조현준 핀크 대표, 신분증 사진만으로 대출 불안한 현실 [안심 디지털 세상 ⑪]

보도에 따르면, 2023년 6월 17일 A모씨는 아래와 같은 청첩장 문자를 수신해 누구의 결혼식인지 확인하기 위해 클릭했지만, 결혼식 정보로 연결되지않아 별생각 없이 넘어갔다고 한다.

그런데, A씨가 모바일 청첩장을 눌렀을 때 A 씨의 휴대폰에 원격 제어 해킹 프로그램이 설치되었고, 휴대폰에 저장된 금융인증서와 개인정보가 해킹되어 A 씨 명의 보험사와 은행 등에서 1억 4,000만 원의 대출이 실행, 인출되었다고 한다.

현행 비대면 실명확인 가이드라인의 허점을 이용하는 사기들이 계속 발생하고 있고 이로 인한 피해가 늘고 있다.
현행 비대면 실명확인 가이드라인에 따르면, ①실명확인증표(주민등록증, 운전면허증 등) 사진을 업로드 등의 방법으로 제출받는 방법 (이하 “실명확인증표 사진 방법”이라 한다), ②영상통화를 통해 신청자의 영상과 신청자로부터 제출받은 실명확인증표상의 사진을 비교하는 방법(이하 “영상통화 방법”이라 한다) ③본인만 수취할 수 있는 우편 등을 통해 고객에게 현금카드, 통장, OTP, 보안카드 등 접근 매체 전달 과정에서 실명확인증표를 확인하는 방법, ④타 금융회사에 이미 개설되어 있는 고객의 기존 계좌로부터 금융회사가 소액 이체를 받는 등의 방식을 통해 고객이 동 계좌에 대해 사용 권한이 있는지 확인하는 방법(이하 “기존계좌 방법”이라 한다), ⑤기타 이에 준하는 방법, 이상 5가지 방법 중 2가지 이상을 중첩해서 사용할 의무가 있고, 휴대폰과 같이 타 기관에서 신분 확인 후 발급한 전화번호를 활용하는 방법을 추가 확인 방법으로 사용할 것을 권고하고 있다.

그런데, ③본인만 수취할 수 있는 우편 등을 통해 고객에게 현금카드, 통장, OTP, 보안카드 등 접근 매체 전달 과정에서 실명확인증표를 확인하는 방법은, 검증에 시간이 많이 소요되기에 금융기관에서 회피하게 된다. 또한 ⑤기타 이에 준하는 방법은, 방법의 적정성 여부에 대한 책임소재가 그 방법을 사용하는 금융기관에 남기 때문에 금융기관에서 회피하게 된다.

이러한 상황 때문에 실제로는 대부분의 금융회사는 실명확인증표 사진 방법과 영상통화 방법, 기존 계좌 방법 중 2가지와 ‘타 기관에서 신분 확인 후 발급한 휴대폰 전화번호를 활용하는 방법’(이하 “휴대폰 번호 방법”이라 한다)을 중첩 사용하고 있다.

그런데, 실명확인증표 사진 방법의 허점들이 노출되고 있다. 첫째, 스미싱을 통해 실명확인증표(주민등록증, 운전면허증 등) 사진을 탈취할 수 있기 때문이다. 실제 위 사진과 같은 청첩장 문자를 보내, 링크를 선택하면 원격 제어 해킹 프로그램이 설치되고, 이 프로그램을 이용해 ‘휴대폰에 저장된 신분증 사진’을 탈취한 사례가 보도된 바 있다.

둘째, 다른 거래를 미끼로 내세우기도 한다. 아르바이트 고용이나, 중고거래, 오피스텔이나 원룸의 임대차 거래를 미끼로 상대방으로부터 신분증 사진을 확보할 수도 있다.
그리고, 휴대폰번호 방법에서도 허점이 노출되고 있다. 신분증만 도용하면 알뜰폰이 개통될 수 있기 때문이다.

휴대폰 개통을 위해 통상, 1단계 실명 확인 후 2단계 본인 인증을 하는데, 알뜰폰의 보안 시스템은 통신 3사에 비해 취약해, 일부 알뜰폰 사업자의 보안 시스템을 해킹해 본인인증 과정을 조작할 수 있다고 보도된 바 있다. 특히 알뜰폰 판매자가 사기꾼과 내통하면 답이 없는 것이 사실이다. 일부 보도에 따르면, “본인 아니어도 신분증만 있으면 오프라인으로 개통해 주는 알뜰폰 업자들이 있다”라는 스마트폰 매장 운영자의 증언도 존재한다.

몇 군데 신용카드사에 비대면으로 신용카드를 신청해 본 결과, 실명확인증표사진 방법과 휴대폰 번호 방법만 통과하면 신용카드가 발급되는 것을 알 수 있었다. 따라서, 스미싱이나 정상적인 거래를 미끼로 타인의 신분증 사진을 확보하면, 그 사람 명의의 신용카드를 발급받아, 결제에 사용하거나 현금서비스를 받을 수 있다는 결론에 도달할 수 있다.

또한, 영상통화 방법에도 허점이 있다.

인스타그램에서 ’#위조’를 검색하면 ’대리 제작 전문점’, ’이미지 제작‘ 등 신분증 사진 위조와 관련된 것으로 의심되는 광고를 다수 볼 수 있다. 위조 주민등록증을 사진으로 받으면 20만 원, 실물로 받으면 90만 원, 홀로그램을 추가하면 120만 원이라는 민간 리포트도 있을 정도다. 타인의 신분증에 사기꾼 사진을 대체해 사용하는 것이 가능한 것이다.

결국, 스미싱이나 정상적인 거래를 미끼로 타인의 신분증 사진만 확보하면, 그 신분증 사진을 이용해 알뜰폰을 발급받고, 그 신분증상의 사진을 사기꾼의 사진으로 대체해 영상통화 방법을 통과하면, 그 신분증상 명의자의 은행 계좌나 증권 계좌도 개설할 수 있게 되는 것이다. 그리고, 그렇게 하나의 계좌가 개설되면, 오픈플랫폼을 이용해 그 명의자의 모든 금융계좌를 조회할 수 있고, OTP나 인증서를 요구하지 않는 소액 송금까지도 할 수 있게 되는 것이다.

이러한 허점에 대한 필자의 대안은 다음 회에 제시하도록 하겠다.

조현준 핀크 대표