※이 기사에는 영화의 스포일러가 포함돼 있습니다.
지난해 9월 개봉한 영화 '보이스'(감독 김선·김곡)는 보이스피싱 범죄를 주제로 국내에서 처음 만들어진 영화다. 영화의 시나리오는 수년간 서울경찰청 지능범죄수사대·금융감독원 보이스피싱 전담반·화이트해커(보안전문가) 등 자문을 받아 만들어졌다고 한다.
이 영화는 보이스피싱을 당한 전직 형사가 보이스피싱 조직을 추적하는 이야기를 담고 있다. 중국 본거지 콜센터 잠입에 성공한 주인공을 통해, 개인정보 확보·대본 작업·인출책 섭외·환전소 작업·콜센터 작업 등 보이스피싱 조직이 어떻게 굴러가는지를 보여준다. 대체로 고증이 잘 이뤄졌지만, 영화인 만큼 현실과 비교해 과장된 부분도 어느 정도 존재한다.
실제 일선에서 보이스피싱 범죄를 수사하고 있는 경찰 관계자와 금감원 관계자, 해당 영화를 실제로 자문했던 화이트해커 홍동철 엠시큐어 대표를 통해 영화의 어떤 부분이 팩트에 기반했는지, 혹은 현실과 차이가 있는지 살펴봤다.
① URL 누른 지 얼마 안 돼 걸려온 콜센터 전화
극 중 주인공 아내로, 작은 식당을 운영하는 미연(원진아)은 어느 날 자신의 안드로이드 기반 스마트폰을 통해 한 문자를 받게 된다. '소상공인 공공요금 지원금 안내'로 시작하는 문자에는 인터넷 주소(URL)가 포함돼 있었고, 이를 무심코 누르자 대출 신청 사이트를 가장한 홈페이지가 뜬다.
이내 얼마 지나지 않아 전화가 걸려 온다. "한서준 아내 분 되시죠. 서준이 친구 김현수 변호사라고 합니다." 그는 미연의 남편인 서준(변요한)이 근무하는 부산 공사 현장에서 사고가 발생해 과실치사로 입건됐다며, 합의금을 빨리 보내야 상황을 원만하게 해결할 수 있다고 설명한다.
이는 현실과 매우 가까운 장면이다. 특정 URL을 클릭하도록 유도해 악성 애플리케이션(앱)을 심는 것이다. 앱을 설치하면 스마트폰에 들어 있는 개인 정보가 모두 유출될 수 있으며, 지인이나 경찰관에게 전화를 걸어도 피싱 범에게 연결되는 전화번호 '가로채기'가 가능해진다. 홍 대표는 "실제 피싱 범이 보낸 URL을 클릭해 시험해본 적이 있었는데, 5분 만에 이름을 부르며 전화가 왔었다"고 말했다. 더욱이 영화처럼 대출을 빙자한 문자는 요즘 가장 많이 이뤄지는 피싱 유형이기도 하다.
다만 미연의 스마트폰이 아이폰(iOS 운영체제)이었다면 불가능했을 장면이다. URL을 통한 악성 앱 설치는 복잡한 조작이 없는 이상, 안드로이드 체제를 통해서만 가능하다고 홍 대표는 설명했다. 경찰 관계자도 "실제 피싱 범이 사용했던 안내 멘트 중에도 '아이폰은 대출 신청이 어려우니 안드로이드폰을 구하실 수 있으실까요?'라는 말이 있었다"고 전했다.
② 당사자에 전화 걸었더니 먹통 된 통신
미연은 '김현수 변호사'의 연락을 받은 직후 "확인을 좀 해보겠다"며 남편인 서준과 공사 현장 동료에게 차례로 전화를 건다. 하지만 서준은 전화를 받지 않고, 전화가 닿은 공사 현장 동료는 "여기 지금 사고가 나서 사람 죽고, 반장님(서준)은 경찰서에 있다. 좀 이따가 다시 걸어달라"며 다급한 목소리로 전화를 끊는다. 서준이 전화를 받지 못한 이유는 공사 현장에 조직원이 설치한 전파 방해 기계 때문이었고, 다급했던 동료의 목소리는 다름 아닌 콜센터 직원의 연기였다.
특정 지역 일대의 전파 방해는 '재밍(jamming)'이라 불리는 기술 장비로 가능하긴 하다. 보통 군사적 목적으로나 민감한 사업장, 대통령 행차 시 등 특수한 경우에 쓰인다. 하지만 보이스피싱 범죄를 위해 해당 기계를 설치하는 장면은 다소 과장됐을 가능성이 크다는 것이 전문가의 설명이다. 한 경찰 관계자는 "결국 의심을 차단하기 위해 재밍 기계를 설치할 조직원을 현장에 직접 투입한단 건데, 보통은 그렇게까지 품을 들이는 경우는 못 봤다"고 했다.
다만 앱 설치를 통한 전화 가로채기는 흔히 쓰이는 수법이다. 홍 대표는 "악성 앱이 심어지면 어디로 전화를 걸어도 미리 조작한 콜센터 번호로 연결되도록 하는 것이 가능하다"며 "특히 해당 앱을 통해 각종 지인 연락처나 정보, 문자 메시지 등도 유출될 수 있어, 이를 활용하면 피해자가 실제인 것처럼 믿도록 디테일을 살릴 수 있다"고 설명했다.
③ '금감원 조사2팀 심주원 대리'는 실제 존재할까
극 중 은행원을 사칭한 콜센터 직원은 "빠른 조치를 위해 금융감독원으로 전화하셔서 심주원 대리를 찾으세요"라고 말한다. 피해자가 불러준 전화번호로 전화를 걸자 "금감원 조사2팀 심주원 대리입니다. 피해를 막기 위해서 저희 안전 계좌로 입금해주셔야 하는데요. 계좌번호 불러 드릴게요"라고 안내한다. 다른 조에 배치된 콜센터 직원들 사이에서도 "금융1팀의 김현수 팀장이라고 합니다", "금융3팀 정남기 사원입니다"와 같은 대사가 들려 온다.
실제 금감원에는 '조사2팀'·'금융1팀' 같은 팀 명칭이나, '대리'·'사원' 같은 직함이 존재하지 않는다. 그럼에도 실제로는 이렇게 허술한 사실 관계를 바탕으로 사칭하는 경우가 꽤 빈번하다. 최근에는 자신을 '대검찰청 특수2부 수사관'이라고 소개하는 보이스피싱 전화도 있었는데, 특수부는 폐지된 옛 이름이며 현재는 반부패·강력수사부로 불린다.
다만 피싱 범들이 수사·금융기관을 사칭할 때 유행처럼 자주 돌려쓰는 이름은 있다. 검사 중에는 김민구·권영필·손지혜·이한울·강범구란 이름이 자주 쓰인다고 한다. 금감원에선 '김갑중 과장'을 사칭하는 경우가 빈번한 것으로 알려졌는데, 이에 대해 금감원 관계자는 "김갑중이란 사람은 금감원에 없고, 과장이란 직함도 우린 안 쓴다"고 했다. 물론 철저한 사전 조사를 통해 실제 근무 중인 이를 사칭하는 경우도 많으니 주의해야 한다.
④ 주택가 변작소, 익명 신고 없었다면 아무도 몰랐다
극 중 사건을 수사하는 경찰은 신원미상 신고자의 제보로 국내 책임자 '박 실장'(최병모)의 차량 이동 경로와 한 주택에 잔뜩 쌓여 있는 '발신 번호 변작 중계기'를 무더기로 발견한다. 지능범죄수사대 이규호 팀장(김희원)은 이곳에서 "변작기로 전화번호를 바꿔대니 안 속을 수가 있나. 저 변작만 막아도 보이스피싱 절반은 줄어들 텐데"라고 말한다. 박 실장은 "그 절반이 얼마인지는 아나?"라고 비아냥대며 받아친다.
해외 발신 인터넷 전화번호를 '02′나 '010′ 등 국내 휴대전화 발신 번호로 변경하는 변작 중계기는 보이스피싱에 있어 필수품이다. 다만 일반 주택가보다는 언제든 옮겨 다닐 수 있는 고시원·모텔, 나아가 대용량 배터리를 이용해 야산이나 자동차 트렁크 등에 설치하는 경우가 일반적이다. 영화에서는 경찰이 이런 변작기를 찾기가 어려운 것처럼 묘사돼 있는데, 지금은 기술적으로 손쉽게 적발할 수 있다는 것이 경찰 관계자의 설명이다.
요즘은 발각이 쉬운 변작기를 돌리기보다, 휴대폰에 탑재된 'CMC(Call&Message Continuity)' 기능을 이용하는 게 트렌드다. '다른 기기에서도 전화·문자하기'로 알려진 CMC는 동일한 삼성 계정에 연결된 경우 스마트폰의 전화나 문자를 연동된 태블릿에서도 원거리 수신·발신이 가능하도록 하는 기능이다. 같은 계정에 로그인된 태블릿과 스마트폰이 각각 중국 본거지와 국내에 있다면, 중국에서 전화를 걸어도 한국에서 전화를 거는 것처럼 보일 수 있다. 실제로 서울 양천경찰서는 1월 광진구에 있는 한 모텔에서 중국 태블릿과 연결된 휴대폰 20대를 관리하던 중국인을 검거했다.
⑤ '취준생 보증기금 프로젝트' 같은 치밀한 시나리오
영화 속 중국에 있는 콜센터에서는 수시로 다양한 시나리오의 대본이 뿌려진다. 전직 금융맨 출신으로 보이스피싱 설계자인 '곽 프로'(김무열)는 콜센터 직원들에게 '역대급 대본'이라고 소개하면서 "청원홀딩스 신입사원 공채에 지원해 면접까지 모두 마친 약 400명 전체명단인데, 이 친구들 상대로 작업 들어간다"고 말한다.
그의 지시에 따라 이들에게 면접 합격 사실이 통보되고 직원들은 "최종 합격까지는 신용조회가 남아 있는데 학자금 대출 등이 있으면 불리하니 '청년취업신탁보증기금'에 가입해야 한다"고 안내한다. 이곳에는 실제 개인정보 데이터베이스(DB)에 근거한 '성인사이트 조건만남 회원 협박 대본', '강남 병원 수술비 지원 프로젝트' 등 다양한 대본이 준비돼 있다.
경찰은 시나리오는 반드시 있지만, 영화에서 묘사된 것처럼 치밀하고 다양하게 마련돼 있지는 않다고 설명했다. 주로 대출 빙자형과 수사기관 사칭 등 흔히 알려진 시나리오가 반복돼 쓰인다는 것이다. 다만 '자녀 납치'를 빙자한 사건의 경우, 영화처럼 실제 개인정보 DB를 악용한 사례가 있다고 했다. 경찰 관계자는 "이런 경우 피싱범들이 부모 이름과 자녀 이름, 유학 국가 등을 구체적으로 알고 접근한다"며 "유학원 등을 통해 정보를 빼돌리는 브로커도 존재하는듯하다"고 말했다.
⑥ 조직원 150명 모인 대규모 콜센터
극 중 중국에 있는 보이스피싱 조직의 근거지는 문 닫은 쇼핑몰 건물을 이용한 대규모 공간에다가, 근무하는 직원도 150명 이상이다. 이 건물에는 콜센터뿐만 아니라 대본을 짜는 기획실, 이들을 관리하는 본부장 등이 층층이 체계적으로 존재한다. 잠복한 현수의 힌트로 경찰은 중국 공안청과 협력해 이들을 일망타진한다.
중국 수사당국과 협력해 현지에 있는 보이스피싱 조직원 일당을 붙잡는 일 자체는 현재도 이뤄지고 있다. 경기남부경찰청 반부패경제범죄수사대는 1월 26일 중국 공안청과의 공조 수사로 중국 저장성의 한 아파트에 있는 보이스피싱 콜센터 일당 10명을 붙잡았다. 이들은 3년간 한국인 236명에게 83억원 상당을 뜯어냈다.
다만 대규모란 설정은 각색일 가능성이 크다. 통상 검거 사례를 살펴보면 한 사무실에 20명 내외의 소규모로 운영되는 경우가 많다는 것이다. 한 관계자는 "콜센터를 잡으면 마치 큰 조직을 한 번에 잡을 수 있을 것 같지만, 실상은 그리 일사불란하게 조직이 운영되지 않는다"며 "콜센터는 콜센터대로, 모집책은 모집책대로 은밀한 세상에서 마치 '외주'를 주듯 움직이기 때문에 일망타진할 수가 없다"고 했다. 진짜 '전주(錢主)'는 누군지 알 수가 없다는 것이다.
⑦ "돈 얘기하면 무조건 끊으십시오" 경찰관 브리핑 멘트
조직 검거에 성공한 이규호 팀장은 수사 관련 브리핑을 열고 마지막으로 다음과 같은 말을 남긴다. "수상한 전화는 받지 마시고, 돈 얘기가 나오면 무조건 끊으십시오. 많은 피해자분이 자책을 많이 하시는데, 피해자분들의 잘못이 아닙니다. 그놈들이 악랄한 겁니다. 저희가 끝까지 쫓아가서 잡겠습니다."
이는 실제로 경찰과 금감원에서 하는 말과 크게 다르지 않다. 금감원 관계자는 "어떤 수사기관이나 금융기관도 현금을 보내라는 등 금전을 요구하지 않는다"며 "이를 요구하는 행위가 있으면 절대 응하지 말아야 하며, 피해를 본 경우 금감원이나 경찰청에 즉시 신고하고 계좌의 지급정지 등을 신청해야 한다"고 조언했다.