신원 사기

간단한 정의

신원 사기란 범죄자가 허가 없이 타인의 개인 신원정보를 사용하는 행위를 말합니다. 여기에는 이름, 주민등록번호 또는 신분증 번호, 여권 정보, 휴대전화 번호, 이메일, 주소, 은행 계좌 정보, 거래 계좌 로그인 정보 등이 포함될 수 있으며, 이를 이용해 계좌 개설, 로그인, 이체, 거래 또는 기타 금융 활동을 할 수 있습니다.

거래와 투자 환경에서 신원 사기의 핵심 위험은 시장 가격 변동이 아니라 계좌 통제권, 자금 안전, 개인 신용이 타인에게 악용될 수 있다는 점입니다. 신원 사기는 증권, 외환, 암호자산, CFD 또는 기타 온라인 금융 서비스에서 발생할 수 있습니다.

신원 사기는 어떻게 발생하나

신원 사기는 보통 한 번의 단계로 끝나지 않습니다. 정보 수집, 신원 가장, 계좌 장악, 자금 이동 등의 과정이 단계적으로 이어지는 경우가 많습니다.

거래에서 흔히 나타나는 상황

금융 거래에서 신원 사기는 다음과 같은 형태로 나타날 수 있습니다.

1. 가짜 플랫폼 계좌 개설: 범죄자가 타인의 신분증과 연락처를 사용해 브로커, 거래 플랫폼 또는 금융 서비스 기관에 계좌를 개설합니다.
2. 계좌 장악: 공격자가 피싱 링크나 유출된 비밀번호를 통해 실제 계좌에 로그인한 뒤 보안 설정을 변경합니다.
3. 고객센터 또는 준법감시 담당자 사칭: 상대방이 신원 확인이 필요하다고 주장하며 인증번호, 은행 정보 또는 원격제어 권한을 제공하도록 유도합니다.
4. SIM 스와핑 공격: 공격자가 불법적인 방법으로 피해자의 휴대전화 번호를 통제해 문자 인증번호를 수신합니다.
5. 투자 관계 사칭: 사기범이 실제 기관이나 금융 종사자를 사칭해 지정 계좌로 입금을 요구합니다.

간단한 예시

한 초보 트레이더가 거래 플랫폼에서 보낸 것처럼 보이는 이메일을 받았습니다. 이메일에는 계좌의 본인확인을 다시 완료해야 한다고 안내되어 있었습니다. 링크를 클릭하자 실제 플랫폼 웹사이트와 매우 비슷한 페이지가 열렸고, 사용자는 이메일, 비밀번호, 문자 인증번호를 입력했습니다. 이후 공격자는 실제 계좌에 로그인해 등록 이메일을 변경하고 출금을 시도했습니다.

이 예시의 핵심 문제는 특정 거래의 손익이 아니라, 로그인 정보와 인증번호가 제3자에게 넘어가 계좌 통제권이 바뀌었다는 점입니다.

초보 트레이더가 주의할 점

• 인증번호, 일회용 비밀번호 또는 복구 코드를 누구에게도 알려주지 마세요. 정상적인 금융기관은 일반적으로 채팅 도구를 통해 전체 인증번호를 요구하지 않습니다.
• 웹사이트 주소와 앱 출처를 확인하세요. 거래 계좌에 로그인할 때는 가능한 한 공식 웹사이트 주소를 직접 입력하거나 공식 앱스토어에서 받은 앱을 사용하세요.
• 다중 인증을 활성화하세요. 인증 앱이나 하드웨어 보안 키를 우선 고려할 수 있습니다. 문자 인증은 없는 것보다 낫지만 SIM 스와핑 같은 위험에 노출될 수 있습니다.
• 강력하고 고유한 비밀번호를 사용하세요. 거래 계좌, 이메일, 소셜미디어에서 같은 비밀번호를 반복 사용하지 마세요.
• 계좌 활동을 정기적으로 확인하세요. 로그인 기기, 등록 이메일, 휴대전화 번호, 출금 주소, 은행 계좌, 거래 기록에 이상이 없는지 살펴보세요.
• 재촉하거나 위협하는 표현을 경계하세요. 예를 들어 계좌가 곧 동결된다, 즉시 송금해야 한다, 지금 하지 않으면 복구할 수 없다는 식의 말은 사용자의 판단력을 떨어뜨리기 위해 자주 사용됩니다.
• 이상을 발견하면 플랫폼과 관련 기관에 신속히 연락하세요. 신원정보가 도난당했다고 의심되면 관련 계좌를 동결하고, 비밀번호를 변경하며, 증거를 보관하고, 현지 법률과 플랫폼 절차에 따라 대응해야 합니다.

신원 사기와 신원 도용의 차이

일상적으로는 신원 사기와 신원 도용이 혼용되는 경우가 많지만, 초점에는 약간의 차이가 있습니다.

위험의 한계

신원 사기 예방 조치는 위험을 낮출 수 있지만 완전히 없앨 수는 없습니다. 사용자가 강력한 비밀번호와 다중 인증을 사용하더라도 플랫폼 데이터 유출, 기기 악성코드 감염, 사회공학 기법, 제3자 서비스 취약점의 영향을 받을 수 있습니다. 따라서 트레이더는 계좌 보안을 한 번 설정하고 끝나는 일이 아니라 지속적으로 관리해야 할 사항으로 봐야 합니다.

또한 국가와 지역마다 본인확인, 계좌 동결, 사기 이의 제기, 자금 회수에 관한 규칙이 다릅니다. 실제 손실이 발생한 경우에는 계좌 서비스 기관, 현지 감독기관, 수사기관 또는 자격 있는 법률 전문가의 안내를 기준으로 대응해야 합니다.

관련 용어

• 피싱 공격: 신뢰할 수 있는 기관처럼 가장해 로그인 정보나 결제 정보를 빼내는 행위입니다.
• 다중 인증: 비밀번호 외에 인증 앱, 하드웨어 키, 생체인식 등 추가 확인 절차를 더하는 방식입니다.
• 계좌 장악: 허가받지 않은 제3자가 계좌 통제권을 확보하는 행위입니다.
• KYC: 고객확인의 약자로, 금융기관이 고객의 신원과 위험 수준을 확인하는 절차입니다.
• 자금세탁방지: 금융기관이 불법 자금 흐름을 식별하고 방지하기 위한 컴플라이언스 체계입니다.

참고 자료

• https://www.identitytheft.gov/
• https://www.finra.org/investors/protect-your-money/identity-theft
• https://www.consumerfinance.gov/consumer-tools/fraud/
• https://www.fca.org.uk/consumers/protect-yourself-scams
• https://www.investopedia.com/terms/i/identitytheft.asp