한국인터넷진흥원이 하나은행 명절 알림을 흉내 낸 스미싱 도메인 4만1,200건을 차단했다. 2024년 금융 피싱 DNS 통합 차단 이후 단일 주간 최대 규모다.

대부분은 10월 3~9일에 열렸다. 이 기간 은행이 추석 계좌 안내 문자를 보냈다. 범죄 조직은 초록 헤더와 ‘수수료 환급’ 제목을 복제해 카드번호를 빼냈다. KISA는 이동통신 3사·국내 인증기관과 동기화해 하위 도메인 TLS 재발급도 막았다.

캠페인 구조

등록 패턴은 동남아 불릿프루프 호스팅·패스트플럭스 DNS로 추적됐다. 발신자 표시는 레거시 SMS 스푸핑으로 ‘HanaBank’처럼 보였다. 피해자는 로그인·OTP를 입력했고 인천·마닐라 콜센터로 중계됐다. 경찰은 주말 14명을 잡았지만 지휘부는 해외로 본다.

은행·감독 대응

하나금융은 앱 배너로 ‘명절 문자가 전체 카드번호를 묻지 않는다’고 알렸다. 마케팅 SMS도 잠시 줄여 가짜와 섞이지 않게 했다. 금융위는 공식 문자 ‘#안심’ 발신 등록을 다시 권고했다. 하나는 참여했지만 화면 모방은 가능하다.

KISA는 중소 저축은행에 YARA형 규칙을 나눠 줄 계획이다. 공시 보도자료를 자동 긁어 며칠 내 미끼를 만든다고 봤다.

이용자 조치

안내는 같다. 앱을 직접 열거나 카드 뒷면 번호로 전화한다. SKT는 월요일 차단 후 하나 테마 스미싱 전달이 37% 줄었다고 했으나 iMessage·OTT는 제외다.

소비자단체는 상업 SMS 발신 인증 미이행 과징금 법안을 재추진하겠다고 했다.

위협 전경

이번 파도는 10월 초 증권 클립보드 악성코드 캠페인 뒤 나왔다. KISA는 2026년 금융 피싱 차단이 30만 건을 넘어 2025년 연간을 이미 웃돈다.

가짜 환급 문자를 지우는 통근자에게는 보이지 않는 조치지만, 모바일 뱅킹이 긴 연휴 뒤 또 겨냥된다는 뜻이다.