교통 과태료 사기 주의, 가짜 경찰청 사이트는 어떻게 믿게 만들었나

2026년 11월 14일 보도된 사례에서 과태료 사칭 문자는 경찰청 이름만 빌리지 않았다.

가짜 조회 화면에 공식 로고와 ‘교통민원24’, 전자정부 누리집이라는 문구까지 넣어 진짜 안내처럼 꾸몄다.

개인정보 유출 사과문을 받은 뒤 이런 문자를 받으면 내 정보가 어디서 새어 나왔는지 걱정하기 쉽다.

문자에는 ‘경찰청 교통과태료 고지서가 발송됐다’는 안내와 국외 발신 표시가 함께 있었다.

링크를 누르면 미납 내역을 조회한다며 이름과 주민등록번호 일부를 입력하도록 했다.

담당 부서와 민원전화, 기관 주소뿐 아니라 ‘교통범칙금·과태료 스미싱주의’ 배너도 있었다.

사칭 사이트가 스미싱 주의를 내걸어 경계를 누그러뜨릴 만한 모습까지 갖춘 셈이다.

행정안전부를 사칭한 문자도 확인됐다. 무엇을 납부하지 않았는지는 알리지 않은 채 미처리 납부 건과 임박한 기한을 내세웠다.

문자를 받은 A씨는 기관 이름을 보고 링크를 눌렀다가 불안해져 문자와 휴대전화의 데이터를 삭제했다고 말했다.

링크를 눌렀다는 사실만으로 정보가 탈취됐다고 확인된 것은 아니다.

공공기관의 정상 안내와 구별할 단서도 있다.

국민건강보험공단은 병원·약국에서 기준보다 많이 낸 본인부담금을 돌려주는 제도를 알리면서, 환급 신청을 안내하는 문자에는 인터넷 주소를 넣지 않는다고 밝혔다.

사칭 문자가 많아 진짜 안내와 구분할 수 있도록 덧붙인 설명이다.

사기의 미끼는 과태료에 그치지 않았다.

무신사 채용 담당자를 사칭해 마케팅 인턴 합격과 영국 런던 파견 근무를 알린 사례가 있었지만, 무신사는 그런 해외 파견형 인턴십을 운영한 적이 없다고 밝혔다.

유통업체의 개인정보 유출도 이어졌다.

2026년 6월 BGF네트웍스, 8월 29CM, 10월 할리스와 G마켓, 11월 SSG닷컴에서 사고가 확인됐다.

유출 항목은 업체마다 달랐고 이름·연락처·배송지뿐 아니라 환불 계좌번호나 모바일 쿠폰 핀번호가 포함된 경우도 있었다.

할리스가 신고한 유출 규모는 중복 회원 정보를 포함해 약 276만 건, G마켓 신고 피해 규모는 90여만 명이다.

개인정보보호위원회가 박성훈 의원실에 제출한 자료에서는 2026년 1~8월 유출 신고가 579건으로 집계됐다.

2025년 한 해의 447건보다 29.5% 많은 수치다.

이 집계에는 이후 10월 할리스·G마켓과 11월 SSG닷컴 사고가 반영되지 않았다.

다만 이번 사칭 문자와 특정 업체의 유출 정보가 연결됐다는 사실은 확인되지 않았다.

개인정보위는 2026년 7월 서비스 간 정보 교환에 쓰이는 API의 접근권한을 점검하라고 당부했다.

로그인 여부만 확인하고 개인정보 조회 권한은 따지지 않거나, 오래된 연결 기능을 방치하는 문제를 짚었다.

이후 29CM·G마켓·SSG닷컴에서 API를 통한 비정상 접근 사고가 이어졌지만, 세 업체의 결함이 같았다는 뜻은 아니다.

개인정보위 관계자는 해킹을 당한 사실만으로 과징금을 부과하는 것이 아니라, 안전조치를 제대로 이행했는지가 처분 기준이라고 설명했다.

개인정보위 관계자는 AI가 취약점을 찾고 공격하는 데 드는 시간과 노력을 줄여 공격의 빈도와 범위를 키울 수 있다고 설명했다.

새로운 취약점뿐 아니라 관리가 소홀하거나 방치된 기존 시스템도 공격 통로가 될 수 있다.

민간 침해사고는 과기정통부와 한국인터넷진흥원, 금융 분야는 금융당국과 금융보안원, 공공 분야는 국정원이 담당하고 개인정보 보호법 위반 여부는 개인정보위가 조사한다.

원문은 이번 사고에서 기관 간 정보 공유가 지연됐다고 확인된 것은 아니라고 전하면서, 유사한 공격에 공동 대응하는 체계의 실효성을 과제로 제시했다.

임종인 고려대 교수는 방어에도 AI를 활용하고 법·제도와 인프라를 정비해야 한다고 제언했다.

정부도 2026년 11월 초 보안 기능을 총괄 조정할 기구 구성을 검토하라고 지시했다.

소비자에게 링크를 경계하라고 안내하는 것만으로는 부족하다.

정보 접근권한을 관리하고 불필요한 정보를 보관하지 않는 일은 기업의 책임이기도 하다.