보이스피싱 대응 매뉴얼 — 검찰·경찰 사칭 전화, 판별부터 신고까지

들어가며

검찰이라며 전화가 왔을 때 뭘 해야 하는지부터 씁니다. 지금 통화 중이시면 §1만 보세요.

한 가지 먼저 말씀드리면, 요즘 수법은 말이 됩니다. 문서도 정교하고 말투도 자연스럽습니다. "이게 말이 되나" 따지는 방식으로는 안 걸러집니다.

대신 목록에 있는지만 보시면 됩니다.

1. 기관은 이 다섯 가지를 하지 않습니다

기관이 하지 않는 다섯 가지 — 전화 본인인증·앱 설치·안전계좌·자산 검수·함구 요구

하나라도 나오면 끊으세요. 무례해도 됩니다. 진짜 기관이었다면 다시 연락이 옵니다.

특히 "아무에게도 말하지 마세요" 가 나오면 그 순간이 가족에게 말해야 할 때입니다. 수사 기밀을 이유로 들든 공범 수사 때문이라고 하든 마찬가지고요. 진짜 수사기관은 가족에게 말하지 말라고 요구하지 않습니다.

그리고 '안전계좌'는 존재하지 않는 말입니다. 그런 계좌는 없습니다.

2. 번호 규칙이 바뀌었습니다

여기가 이번 업데이트의 핵심입니다. 그동안 알려드린 방어법 하나가 무력화됐습니다.

2026년 8월 11일 KISA 주의보입니다. 주민센터 전화번호를 사칭해 걸고, 공무원을 사칭해 안내한 뒤, 가짜 한국신용정보원 번호로 회신하도록 유도해 개인정보를 탈취합니다.

발신번호는 위조할 수 있습니다(발신번호 거짓표시, 흔히 '변작'). 공식 대표번호를 그대로 찍어 걸 수 있으니 검색하면 진짜로 나옵니다. 진짜 번호니까요.

새로운 건 회신 유도입니다.

"본인 확인이 필요하니, 한국신용정보원 ○○○-○○○○로 다시 걸어주세요."

직접 걸어서 확인하는 행동을 역으로 이용합니다. 우리가 "저장된 번호로 직접 걸어라"라고 가르쳐온 그 습관을 노린 거죠.

걸려온 번호·알려준 번호·문자 속 번호는 쓰지 않고 내가 직접 검색한 대표번호만 쓴다

"직접 검색해서"가 중요합니다. 홈페이지, 공식 앱, 또는 원래 알던 번호. 상대가 준 정보는 어떤 것도 쓰지 않습니다.

그리고 끊고 3분쯤 있다가 거세요. 통화 종료 후에도 회선을 붙잡고 있다가 가짜 상담원으로 연결하는 악성앱 기법이 있습니다. 다른 사람 폰으로 거는 게 가장 확실합니다.

혼자 판단 안 하셔도 됩니다

카카오톡 채널 '보호나라' 를 추가하고 '스미싱' 버튼을 누른 뒤, 의심되는 문자를 그대로 붙여넣으면 정상 / 주의 / 악성 중 하나로 답이 옵니다. KISA가 운영하고 무료입니다. 30초면 끝나니, 애매한 문자를 받았을 때 이거 하나만 기억하셔도 됩니다.

확인하는 동안 상대가 재촉하면 그것 자체가 답입니다. 진짜 기관은 기다려 줍니다.

안심마크 — 있으면 진짜, 없다고 가짜는 아닙니다

KISA가 금융·공공기관의 RCS 메시지에 붙이는 인증 마크입니다. 다만 도입한 기관의 메시지에만 붙고, RCS 기반이라 기기·통신 환경에 따라 안 보일 수 있습니다.

마크가 있으면 → 진짜로 봐도 됩니다.
마크가 없으면 → 알 수 없습니다. 가짜라는 뜻이 아니라 판단 재료가 없다는 뜻이고, 그럴 땐 위의 번호 규칙으로 갑니다.

3. 이미 보냈다면 — 분 단위입니다

즉시 112 또는 1394 신고, 일괄지급정지, 3영업일 안에 피해구제 신청서 제출

① 112 또는 1394

1394는 경찰청 전기통신금융사기 통합대응단 대표번호입니다. 2026년 2월부터 기존 번호(1566-1188)를 대체했고 24시간 365일 받습니다. 금융감독원 1332도 됩니다.

② 본인계좌 일괄지급정지 — payinfo.or.kr

이게 이 글에서 제일 알려드리고 싶은 겁니다. 금융결제원 어카운트인포에서 본인 명의 전 금융권 계좌를 한 번의 신청으로 동시에 정지할 수 있습니다. 은행·증권사·저축은행이 전부 포함됩니다. 홈페이지·앱에서 매일 00:30~23:30, 만 19세 이상 본인 인증 후.

예전엔 은행마다 따로 전화해야 했고 그 사이에 돈이 빠져나갔습니다. 이건 한 번에 끝납니다.

⚠️ 부작용을 알고 쓰셔야 합니다. 지급정지가 걸리면 자동이체·오픈뱅킹을 포함한 모든 출금이 중단되고 연동된 체크카드도 못 씁니다. 월세·통신비도 멈추고요.

판단 기준은 이겁니다 — 내 계좌 정보나 인증수단이 넘어갔다고 판단되면 씁니다. 자동이체가 며칠 밀리는 것과 계좌가 비는 것은 비교 대상이 아니니까요.

③ 3영업일 안에 피해구제 신청서

지급정지는 임시 조치라 그대로 두면 풀립니다. 경찰서에서 사건사고사실확인원을 받아, 지급정지를 신청한 금융회사에 지급정지 신청일부터 3영업일 이내로 제출해야 합니다. 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」 제3조입니다.

넘기면 신청하지 않은 것으로 보지만, 금융회사가 14일의 추가 제출 기간을 통지하게 돼 있으니 포기하지 마시고 바로 연락하세요. '영업일' 이라 금요일 저녁 사고면 주말을 기다리지 말고 월요일 아침에 움직이는 게 맞습니다.

신분증·개인정보가 넘어갔다면

pd.fss.or.kr(금융감독원 노출 등록) · msafer.or.kr(명의도용 개통 차단) · payinfo.or.kr(계좌 조회). 전부 무료입니다.

악성앱이 설치됐다면

1. 먼저 비행기 모드. 앱 삭제보다 먼저입니다 — 연결이 살아 있으면 뭘 해도 다 보입니다
2. 다른 사람 폰으로 신고합니다. 감염된 폰으로 112에 걸면 가로채기당할 수 있습니다
3. 앱 삭제. 안 지워지면 설정 → 보안 → 기기 관리자 앱에서 권한을 먼저 해제
4. 가능하면 공장 초기화. 사진·연락처만 백업하고 앱은 복원하지 않습니다
5. 비밀번호 전부 변경 — 감염된 폰이 아닌 다른 기기에서. 공동인증서는 폐기 후 재발급
6. 통신사에 소액결제 차단 요청 (무료)

4. 왜 2030이 표적인가

2025년 1~8월 누계 전체 피해액 8856억 원 중 기관사칭형이 6753억 원으로 76.2퍼센트

⚠️ 위 수치는 2025년 1~8월 누계입니다. 연간 확정치가 아니니 인용하실 때 "연간"으로 바꿔 쓰시면 안 됩니다.

건당 피해액이 1년 만에 76% 늘었다는 게 제일 무서운 숫자입니다. 수법이 "짧게 여러 명"에서 "길게 한 명" 으로 바뀌었다는 신호고, 그 결과가 아래 셀프감금입니다.

여기서 통념 하나를 뒤집어야 합니다. 기관 사칭은 정보에 어두운 사람을 노리는 수법이 아닙니다. 오히려 반대입니다.

절차라는 게 있다는 걸 압니다. 수사기관 연락에는 협조해야 한다고 생각하고요. 이상하면 직접 확인해보려 합니다. 그리고 앱 설치, 계좌 이체, 가상자산 전송을 능숙하게 할 수 있습니다.

마지막이 결정적입니다. 경찰청 발표에도 나옵니다 — 범죄조직이 금융환경 변화에 밝은 청년층을 상대로 자산 대부분을 가상자산 형태로 편취하는 양상이 나타나고 있다고요.

가족 사칭이 정(情) 을 노린다면, 기관 사칭은 성실함을 노립니다. 그래서 "저는 안 속아요"는 방어가 아니라 이 수법이 성립하는 조건에 가깝습니다.

5. '셀프감금'

셀프감금 6단계 흐름. 4~5단계인 수사용 폰 개통과 숙박업소 대기가 핵심

경찰청이 2025년 9월 발표에서 짚은 진화 형태입니다. 이름이 정확합니다 — 감금하는 사람이 없습니다.

1~3단계는 예전 수법과 크게 다르지 않습니다. 새로운 건 4~5단계, 고립시키는 부분입니다.

보이스피싱이 실패하는 가장 흔한 지점은 "누군가 옆에서 이상하다고 말해주는 순간" 입니다. 은행 창구 직원, 가족, 동료. 그래서 이들은 그 순간이 오지 않게 만듭니다. 문을 잠그는 게 아니라 말려줄 사람을 없애는 거죠.

6. 큐싱 — QR은 누르기 전에 주소를 볼 수 없습니다

개인정보보호위원회가 2026년 4월 10일 별도로 주의를 당부한 수법입니다.

문자 링크는 주소가 보이지만 QR은 스캔 전에 볼 수 없다

공공장소의 진짜 QR 위에 가짜 스티커를 덧붙이는 방식이 대표적입니다. 공유 킥보드, 자전거, 주차 안내문, 엘리베이터 게시물. 손톱으로 모서리를 긁어보면 압니다. 진짜는 인쇄돼 있고 가짜는 붙어 있습니다.

스캔한 뒤에는 연결되는 주소를 확인하세요. 대부분의 카메라 앱이 접속 전에 한 번 보여주는데, 그 화면을 그냥 넘기지 마시고요.

QR을 찍었더니 앱을 설치하라고 하면 그 자리에서 멈추면 됩니다. 정상적인 결제·안내 QR은 앱 설치를 요구하지 않습니다. 안드로이드는 설정 → 보안 → 출처를 알 수 없는 앱 설치를 전부 차단해두세요. 이거 하나로 큐싱 피해의 상당 부분이 막힙니다.

자주 묻는 것

Q. 진짜 검찰에서 연락이 올 수도 있잖아요. 다 끊으면 문제 되지 않나요?
되지 않습니다. 정식 절차는 우편(등기)이나 출석 요구로 진행됩니다. 전화를 끊었다고 불이익을 받는 절차는 없습니다.

Q. 카카오톡으로 영장을 보내던데요?
수사기관은 카카오톡이나 문자로 영장을 보내지 않습니다. 영장은 대면 제시가 원칙입니다.

Q. 미리 해둘 게 있나요?
셋 다 무료입니다. 카카오톡 '보호나라' 채널 추가 / anti-forgery.kisa.or.kr 에서 번호도용 문자차단 신청 / 은행 앱에서 지연이체 서비스. 마지막 건 이체 후 3시간(또는 5시간) 뒤 입금되고 종료 30분 전까지 취소할 수 있어서, 속아서 보냈어도 되돌릴 시간이 생깁니다.

마무리

하나만 가져가신다면 이겁니다. 상대가 알려준 번호로는 절대 걸지 않는다.

번호를 검색해 확인하는 것도, 직접 거는 것도 좋은 습관이었습니다. 그런데 그 습관을 노리는 수법이 나왔죠. 번호의 출처가 나여야 합니다.

그리고 "아무에게도 말하지 마세요" 를 들었다면, 그 순간이 바로 말해야 할 때입니다.

근거 자료

• 경찰청 국가수사본부 — 기관사칭형 현황 및 '셀프감금'(2025.9.18 발표, 2025년 1~8월 누계)
• KISA — 「주민센터 전화번호를 사칭한 회신유도 보이스피싱 주의」(2026.8.11)
• 개인정보보호위원회 — 큐싱 주의 당부(2026.4.10)
• 누리랩 — 2025년 하반기 피싱 주의보 719건 분석(2026.1.19 보도)
• KISA anti-forgery.kisa.or.kr(1544-5118) · 보호나라 카카오톡 채널
• 경찰청 전기통신금융사기 통합대응단 1394(2026.2.1 통합)
• 금융결제원 payinfo.or.kr(1577-5500) · 금융감독원 pd.fss.or.kr
• 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」 제3조

⚠️ 이 글은 일반적인 정보 제공이며 개별 사안에 대한 법률 자문이 아닙니다.

#보안로그 #생활보안 #보이스피싱 #기관사칭 #보이스피싱대응 #지급정지 #큐싱 #QR피싱 #셀프감금 #발신번호변작 #보호나라 #스미싱 #정보보안