"돈 빠져나간 뒤 동결해봤자…" 보이스피싱 1조2578억 역대 최대

[한국금융신문 장종회 기자] 보이스피싱 피해액이 지난해에 연간 1조 2000억 원을 넘어서며 역대 최대치를 바꿔 치웠다.

범죄 수법이 날로 진화하고 있지만 대응 체계는 여전히 '사건이 터진 뒤 계좌를 묶는' 사후 구제에 머물러 구조적 한계를 드러낸다는 지적이 나온다.

전문가들 사이에서는 범죄 잔당을 쫓는 사후 지급정지 방식에서 벗어나 금융결제망과 민간의 사기 데이터를 실시간으로 연결해 '송금 전 단계'에서 범죄를 선제적으로 차단하는 대전환이 시급하다는 주장이 힘을 받고 있다.

1인당 피해액 5384만 원…10년새 6배

서민금융연구원은 6일 보이스피싱 피해액이 급증하는 상황을 타개하기 위해 금융회사·통신사·수사기관 뿐만 아니라 민간이 보유한 사기 정보와 예방 기술까지 유기적으로 연결하는 ‘민관 공동 사전 예방체계’구축이 시급하다고 밝혔다.

국회 정무위원회 소속 손명수 더불어민주당 의원실에서 경찰청과 금융감독원 등에서 제출받은 자료에 따르면 2025년 보이스피싱 피해액은 1조 2578억 원으로 역대 최대치를 기록했다.

피해 양상도 한층 악화되는 상황이다. 피해자 1인당 평균 피해액은 2016년 862만 원이던 게 지난해 5384만 원으로 10년 새 6배 가까이 폭증했다. 무차별 소액 사기에서 개인 정보를 철저히 쥔 고액 표적형 사기로 범죄의 질이 변하고 있다는 진단이다.

올해 1~8월 발생한 보이스피싱 사건 중 전화와 문자를 통한 최초 접근 비중이 전체의 94%에 달했다. 일상적인 통신 수단이 범죄의 유입 경로로 악용되고 있는 셈이다.

계좌 10만 개 동결해도 환급률은 26%대

더 큰 문제는 범죄가 터진 뒤 대처하는 현행 방어선이 사실상 무용지물이 됐다는 점이다. 금융회사가 지정해서 동결한 사기 이용 계좌 수는 지난 2021년 5만 7990건에서 지난해 10만 2307건으로 4년새 2배 가까이 늘었다.
하지만 피해자가 실제로 돈을 돌려받은 비율(환급률)은 같은 기간 35.9%에서 26.3%로 오히려 크게 낮아졌다.

계좌를 동결하기도 전에 피해금이 빛의 속도로 재이체 되거나 가상자산으로 세탁돼 빠져나가기 때문이다. 사후 대응 중심 체계 구조적인 한계에 부딪쳤다는 것을 보여주는 대목이다.

조성목 서민금융연구원장은 "사기 계좌를 10만 개 넘게 동결하고도 환급률이 20%대에 머물렀다는 통계는 그 어떠한 신속한 사후 조치도 사전 예방을 결코 앞설 수 없음을 증명한다"며 "골든타임의 개념을 '돈이 빠져나간 뒤의 회수 시간'이 아니라 '피해자가 최종 송금을 승인하기 전의 개입 시간'으로 완전히 바꿔야 한다"고 강조했다.

'초개인화 맞춤형 피싱' 비상

최근 정부24와 주요 시중은행 등 공공·금융권에서 잇따라 발생하고 있는 개인정보 유출 사고는 사태의 심각성을 더한다.

지난 2014년 카드 3사에서 1억여 건의 정보가 유출된 직후, 대출 빙자 및 금융 기관 사칭 피싱이 폭발적으로 급증했던 전례가 있다. 공공 데이터와 금융 데이터가 결합 유출될 경우 범죄 조직은 피해자의 직장, 가족관계, 자산 규모, 대출 현황까지 파악해 속이는 '맞춤형 시나리오 피싱'을 감행할 위험이 크다.

조 원장은 "의심 전화나 문자에 주의하라는 식의 개인 주의의무에만 의존하는 시대는 끝났다"며 "피해자가 심리적으로 압박받는 결정적 순간에 위험 신호를 감지하고 거래를 멈추게 하는 시스템적 안전장치가 필수적"이라고 진단했다.

민간의 기민함과 공공의 신뢰성 결합해야

서민금융연구원은 해결책으로 정부·금융사·통신사에 더해 민간 현장의 사기 의심 정보를 유기적으로 연결하는 '민관 공동 사전예방체계' 구축을 제시했다.

금융 사기 피해는 공식 수사나 계좌 지급정지가 이뤄지기 전, 민간 플랫폼이나 이용자 신고를 통해 최초 포착되는 경우가 많다. 민간 사기예방 플랫폼은 이용자 신고에 기반해 사기 의심정보를 많이 축적하고 주요 금융사 및 핀테크·온라인 플랫폼과 연계해서 실질적인 위험 차단 효과를 입증하고 있다.

대표적 민간 사기 예방 플랫폼인 '더치트'만 하더라도 2025년 한 해 동안 조회된 사기 주의 정보만 50억 6100만 건에 달했다. 이 가운데 송금 직전 탐지해 낸 사기 의심 거래만 1219만 건(일평균 3만 3412건)에 이른다.

전화번호 하나만 보면 단순 통화 정보 같고 계좌 하나만 보면 정상 계좌처럼 보이지만, 의심 전화번호와 피해 신고, 이상거래 신호가 연결되는 순간 범죄의 실체는 명확히 드러난다.

조 원장은 "공공의 강점이 정보의 공신력과 제도적 집행력에 있다면, 민간의 강점은 이용자 접점에서 위험 신호를 가장 빠르게 포착하는 신속성에 있다"며 "공공과 민간이 역할을 다툴 게 아니라 공공의 신뢰성에 민간의 기민함을 더하는 유기적 협력구조를 만들어야 한다"고 강조했다.

금융결제원 망 연계 결단…‘사전 예방’으로 성과지표 바꿔야

서민금융연구원은 모든 송금 거래가 거치는 금융결제원 망 등 핵심 인프라 단계에 민간의 사기 의심 데이터를 직접 연동하는 과감한 정책적 결단을 촉구했다.

위험도에 따라 ▲1단계: 정보성 경고 및 수취인 재확인 ▲2단계: 추가 인증 및 자가 점검 ▲3단계: 일정 시간 지연 송금 및 상담원 확인 ▲4단계: 단기 거래 보류 등 다층적 차단 모델을 도입하자는 제안이다.

연구원 측은 또 당국의 정책 성과 평가 기준 역시 전면 재정비해야 한다고 제안했다. 조 원장은 "향후 보이스피싱 대응 성과는 '사후에 계좌 몇 개를 동결했는가'가 아니라, '송금 전에 얼마나 많은 위험을 선제 탐지하고 실제 피해를 몇 건 막았는가'로 평가해야 한다"며 "범죄가 시작되는 순간부터 민관이 원팀으로 움직여 통합 방어망을 구축해야만 서민의 자산을 지켜낼 수 있다"고 밝혔다.

장종회 한국금융신문 기자 jhchang@fntimes.com