금융사기 피해가 얼마나 큰지 물으면 답이 하나로 나오지 않는다. 자료를 어디서 가져오느냐에 따라 값이 두 배 넘게 벌어진다.

2021년이 그렇다. 금융감독원은 그해 피해액을 1,682억원으로 발표했다.¹ 피해자는 13,204명이고, 돌려준 돈은 603억원이었다. 같은 해를 국무조정실은 7,744억원으로 집계했다.² 4.6배 차이다.

두 값 가운데 틀린 값은 없다. 세는 범위가 다르다.

금융감독원은 계좌를 지나간 돈을 센다

금융감독원 값은 통신사기피해환급법에서 나온다. 피해자가 계좌 지급정지를 신청하고 피해구제를 신청한 건이 분모다. 그러니 돈이 계좌를 지나가야 이 숫자에 들어간다.

사람을 직접 만나 현금을 받아 가는 방식은 오랫동안 이 분모 밖에 있었다. 정부는 2023년에야 이런 방식을 피해구제 대상에 넣기로 했다.³ 상품권이나 가상자산으로 넘어간 돈도 계좌를 지나가지 않는다.

경찰청과 국무조정실 값은 범죄 발생 신고에서 나온다. 돈이 어떤 경로로 빠져나갔는지 가리지 않는다. 그래서 대체로 더 크다.

한국형사·법무정책연구원은 이 어긋남을 다뤘다. 이 연구원은 경찰 통계와 금융감독원 통계를 한 보고서 안에 따로 나누어 실었고 두 값을 합치지 않았다. 같은 보고서는 사회관계망과 메신저를 쓴 피싱이 집계에 잡히지 않아 줄어 보인다는 지적도 함께 실었다.⁴

건수와 사람 수가 섞여 있다

기관 사이만 어긋나는 것이 아니다. 한 기관 안에서도 분모의 단위가 섞인다.

금융감독원은 2021년 4월 발표에서 2020년 피해를 25,859건으로 적었다.⁸ 이듬해 발표에서는 같은 해를 18,265명으로 적었다. 하나는 건수이고 하나는 사람 수다.

이 차이는 1인당 피해액을 낼 때 그대로 드러난다.

2020년이 그렇다. 같은 기관이 낸 두 자료를 각각 나누면 910만원과 1,288만원이 된다. 1.4배 차이다. 어느 분모를 썼는지 밝히지 않은 숫자는 그래서 근거가 되지 못한다.

돌려받는 비율은 낮아졌다

확인된 환급률은 셋이다. 2020년이 48.5%이고 2021년이 35.9%다.¹⁰ 2022년부터 2026년 1분기까지 누적 환급률은 22.4%로 보도됐다.⁵

2020년에는 100만원을 잃으면 48만 5천원이 돌아왔다. 최근 누적으로는 22만 4천원이 돌아온다. 2022년부터 2025년까지 해마다의 환급률은 확인하지 못했다.

금융감독원은 금융사기 통계를 유형 이름으로 나눈다. 대출빙자형, 기관사칭형, 메신저피싱이다. 이 이름들은 자주 순위를 바꾼다.

2021년 금융감독원은 메신저피싱 피해액이 991억원으로 전체의 58.9%라고 적었다.¹¹ 전년보다 165.7% 늘어난 값이다. 대출빙자형에서 메신저피싱으로 옮겨 갔다고 같은 자료가 밝혔다.

그런데 2025년 1분기에는 대출빙자형이 다시 가장 많았다. 피해자 수로 센 값이다. 피해자 열 명 가운데 네 명꼴인 41.9%가 대출빙자형이었다.¹² 대출빙자형 피해자는 전년 같은 기간보다 29.7% 늘었다.

2021년 값은 금액으로 센 것이고 2025년 값은 피해자 수로 센 것이다. 순위가 바뀐 것을 새 수법이 나타난 것으로 읽으면 틀린다. 유형 이름은 사기범이 무슨 말을 했는지를 가리킨다. 바뀐 것은 말이 아니라 말을 전달하는 수단이다.

도구 첫째, 화면에 뜨는 번호

전화를 받으면 화면에 번호가 뜬다. 이 번호는 통신망이 만들어 보여 주는 값이다. 실제 발신지와 다르게 만들 수 있다.

이 방식은 국내만의 일이 아니다. 일본 경찰청은 2025년 3월 주의 안내를 냈다. 실재하는 경찰서 대표번호가 화면에 뜬 사례를 확인했다는 내용이다.¹³ 받는 사람은 화면에 뜬 번호만으로 판단하기 어렵다.

정부는 이 도구를 막는 규정을 두었다. 과학기술정보통신부 고시는 통신사업자에게 여러 의무를 지운다.¹⁴ 그 가운데 셋이 이 도구와 맞닿아 있다. 첫째, 사설 교환기를 쓰는 이용자가 발신번호를 임의로 바꾸는지 확인한다. 둘째, 국외에서 걸려 온 전화에 국제전화임을 음성으로 알린다. 셋째, 사칭방지 목록에 든 번호로 발송된 문자를 막는다.

도구 둘째, 단말에 설치되는 프로그램

두 번째 도구는 휴대전화에 설치되는 프로그램이다. 한국형사·법무정책연구원은 사기범이 원격제어 앱을 깔게 한 뒤 그것을 조작하는 방식을 범행 수법으로 들었다.¹⁵

이 프로그램이 깔리면 단말을 다루는 사람이 이용자 한 명이 아니게 된다. 금융위원회가 정보공유 항목에 악성앱 탐지 정보 6개를 따로 둔 것도 이 단계를 다루기 위한 것이다.¹⁶

그래서 화면을 잘 보라는 안내만으로는 이 도구를 막지 못한다. 막으려면 프로그램이 깔리기 전 단계에서 걸러야 한다.

실적으로 확인된 값은 하나뿐이다. 통신사 한 곳과 경찰청이 넉 달 동안 악성앱 2,610건을 찾아 지웠다.¹⁷ 2024년 12월부터 2025년 3월까지다. 전국 단위 통계는 공개된 자료가 없다.

도구 셋째, 문자에 담긴 주소

세 번째 도구는 문자다. 방송미디어통신위원회는 2025년 하반기 스팸 신고·탐지를 2,367만 건으로 발표했다.¹⁸ 문자스팸이 1,288만 건, 음성스팸이 873만 건이다.

문자스팸은 상반기보다 59.7% 줄었다. 반대로 음성스팸은 늘었다. 국민 한 사람이 한 달에 받는 음성스팸이 4.26통이고 문자스팸이 2.74통이다.¹⁹

두 값이 반대 방향으로 움직였다. 문자 쪽이 59.7% 줄어드는 동안 음성 쪽은 늘었다.

도구 넷째, 합성한 목소리와 영상

한국금융연구원은 2025년 2월 보고서에서 새 도구를 지목했다. 유명인의 영상과 음성을 합성해 쓰는 수법이 늘고 있다는 것이다.²⁰

국내에서 합성 음성이나 영상을 써서 금융사기를 저지른 건수는 공개된 통계가 없다. 연구소는 이 규모를 추정하지 않는다.

바깥 자료는 있다. 미국 연방통신위원회는 2024년 2월 인공지능이 만든 목소리를 쓴 자동전화를 불법으로 정했다.²¹ 미국 인터넷범죄신고센터는 2025년 인공지능 관련 신고 22,364건을 집계했다.²² 피해액은 8억 9,334만 달러다.

세 유형 가운데 1건당 금액이 가장 큰 것은 기관사칭형이다. 기관사칭형 1건은 메신저피싱 1건의 7.9배다.

금융 단계에 무엇이 있는지부터 센다. 막는 장치가 일곱 가지다.

통신사기피해환급법은 사기이용계좌로 의심되면 금융회사가 곧바로 계좌를 지급정지하도록 한다. 이어서 채권소멸 절차를 밟고 남은 돈을 피해자에게 돌려준다.²³ 2024년 8월에는 의심 거래를 늦추거나 잠시 멈추는 임시조치가 들어왔다.²⁴

미리 켜 두는 차단 장치도 셋이 생겼다. 여신거래 안심차단이 2024년 8월 23일에 시작됐다.²⁵ 비대면 계좌개설 안심차단은 2025년 3월 12일, 오픈뱅킹 안심차단은 2025년 11월 14일이다.

정보를 나누는 장치도 있다. 금융위원회는 2025년 10월 보이스피싱 정보공유 플랫폼을 열었다. 약 130개 금융회사가 9개 유형 90개 항목을 실시간으로 나눈다.¹⁶ 그 안에 악성앱 탐지 정보 6개 항목과 피싱사이트 탐지 정보 5개 항목이 들어 있다.

배상 의무를 진 곳은 금융회사다

장치보다 중요한 것은 누가 물어 주느냐다.

통신사기피해환급법은 두 경우에 금융회사에 배상 의무를 지운다. 대출 신청이나 예금 해지에서 본인확인 절차를 하지 않은 경우, 그리고 지급정지 의무를 지키지 않은 경우다.²³ 전자금융거래법은 접근매체 위조·변조로 생긴 사고에 금융회사가 배상하도록 한다.²⁶

전기통신사업자에게 피해 배상 의무를 지운 조항은 통신사기피해환급법에 없다. 이 법이 전기통신사업자를 두고 정한 것은 둘이다.²³ 하나는 사기에 쓰인 번호의 이용 중지를 요청하는 절차다. 검찰총장과 경찰청장과 금융감독원장이 과학기술정보통신부장관에게 요청한다. 다른 하나는 사기에 쓰인 번호와 단말 정보를 정보공유분석기관에 넘기는 일이다. 둘 다 피해를 물어 주는 것과는 다르다.

과학기술정보통신부 고시도 마찬가지다. 통신사업자에게 확인·감시와 차단 의무를 지우지만 피해를 물어 주라는 규정은 없다.¹⁴

은행이 스스로 만든 배상 제도의 크기

은행권은 2024년 1월 1일부터 자율배상 제도를 운영한다. 금융감독원이 밝힌 첫 다섯 달 실적은 신청 53건, 피해금액 13.3억원, 상담 212건이다.²⁷ 배상 대상 금액은 전체 피해금에서 법에 따른 환급금을 뺀 금액이다.

이 제도가 다루지 않는 사고도 정해져 있다. 금융회사 안내문은 이용자 본인이 직접 지급을 지시한 거래를 대상에서 뺀다고 적었다.²⁸ 가족을 사칭하거나 겁을 주거나 대출을 해 주겠다고 하여 본인이 누르게 만든 거래가 여기 든다.

2장에서 본 도구들이 만드는 결과가 이것이다. 화면에 뜨는 번호를 바꾸고, 확인 전화를 가로채고, 목소리를 합성한다. 그 결과 본인이 스스로 이체 버튼을 누른다.

연구소는 여기에서 어긋남이 생긴다고 본다. 도구는 통신과 단말에서 작동하는데, 그 도구가 만들어 낸 결과는 배상 제도 밖으로 나간다.

공시되지 않는 것들

실적을 공개하는 단계도 금융 쪽에 몰려 있다. 금융위원회는 여신거래 안심차단 가입자를 318만 명으로 밝혔다.²⁵ 비대면 계좌개설 안심차단은 252만 명이다. 둘 다 2025년 10월 말 기준이다.

그런데 안심차단을 켠 사람 가운데 실제로 몇 건이 막혔는지는 공개된 자료가 없다. 국제전화 안내 음성이 몇 통에 붙었는지, 도용된 번호를 자동으로 막은 건수가 몇 건인지도 없다.

통신사가 내놓은 국제전화 수신차단과 번호도용 문자차단 서비스도 그렇다. 요금이 없다는 안내는 있지만 가입자 수와 차단 실적은 공개된 자료가 없다.²⁹

막는 장치를 늘리는 일과 그 장치가 얼마나 막았는지 밝히는 일은 다르다. 지금은 앞의 일만 하고 있다.

싱가포르는 의무를 나눠 지웠다

싱가포르는 2024년 12월 공유 책임 체계를 시작했다. 금융회사와 통신사에 각각 지켜야 할 의무를 정했다.³⁰

통신사가 지켜야 할 의무 가운데 하나는 사기 문자를 거르는 장치를 두는 것이다. 금융회사가 지켜야 할 의무 가운데 하나는 출금 거래를 이용자에게 알리는 것이다. 어느 쪽도 의무가 하나만 있는 것은 아니다.

손실을 무는 순서도 정했다. 금융회사가 먼저이고 통신사가 그다음이다. 각자 정해진 의무를 지키지 못하면 그쪽이 손실 전부를 문다. 둘 다 지켰을 때에만 이용자가 부담한다.

다만 이 체계는 가짜 화면에 계좌 정보를 넣게 만든 피싱만 다룬다. 악성앱을 쓴 사기는 대상에서 빠진다. 실제로 통신사가 손실을 문 사례가 있었는지는 확인하지 못했다.

영국은 배상을 의무로 만들었다

영국은 2024년 10월 7일 의무 배상 제도를 시작했다. 이용자가 속아서 스스로 보낸 송금도 배상 대상이다.³¹

제도의 내용은 네 가지다. 배상 상한은 8만 5,000파운드다. 감독청은 이 상한이 건수로는 사기의 99.8%를, 금액으로는 90%를 덮는다고 적었다. 배상액은 보내는 은행과 받는 은행이 절반씩 나눠 문다. 이용자가 부담하는 몫은 100파운드까지이고 취약한 이용자에게는 물릴 수 없다. 청구를 받으면 5영업일 안에 배상한다.

영국 지급결제감독청은 배상 실적을 분기마다 공개한다. 2025년 4월부터 2026년 3월까지 12개월 동안 2억 4,960만 파운드를 돌려줬다.³² 제도가 시작된 2024년 10월 7일부터 2026년 3월까지 누적 배상률은 88%다. 제도가 적용되는 청구를 분모로 한 값이다.

같은 나라의 다른 값도 있다. 영국금융협회가 낸 2025년 값으로 계산하면 배상률이 61.5%다.³³ 분모가 다르다. 앞의 값은 제도가 적용되는 청구만 세고, 뒤의 값은 모든 송금형 사기를 센다.

영국도 통신 단계에는 차단 의무만 지웠다. 2025년 1월 29일부터 해외에서 들어오면서 영국 유선번호를 표시하는 통화를 통신사가 막아야 한다.³⁴ 문자 쪽 의무는 2027년에 시작한다. 통신사에 배상 의무를 지운 규정은 확인하지 못했다.

호주는 세 분야를 한 체계에 넣었다

호주는 은행과 통신사와 디지털 플랫폼을 함께 지정했다.³⁵ 세 분야에 예방·탐지·차단 의무를 공통으로 지운다. 의무를 어기면 최대 5,000만 호주달러의 과징금을 문다.

피해자는 사업자 내부 절차를 먼저 밟고 해결되지 않으면 금융민원기구로 간다. 민원기구는 사업자별 책임 비중을 따져 배상을 명할 수 있다.

다만 핵심 의무는 2027년 3월 31일부터 시작한다. 2026년 8월 기준으로 성과를 말할 수 있는 단계가 아니다.

일본은 회수, 미국은 발신번호 인증이다

일본은 범죄에 쓰인 계좌에 남은 돈을 나눠 주는 방식이다. 예금보험기구는 2024회계연도에 49억 1,100만 엔을 지급했고 지급률은 87.7%였다.³⁶ 계좌에 남은 돈이 없으면 받지 못하는 구조다.

미국은 이용자가 알고 동의해 시작한 이체를 무단 이체로 보지 않는다.³⁷ 속아서 스스로 보낸 송금은 그래서 보호를 받지 못한다.

대신 미국은 발신번호 인증 제도를 운영한다. 업계가 미국 연방통신위원회에 낸 자료가 있다. 2025년 중반 주요 사업자 사이 통화의 약 84%가 서명과 검증을 거쳤다.³⁸ 같은 자료는 서명된 통화의 60% 이상이 옛 통신망 구간을 지나며 인증 정보를 잃는다고 적었다.

연구소는 네 가지를 짚는다.

첫째, 두 기준을 함께 공표한다

같은 사안을 두 기관이 다른 기준으로 센다. 그러면 정책이 효과를 냈는지 재기 어렵다. 1장에서 본 것처럼 한 해 값이 4.6배까지 벌어진다.

기준을 하나로 합칠 일은 아니다. 두 값을 나란히 내고 각 값이 무엇을 세고 무엇을 빼는지 함께 밝히는 방법이 있다.

둘째, 통신과 단말 단계의 실적을 공시한다

지금 공개되는 것은 안심차단 가입자 수와 자율배상 신청 건수다. 둘 다 금융 단계의 숫자다.

통신 단계에서는 도용 번호를 자동으로 막은 건수가 공개되지 않는다. 국제전화 안내 음성이 붙은 통화 수도 없다. 발신번호 거짓표시 신고 건수는 2022년 8월까지만 확인했다.³⁹

단말 단계도 마찬가지다. 확인된 악성앱 삭제 실적은 통신사 한 곳의 넉 달치 2,610건뿐이다.¹⁷

영국 통신·방송규제청은 통신사가 한 해에 최소 6억 건의 사기 의심 문자를 막는다고 밝혔다.⁴⁰ 규모가 공표되면 무엇이 남았는지도 셀 수 있다.

셋째, 책임을 어느 단계에 둘지 정한다

국회에는 금융회사의 배상 범위를 넓히는 개정안 두 건이 올라와 있다.⁴¹ 금융권은 정부와 통신사와 온라인 플랫폼과 가상자산사업자가 재원을 나누는 공동기금을 제안했다.

싱가포르는 금융회사와 통신사에 각각 의무를 정하고 못 지킨 쪽이 물게 했다. 호주는 은행과 통신사와 플랫폼을 한 체계에 넣었다. 두 나라 모두 금융 한 곳에만 지우지 않았다.

연구소는 어느 방식이 옳은지 여기서 정하지 않는다. 다만 도구는 통신과 단말에 있고 책임은 금융에만 있다. 그러면 도구를 다루는 쪽에 그것을 줄일 이유가 생기지 않는다.

넷째, 결정을 늦출 시간을 만든다

영국은 2024년 10월 30일부터 사기가 의심되는 송금을 최장 4영업일까지 늦출 수 있게 했다.⁴² 늦춘 사실과 이유를 이용자에게 알려야 하고, 늦춰서 생긴 이자와 수수료는 지급기관이 문다.

국내에도 의심 거래를 늦추는 임시조치가 2024년 8월에 들어왔다.²⁴ 이 조치가 몇 건에 적용됐는지는 공개된 자료가 없다.

아직 정해지지 않은 것

개정안 두 건은 아직 국회에 있다. 통신사와 플랫폼에 책임을 나눌지도 정해지지 않았다. 연구소는 어느 쪽으로 갈지 단정하지 않는다.

무엇을 보면 알 수 있는가. 세 가지다. 하나는 개정안이 정한 배상 한도가 얼마로 정해지는지다. 다른 하나는 그 재원을 금융회사만 대는지 여러 업권이 나누는지다. 마지막은 통신 단계 차단 실적이 정기 통계로 공표되기 시작하는지다.

미리 켜 두는 차단 장치가 셋 있다. 셋 다 내 이름으로 남이 무언가를 하는 것을 막는다.

신청하는 순서

오픈뱅킹 안심차단의 신청 경로는 세 가지다. 금융회사 영업점, 금융결제원 어카운트인포 앱, 은행 모바일뱅킹이다.²⁵ 여신거래 안심차단은 2024년 8월 시행 당시 영업점 방문으로만 신청할 수 있었다. 금융위원회는 비대면 신청과 대리인 신청도 허용하겠다고 밝혔다.⁴³

앱으로 할 때는 어카운트인포 앱을 깔고 본인 확인을 한다. 그다음 안심차단 메뉴로 들어가 그 화면에서 신청할 수 있는 서비스가 무엇인지 본다.

영업점에서 할 때는 본인 확인 서류를 가져간다. 대리인이 신청할 수 있는지도 창구에서 함께 묻는다.

오픈뱅킹 안심차단은 해제할 때 영업점에 직접 가야 한다.²⁵ 사기범이 몰래 해제하는 것을 막으려는 조치다. 나머지 둘의 해제 방법은 거래하는 금융회사에 묻는다.

켜지 않아도 되는 경우

가까운 시일에 대출을 받거나 계좌를 새로 만들 계획이 있으면 순서를 바꾼다. 필요한 거래를 먼저 끝내고 그다음에 켠다. 여신거래 안심차단은 이미 받은 대출에는 영향을 주지 않는다.