이미지 출처: Pexels, Mike Jones
추석 열흘 전에 친구에게서 전화가 옵니다. "네 번호로 택배 문자가 왔는데 링크가 이상해서 안 눌렀어." 내 폰의 문자함을 열어 보면 보낸 기록이 없습니다. 그런데 친구 폰에는 분명히 내 번호가 찍혀 있고, 받은 시각은 새벽 3시 12분입니다.
답은 셋 중 하나입니다. 폰이 어느 쪽인지 가르는 데는 3분이면 됩니다. 이 글은 그 3분 동안 무엇을 보는지, 감염이 맞다면 무엇부터 하는지를 적습니다. 2026년 9월 14일 기준이고, 근거는 경찰청 통계와 KISA 보호나라 안내, 구글 Play 프로텍트 문서, 그리고 LG유플러스가 9월 13일에 낸 발표입니다.
증상: 내가 보낸 적 없는 문자가 내 번호로 나갔습니다
좀비폰은 악성 앱이 깔린 뒤 범죄 조직이 밖에 둔 제어서버로 원격 조작하는 폰을 부르는 말입니다. LG유플러스가 9월 13일 발표에서 쓴 설명도 같습니다. 문자·전화·주소록이 조직의 손에 들어가고, 폰 주인이 모르는 사이에 주소록의 사람들에게 같은 문자가 나갑니다. 친구가 받은 문자가 바로 그것일 수 있습니다.
이 시기에 특히 많습니다. 더페어가 2026년 2월 12일에 전한 경찰청 자료를 보면 2025년 보이스피싱 범죄 건수는 전년보다 12.1퍼센트 늘었는데, 설과 추석이 낀 달만 따로 세면 32.5퍼센트 늘었습니다. 피해 규모도 큽니다. 경찰청이 2025년 11월 24일에 낸 집계로 2025년 1월부터 10월까지 피해액이 1조 566억 원, 건수는 19,972건입니다. 2024년 한 해 피해액 8,545억 원을 열 달 만에 넘었습니다.
그렇다고 친구 전화 한 통으로 감염을 단정할 수는 없습니다. 같은 증상을 내는 원인이 셋 있고, 그중 둘은 내 폰과 무관합니다.
용의자 셋: 카톡 계정, 내 번호, 내 폰
카카오톡 계정이 털린 경우가 있습니다. 이때 친구에게 가는 것은 문자가 아니라 카톡 메시지입니다. 친구가 받은 것이 문자(SMS)라면 이 용의자는 빠집니다. 카톡이었다면 카카오 계정 비밀번호와 로그인된 기기 목록을 보는 것이 먼저이고, 폰 자체는 멀쩡할 수 있습니다.
발신번호만 흉내 낸 경우도 있습니다. 발신번호 거짓표시라고 부르는 수법으로, 남의 폰에서 내 번호를 달고 문자를 보냅니다. 내 폰은 아무 일도 하지 않았으니 발신함에 기록이 없고, 통신사 요금 명세에도 문자 발신이 늘지 않습니다. KISA 보호나라에 이 유형을 따로 신고하는 창구가 있습니다.
마지막이 내 폰에 앱이 깔린 경우이고, 이것이 좀비폰입니다. 앞의 둘과 다른 점은 폰 안에 흔적이 남는다는 것입니다. 다만 발신함이 비어 있다고 안심할 수는 없습니다. 악성 앱은 자기가 보낸 문자 기록을 지웁니다. 그래서 발신함 말고 다른 자리를 봐야 하고, 그것이 다음다음 절의 흔적 다섯입니다.
| 용의자 | 친구가 받은 것 | 내 폰 안 흔적 | 먼저 볼 곳 |
|---|---|---|---|
| 카톡 계정 탈취 | 카톡 메시지 | 없음 | 카카오 계정의 로그인 기기 목록 |
| 발신번호 거짓표시 | 문자 | 없음 | 통신사 요금 명세, 보호나라 신고 |
| 내 폰의 악성 앱(좀비폰) | 문자 | 있음 | 설정 화면(아래 흔적 다섯) |
진범: 택배 문자 한 통으로 들어온 앱
택배 문자의 링크가 앱 설치로 이어지고, 그 앱이 제어서버의 명령을 받아 주소록으로 같은 문자를 보내는 경로입니다.
경로는 네 칸입니다. 스미싱이라는 수법 자체는 스미싱 편에서 다뤘고, 여기서는 폰이 넘어가는 경로만 따라갑니다. 택배사를 사칭한 문자가 오고, 주소를 확인하라며 링크를 누르게 합니다. 링크는 앱 설치 파일로 이어집니다. 여기서 폰은 "알 수 없는 앱을 설치하시겠습니까"라고 한 번 묻는데, 이 물음에 허용을 누르는 순간이 갈림길입니다. 진짜 택배사는 문자로 앱을 깔라고 하지 않습니다.
깔린 앱은 권한부터 달라고 합니다. 문자와 주소록, 전화, 그리고 접근성 서비스입니다. 접근성 서비스는 원래 시각이 불편한 분을 위해 화면을 읽어 주고 대신 눌러 주는 기능입니다. 악성 앱이 이 권한을 받으면 은행 앱 화면을 읽고 버튼을 대신 누를 수 있습니다. 택배 조회에 이 넷이 필요할 리 없습니다.
그다음부터 폰은 남의 것입니다. 제어서버의 명령을 받습니다. LG유플러스 설명대로 조직이 밖에서 원격으로 조작하는 상태입니다. 명령 하나면 내 주소록 전체에 같은 문자가 나갑니다. 친구가 받은 문자는 이 단계에서 나간 것입니다.
숫자 하나는 반대를 가리킵니다. 택배 사칭 문자는 전체 스미싱에서 차지하는 비중이 오히려 크게 줄었습니다. 뉴스컬처가 2025년 9월에 정부 스미싱 탐지 통계를 인용한 것을 보면, 택배 사칭은 2022년 51.8퍼센트(1만 9,214건)에서 2023년 18.1퍼센트(9만 1,159건), 2024년 1.3퍼센트(2만 9,299건), 2025년 1~8월 1.5퍼센트(1만 7,970건)로 내려왔습니다. 같은 기간 계정 탈취 같은 기타 유형은 60만 2,319건이었습니다.
택배 사칭 문자의 비중은 4년 사이 51.8퍼센트에서 1.5퍼센트로 내려왔습니다. 그런데도 통신사가 추석마다 택배를 먼저 경고하는 데는 이유가 있습니다.
비중이 이렇게 작은데 통신사가 추석마다 택배부터 경고하는 이유는 둘입니다. 건수는 적어도 결과가 가장 무겁습니다. 계정 탈취 문자는 아이디 하나를 잃지만, 택배 문자는 폰 전체를 잃습니다. 그리고 명절에는 진짜 택배 문자가 하루에도 몇 통씩 오기 때문에 의심이 풀립니다. LG유플러스 발표를 전한 경기신문 기사에는 실제 규모가 있습니다. 이 회사가 2025년 2월부터 12월까지 추적한 제어서버가 800개 이상, 감염 흔적이 잡힌 고객이 3만 3천 명 이상, 6월 말부터 여섯 달 동안 경고 문자를 보낸 고객이 1만 8천 명입니다. 한 통신사 가입자만 센 숫자입니다.
흔적 다섯: 설정 화면에서 3분
안드로이드 설정 화면에서 보는 흔적 다섯입니다. 메뉴 이름은 기종과 버전에 따라 조금 다릅니다.
발신함 대신 이 다섯 자리를 봅니다. 빠른 것부터입니다.
- 알 수 없는 앱 설치 허용이 켜져 있는지 봅니다. 설정에서 앱 항목으로 들어가 특별한 접근 권한 또는 알 수 없는 앱 설치 메뉴를 찾으면 앱마다 허용 여부가 나옵니다. 메시지 앱이나 브라우저에 허용이 켜져 있는데 본인이 켠 기억이 없다면 첫 흔적입니다.
- 접근성 서비스 목록에 낯선 이름이 있는지 봅니다. 설정의 접근성 항목 안에 설치된 서비스 목록이 있습니다. 배송, 도우미, 보안, 업데이트 같은 이름이 사용 중으로 켜져 있다면 둘째 흔적입니다.
- 설치된 앱 전체 목록을 위에서 아래로 훑습니다. 홈 화면에 아이콘이 없는 앱은 여기서만 보입니다. 이름이 택배 조회나 배송 확인처럼 그럴듯한데 깐 기억이 없는 앱이 셋째 흔적입니다.
- 문자 앱의 보낸 편지함과 통화 기록을 봅니다. 새벽 시간에 여러 건이 몰려 있거나, 모르는 번호로 나간 기록이 있으면 넷째 흔적입니다. 기록이 지워져 있어도 통신사 앱의 이용 내역에는 발신 건수가 남습니다.
- 데이터 사용량과 배터리 사용량 상위에 낯선 앱이 있는지 봅니다. 제어서버와 계속 교신하는 앱은 쓰지도 않는데 데이터를 많이 씁니다.
다섯 중 하나만 걸려도 다음 절의 검사로 넘어갑니다. 아이폰 사용자는 이 절이 거의 해당하지 않습니다. 앱 스토어 밖에서 설치 파일을 받아 까는 경로가 막혀 있어서, 이 방식의 감염은 안드로이드에서 일어납니다. 경찰청이 스파이앱 검사 앱을 안드로이드용으로만 만들고 iOS용은 정책상 작동이 안 돼 개발하지 않았다고 밝힌 이유도 같습니다.
검사 도구는 공공 것부터
문자를 받은 단계라면 KISA 보호나라의 스미싱 확인서비스가 먼저입니다. 카카오톡에서 보호나라 채널을 추가하고 스미싱 버튼을 누른 뒤 의심 문자를 붙여 넣으면 정상, 주의, 악성 셋 중 하나로 답이 옵니다. 처음 신고된 문자는 일단 주의로 표시되고, 10분 뒤 다시 검사해 정상인지 악성인지를 알려 줍니다. 국민 누구나 쓸 수 있고 전화 상담은 118입니다.
앱이 이미 깔린 단계라면 구글 Play 프로텍트부터 돌립니다. Play 스토어 앱을 열고 오른쪽 위 프로필 아이콘을 누르면 Play 프로텍트 메뉴가 있고, 거기서 검사를 실행합니다. 구글 문서대로 이 기능은 Play 스토어 밖에서 들어온 앱까지 검사해 유해 앱을 경고하거나 삭제합니다. 설정에서 "Play 프로텍트로 앱 검사"와 "유해 앱 감지 기능 개선"이 켜져 있는지도 같이 봅니다.
경찰청이 직접 만든 앱도 있습니다. 폴-안티스파이앱입니다. 경찰청 사이버수사국 디지털포렌식센터가 개발했고, 경찰이 확인한 스파이앱 12종이 폰에 깔려 있는지 검사한 뒤 발견되면 지우게 해 줍니다. 구글 Play 스토어에서 경찰청 폴-안티스파이로 검색하면 나옵니다.
검색하면 가장 많이 나오는 앱은 시티즌코난입니다. 누적 다운로드가 900만 건을 넘고, 메인 화면의 악성 앱 검사 버튼 하나로 설치된 앱을 훑어 줍니다. 다만 흔히 경찰청 앱으로 소개되는 것은 사실과 다릅니다. ZDNet 코리아가 2025년 10월 21일에 보도한 국정감사 내용을 보면, 경찰대학 치안정책연구소와의 공동 운영은 2021년부터 2023년까지였고 지금은 개발사 인피니그루가 단독으로 운영합니다. Play 스토어 설명에는 여전히 공동 개발·운영이라고 적혀 있어 공정거래위원회가 허위 사실이라고 지적했습니다. 앱 자체가 쓸모없다는 뜻은 아닙니다. 다만 공공 도구라고 믿고 깔 이유는 없습니다. 위의 셋을 먼저 돌리고, 이 앱은 보조로 씁니다.
통신사 쪽에서 오는 신호도 있습니다. LG유플러스는 고객 폰이 악성 제어서버와 교신한 흔적이 잡히면 카카오톡 알림톡으로 위험을 알립니다. 이 회사 최고정보보호책임자는 알림톡을 받은 고객은 가까운 경찰서나 매장을 바로 찾아 달라고 했습니다. 통신사가 먼저 알려 주는 경우는 이미 확인이 끝난 것이니 다음 절로 바로 갑니다.
감염이 맞다면 순서가 있습니다
감염이 확인된 뒤의 순서입니다. 첫 칸이 "그 폰 말고"인 이유가 이 절의 핵심입니다.
- 그 폰이 아닌 다른 전화로 1394에 신고합니다. 경찰청 전기통신금융사기 통합신고대응센터 번호입니다. 감염된 폰으로 걸면 악성 앱이 통화를 가로채 가짜 상담원에게 연결할 수 있습니다. 통합신고대응센터 누리집의 간편제보로 신고해도 됩니다. 스미싱 자체의 상담은 118입니다.
- 비행기 모드를 켜고 와이파이도 끕니다. 제어서버와의 연결을 끊는 가장 빠른 방법입니다. 폰은 끄지 않습니다. 끄지 않는 이유는 켤 때 잠금 화면이나 인증이 앱에 잡힐 수 있고, 신고에 쓸 흔적이 사라질 수 있기 때문입니다.
- 은행에 지급정지를 요청하고 공동인증서와 은행 인증 앱을 다시 발급받습니다. 접근성 권한을 가진 앱은 금융 앱 화면을 읽고 대신 누를 수 있습니다.
- 통신사에 소액결제 차단을 신청하고, 명의도용방지서비스(엠세이퍼)에서 내 이름으로 새로 개통된 회선이 없는지 확인합니다.
- 공장 초기화는 마지막입니다. 초기화 뒤 복원할 때 앱 자동 복원을 켜 두면 백업에 들어 있던 악성 앱이 그대로 돌아옵니다. 복원 화면에서 앱 항목을 끄고, 사진과 연락처만 되살립니다. 초기화가 무엇을 지우고 무엇을 남기는지는 중고폰 공장초기화 편에 따로 적어 두었습니다.
- 지인에게 알립니다. 내 번호로 온 문자를 누르지 말라고 전합니다. 주소록에 있던 사람이 다음 감염자가 되는 것을 막는 유일한 방법입니다.
순서가 이렇게 정해진 이유는 폰이 아직 조직의 손에 있기 때문입니다. 신고와 차단이 먼저이고, 돈이 나가는 통로를 막은 다음, 증거를 남긴 채 지웁니다.
재발 방지: 문자 링크는 앱에서, 앱은 스토어에서
택배 조회는 문자 안 링크로 하지 않습니다. 앱을 엽니다. 택배사 앱이나 누리집을 직접 열어 송장번호를 넣습니다. 진짜 배송 문자와 가짜 문자는 겉으로 구별이 안 되지만, 이 습관 하나면 구별할 필요가 없어집니다. 주차장이나 전단지의 QR 코드도 같은 논리이고, 그쪽은 큐싱 편에 적었습니다.
설정에서는 두 가지를 고정합니다. 알 수 없는 앱 설치 허용은 모든 앱에서 끕니다. 정말 필요한 순간에 잠깐 켰다가 다시 끄면 됩니다. Play 프로텍트는 켜 두고, 한 달에 한 번 검사 버튼을 눌러 마지막 검사 날짜를 최근으로 유지합니다.
가족 폰을 같이 봐 주는 것도 방법입니다. 경찰청이 2025년 4월에 낸 1분기 통계에서 보이스피싱 피해자 중 50대 이상이 53퍼센트였습니다. 명절에 모였을 때 부모님 폰의 흔적 다섯을 3분만 같이 보면, 이 글의 나머지 절이 필요 없어집니다.
점검표
| 지금 상황 | 볼 것 | 도구 | 다음 행동 |
|---|---|---|---|
| 택배 문자가 왔다 | 링크를 누르지 않았는지 | 보호나라 카톡 스미싱 확인 | 악성이면 문자 삭제, 택배사 앱으로 조회 |
| 링크를 눌렀다 | 설치 창에서 허용을 눌렀는지 | Play 프로텍트 검사 | 앱이 깔렸으면 흔적 다섯 확인 |
| 지인이 내 번호 문자를 받았다 | 문자인지 카톡인지, 흔적 다섯 | 폴-안티스파이앱 | 흔적이 있으면 다른 폰으로 1394 |
| 통신사 알림톡을 받았다 | 알림 내용 | 통신사 매장·경찰서 | 비행기 모드 후 방문 |
참고 자료
- 경찰청 전기통신금융사기 통합신고대응센터 — 대표번호 1394, 간편제보 — https://www.counterscam112.go.kr/ (2026년 9월 14일 확인)
- KISA 보호나라 — 스미싱 확인서비스 안내(카카오톡 채널, 정상·주의·악성 판정, 118) — https://www.boho.or.kr/kr/subPage.do?menuNo=205116 (2026년 9월 14일 확인)
- 경찰청 사이버수사국 — 사이버안전지킴이 폴-안티스파이앱 안내 — https://cyberbureau.police.go.kr/mobile/sub/sub_03_j.jsp (2026년 9월 14일 확인)
- 구글 Play 고객센터 — Google Play 프로텍트로 유해한 앱으로부터 보호 — https://support.google.com/googleplay/answer/2812853?hl=ko (2026년 9월 14일 확인)
- 뉴시스 — 올해 보이스피싱 피해액 1조원 넘어…다중피해도 8천억 돌파(경찰청 2025년 1~10월 집계) — https://www.newsis.com/view/NISX20251124_0003414755 (2025년 11월 24일)
- 더페어 — 명절 보이스피싱 32.5% 급증, LG유플러스 악성 앱 서버 추적 긴급 대응(경찰청 자료 인용) — https://www.thefairnews.co.kr/news/articleView.html?idxno=69515 (2026년 2월 12일)
- 경기신문 — 명절 낀 달 보이스피싱 32.5%↑…LGU+, 추석 24시간 대응 나서(제어서버 800개·감염 흔적 3만 3천 명) — https://www.kgnews.co.kr/news/article.html?no=911371 (2026년 9월 13일)
- 아시아경제 — LG유플러스, 추석 연휴 보이스피싱·악성 앱 24시간 특별 대응(Secure.AI+, 알림톡, CISO 발언) — https://view.asiae.co.kr/article/2026091316124222255 (2026년 9월 13일)
- 뉴스컬처 — 추석 노린 스미싱 기승, 택배 문자 링크 클릭 전 3초만 멈춰라(정부 스미싱 탐지 통계 2022~2025년 8월) — https://www.nc.press/news/articleView.html?idxno=626301 (2025년 9월)
- ZDNet 코리아 — 피싱 예방 앱 시티즌코난 물의, 경찰대학과 공동운영 허위 안내 — https://zdnet.co.kr/view/?no=20251021200710 (2025년 10월 21일)
- 세계일보 — 2025년 1분기 보이스피싱 피해액 3116억원, 50대 이상 53%(경찰청) — https://www.segye.com/newsView/20250427507459 (2025년 4월 27일)
- 명의도용방지서비스 엠세이퍼 — https://www.msafer.or.kr/ (2026년 9월 14일 확인)
특정 앱이나 서비스의 홍보가 아닙니다. 메뉴 이름과 절차는 2026년 9월 14일 기준이고 기종과 운영체제 버전에 따라 다를 수 있습니다.