(통신과금서비스) 관련 규정이 대표적으로, 실제로 한국소비자원 소비자분쟁조정위원회는 소액결제 인증번호를 편취당한 피해 사건에서 이 법 제60조를 근거로 이동통신사·결제대행사·콘텐츠 제공사가 연대해 손해의 80%를 배상하도록 결정한 바 있습니다. 사업자에게도 결제 사고 예방 조치 의무가 있다는 취지입니다.

💰 통신사기피해환급법 — 계좌이체 피해 구제의 근거

스미싱으로 계좌이체·송금 피해가 발생한 경우에는 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」(통신사기피해환급법)이 적용됩니다. 악성 앱이나 메신저피싱을 통해 피해자 계좌에서 자금이 이체된 경우는 이 법상 '전기통신금융사기'에 해당해, 사기 계좌 지급정지 → 채권소멸절차 → 피해금 환급으로 이어지는 공식 구제 절차를 이용할 수 있습니다. 위 대처 방법 섹션의 지급정지·3영업일 내 피해구제 신청이 바로 이 법에 근거한 절차입니다. 다만 이 법은 재화·용역 거래를 가장한 사기를 원칙적으로 제외하므로, 물건 구매를 가장한 결제형 피해는 별도의 민·형사 절차로 다투게 됩니다. 이 법의 개정 연혁과 세부 구제 절차는 보이스피싱 가이드의 법률 파트에서 자세히 다룹니다.

📡 전기통신사업법·시행령 — 전송자격인증제와 악성문자 엑스레이

스미싱 문자의 '유통 경로'를 조이는 규제입니다.

• 대량문자 전송자격인증제: 인터넷망으로 대량 문자를 발송하는 문자재판매사업자가 전송자격인증을 받아야만 광고성 문자를 보낼 수 있도록 한 제도로, 방송통신위원회가 2024년 6월 1일부터 민간 자율운영 방식으로 시행했습니다. 소재지가 불분명한 '떴다방식' 문자업체를 걸러내 미끼문자 유통을 줄이는 것이 목적입니다.
• 악성문자 엑스레이 의무화: 문자 발송 요청 단계에서 URL만 추출해 악성 여부를 검사한 뒤 정상 문자만 발송되도록 하는 사전 차단 체계입니다. 2025년 4월 시범 운영에서 탐지율 99%를 기록했고, 전기통신사업법 시행령 및 전송자격인증제 개편에 따라 2025년 9월 19일부터 문자중계사·재판매사 도입이 의무화됐으며, 유예기간(2026년 3월)이 지나 현재는 전면 적용 단계입니다(2026년 7월 기준).
• 발신번호 변작 중계기(심박스) 규제: 발신번호 조작에 쓰이는 심박스 등 중계기의 제조·수입·유통·판매·대여를 금지하는 개정 전기통신사업법이 2026년 5월 19일부터 시행 중입니다.

🏛️ 2026년 3월 국회 통과 개정안 (시행 예정)

2025년의 대규모 침해사고·불법스팸 폭증을 계기로, 2026년 3월 12일 국회 본회의에서 정보통신망법·전기통신사업법 개정안이 나란히 통과됐습니다. 스미싱과 직결되는 내용은 다음과 같습니다.

• 전송자격인증의 법제화(전기통신사업법 제22조의11): 민간 자율규제였던 대량문자 전송자격인증을 정부 인증으로 전환해, 검증된 사업자만 대량문자 전송 자격을 갖게 됩니다.
• 광고성 문자 위탁 제한(정보통신망법 제50조의3): 영리 목적 광고성 문자는 전송자격인증을 받은 사업자에게만 발송을 위탁할 수 있으며, 인증 없는 사업자에게 위탁하는 행위 자체가 제한됩니다.
• 불법스팸 과징금 신설(정보통신망법 제50조의9): 광고성 정보 전송 규정 위반 시 매출액의 6% 이하 과징금을 부과할 수 있게 됩니다.

두 개정안은 2026년 3월 24일 국무회의 의결을 거쳐 공포 절차가 진행됐으며, 공포 후 6개월(전송자격인증 사업자 위탁 규정은 1년)이 경과한 날부터 시행됩니다. 정확한 시행일은 공포일에 따라 확정됩니다.

※ 출처: 법률신문·Lexology 게재 법무법인 분석(2026.3.18~19), 국회 본회의 의결(2026.3.12, 의안번호 제14864호·제14896호)

2024~2026년 제도 변화 한눈에 보기

자주 묻는 질문