금융위는 목요일도 1단계 소비자 경보를 유지했다. 은행은 긴급 경계 점검 완료를 보고하기 시작했고, 의심 전화번호를 AI 기반 피싱 공유·분석 플랫폼 ASAP에 계속 넣고 있다. 당국은 최근 개인정보 유출과 연결된 확정 피해 금액은 없다고 반복했지만, 유출된 대출 신청 필드를 악용한 맞춤형 보이스피싱이 가속할 수 있다고 경고했다.
이번 주 ASAP 역할
ASAP은 금융사·이동통신사·수사기관을 묶어 한 은행이 플래그한 피싱 번호가 다른 곳에서 결제 보류를 촉발하게 한다. 금감원은 유출 관련 SMS 템플릿을 최우선으로 보고, 재사용 발신 ID와 연결된 계좌로의 이체를 멈추라고 했다.
공유 서비스에 참여하는 두 은행 보안 책임자는 10월 6일 경보 이후 용량을 늘렸다고 말했다. 이미 컨소시엄 DB에 있는 번호는 평균 매칭 지연이 10분 아래로 내려갔지만, 완전히 새 스크립트는 여전히 분석가 검토가 필요하다.
주시하는 공격 패턴
당국은 가짜 유출 보상, 가짜 갈아타기, 선입금 요구, 악성 앱 설치 네 유형을 공개했다. 소득·직장 필드가 새었다면 스크립트가 평소보다 구체적으로 들릴 수 있어, ‘계좌가 동결됐다’는 일반 로보콜과 다르다.
수사관은 AI 보조 스캔 도구가 여러 기관의 대출 대리인 포털을 동시에 두드렸는지 보고 있다. 금융보안원은 자동화가 잘못 설정된 관리 패널을 찾는 비용을 낮췄지만, 유효 자격·익스플로잇은 여전히 필요했다고 경계했다.
은행 운영 속도
은행은 한 달 특별 대응이 요구한 헬프데스크를 세우고 지점 인력을 신용 정지 요청으로 돌렸다. 사기 탐지는 신청자 이름이 정당해도 기기 지문이 유출 지표와 맞으면 비대면 대출 점수를 올린다.
자본시장 부서는 트레이딩 플로어와 소매 사기 운영을 분리했지만, WM 전화에도 컴플라이언스를 가장한 스푸핑 콜백이 왔다. 이런 사례는 SIM 박스 차단을 위해 별도 ASAP 카테고리에 기록된다.
경보 단계와 격상 조건
현재 ‘주의’는 ‘경계’ 한 단계 아래다. 금융위는 피해가 현실화되면 격상하겠다고 했다. 시민단체는 모든 피해 가능 고객에게 자동 SMS를 요구했고, 은행은 일괄 메시지가 미래 경보를 무시하게 할 수 있다고 반박했다.
대신 포렌식 샘플에서 확인된 고객에게는 공식 핫라인 링크가 있는 앱 푸시를 보내고, 메시지 본문에 콜백 번호를 넣지 않는다.
10월 8일 IT 마감과의 연계
목요일 마감 보안 패치는 추가 유출 가능성을 줄이고, ASAP은 이미 빼간 데이터의 2차 사기 위험을 다룬다. 당국은 두 트랙을 순차로 본다. 구멍을 막고, 그다음 사기범의 수익 경로를 막는다.
경찰 사이버 부대는 금감원 디지털 리스크팀과 공동 수사를 열었다. 기소는 몇 달 걸릴 수 있지만, 동결 도메인·압수 서버는 ASAP으로 거의 실시간 공유된다.
가계 안내
공식 조언은 변하지 않았다. 원치 않는 대출 제안 전화는 끊고, 상대 요청으로 원격 앱을 설치하지 말고, 은행 번호는 대표 전화로 확인한다. 카드사는 10월 프로모션 페이지에 같은 문구를 반영해, 마케팅과 사기 예방이 같은 접점을 공유한다는 걸 인정했다.
한 달 대응 기간은 ASAP 입력이 실제 이체 감소로 이어지는지 측정할 시간을 준다. 목요일 자세는 방어적이다. 경보는 켜 두고 플랫폼은 뜨겁게 유지하는 것이, 유출 꼬리가 수치화될 때까지 당국이 원하는 태세다.
금융소비자원은 피싱 피해 상담 창구를 늘렸고, 유출 고객에게는 문자 대신 앱 내 공지를 권하는 은행 목록을 웹에 올렸다. 이동통신 3사는 ASAP 연동 테스트를 이번 주 재실행했으며, 스푸핑 발신 번호 차단 규칙을 피싱 키워드와 함께 갱신했다고 밝혔다.