싱가포르의 높은 디지털 이용률은 취약성이 아닌 노출 범위를 키운다
싱가포르는 다크웹 장터에서 거래되는 도난 결제카드 비중이 세계 2위로, 미국 다음이며 스페인보다 높다. 위협 노출 분석 플랫폼이 2025년 5월 수집한 카드 기록 약 5만700건을 분석한 결과다. 표본에 포함된 도난 카드 중 60% 이상은 미국 사용자, 약 11%는 싱가포르 사용자, 약 10%는 스페인 사용자의 카드였다.
목차
보안 전문가들은 이 순위가 유독 취약한 은행 시스템이 아니라 시장 규모와 디지털화 수준을 반영한다고 경고한다. 싱가포르는 온라인 결제, 모바일 지갑 이용, 아시아 역내 국경 간 전자상거래 비율이 가장 높은 국가 중 하나다. 은행과 가맹점이 강력한 통제 체계를 유지하더라도 디지털 이용 범위가 넓으면 범죄자들이 카드 정보를 수집할 기회도 늘어난다.
이 시장에서 카드 가격은 지난 2년간 상승했다. 뉴질랜드의 상승 폭이 444% 이상으로 가장 컸고, 아르헨티나와 폴란드에서도 큰 폭의 상승이 보고됐다. 가격이 올랐어도 도난 카드 정보는 하위 범죄자들이 구매하기에 여전히 저렴하다. 카드 한 장 가격은 대개 영화표 한 장 값 정도다. 세계 평균은 약 9달러로, 국가별 편차가 크다. 아시아에서는 일본 카드의 평균 가격이 약 22.80달러로 가장 높고, 카자흐스탄이 16.87달러, 태국이 15.08달러로 뒤를 잇는다. 싱가포르 발행 카드는 평균 약 13.19달러에 거래돼 2023년보다 약 29% 올랐다. 유럽에서는 스페인, 프랑스, 스위스의 카드 가격이 11~12달러 수준에 모여 있다.
도난 카드 시장의 작동 방식
다크웹은 신원과 위치를 숨기기 위해 익명화 소프트웨어를 사용하는 숨겨진 서비스들의 집합이다. 이곳에는 판매자가 도난 카드 번호와 만료일, 때로는 CVV, 청구 주소, 기기 지문이 포함된 전체 정보를 올리는 시장이 있다. 정보는 소비자 기기의 악성코드, 은행이나 가맹점 사이트를 모방한 피싱 페이지, 가맹점 시스템 침해, 제3자 결제 처리업체의 계정 탈취 등을 통해 유출된다.
이들 시장에서는 카드를 묶음 또는 한 장씩 판매한다. 판매자는 발급 은행과 국가, 카드의 3D Secure 인증 지원 여부를 표시하는 경우가 많다. 구매자는 소액 결제로 카드를 시험한 다음 상품권, 항공권, 재판매 가능한 물품을 더 큰 규모로 구매하려 한다. 업계 조사에 따르면 시장에 올라온 카드 정보 상당수가 수개월 동안 유효해, 초반 시험 결제가 사기 탐지 규칙에 걸리지 않으면 범죄자에게 현금화할 시간이 충분히 주어진다.
공급, 수요와 가격
가격은 단순한 수요와 공급의 원리를 따른다. 공급이 많거나 은행의 사기 방지 통제가 강력한 곳에서는 카드가 더 저렴하다. 공급이 부족하고 사기 방지 검사가 엄격한 곳에서는 성공적인 사기를 위해 더 많은 준비와 인내가 필요하므로 카드 가격이 높아진다. 이런 구조는 일본 카드가 가장 비싼 축에 속하는 이유, 그리고 싱가포르처럼 목록에 오른 카드가 많은 국가가 전체 표본에서 차지하는 비중은 큰데도 평균 가격은 보통 수준인 이유를 설명한다.
싱가포르에서 도난 카드 비중이 큰 이유
싱가포르는 금융·물류 중심지로, 카드 보유율이 높고 비접촉 결제가 거의 보편적으로 이용된다. 소비자들은 국내외 가맹점에서 온라인 쇼핑을 하고, 모바일 지갑으로 교통비와 식사비를 결제하며, 여행도 자주 한다. 이에 따라 다양한 서비스에서 정상 거래와 저장된 카드 정보가 방대한 규모로 쌓인다. 범죄자들은 역내 은행을 겨냥한 피싱 도구와 브라우저에 저장된 로그인 정보 및 자동 완성 데이터를 훑는 악성코드를 통해 대량으로 정보를 수집한다.
토큰화된 모바일 결제의 높은 이용률은 사기 양상도 바꿔 놓았다. 은행과 가맹점이 카드 미소지 사기를 차단하면 범죄자들은 도난 카드를 휴대전화 지갑에 등록하거나 오프라인 결제 중 소매점을 속이는 등 다른 경로로 옮겨간다. 지하 시장에서 싱가포르 발행 도난 카드가 차지하는 비중은 보호 체계의 부재가 아니라 공격에 노출되는 범위가 넓다는 점을 보여준다.
사기 방지 시스템이 현금화를 제한한다
싱가포르 은행들은 여러 겹의 방어 체계를 적용한다. 거래 모니터링 시스템은 비정상적인 가맹점 업종이나 위치를 살핀다. 3D Secure는 다수의 온라인 구매에 추가 인증을 요구한다. 알림은 몇 초 안에 전송돼 카드 소지자와 은행이 신속히 카드를 정지할 수 있게 한다. 이런 통제와 강력한 차지백 권리가 결합돼 범죄자의 비용과 위험이 커진다. 싱가포르 발행 카드가 다크웹에서 흔히 보이면서도 최고가에 거래되지 않는 이유 중 하나다.
피싱부터 고스트 태핑까지, 사기범들의 현금화 수법
많은 사기 사건은 피싱에서 시작된다. 공격자는 가짜 배송 안내나 은행 보안 메시지를 보내 피해자가 카드와 계정 정보를 입력하는 로그인 페이지로 유도한다. 라쿤(Racoon), 아조룰트(Azorult) 등 인포스틸러 악성코드는 브라우저에 저장된 로그인 정보와 양식 데이터를 은밀히 수집한다. 고객 확인 절차에 쓰이는 국가 신분증 번호와 셀카를 포함한 도난 신원 정보는 지하 포럼에서 유통된다. 범죄자들은 이 정보를 이용해 대포 계좌를 개설하고, 자금을 세탁하고, 계정 탈취를 시도한다.
모바일 지갑 악용과 매장 내 사기
최근 늘어나는 수법 중 하나는 도난 카드 정보를 선불폰의 애플페이나 구글페이에 연결해 매장에서 구매하는 것이다. 분석가들은 범죄자들이 비접촉 결제 신호를 중계하거나 도난 카드를 미리 등록한 휴대전화를 모집된 구매 대행자에게 건네기도 한다는 점에서 이 생태계의 일부를 ‘고스트 태핑’이라고 부른다. 범죄 조직은 대행자 모집과 쇼핑 경로 계획부터 텔레그램이나 전자상거래 플랫폼에서의 장물 처분까지 물류를 조율한다. 보도에 따르면 싱가포르에서는 관광객 행세를 한 대행자들이 매장 사이를 빠르게 이동하며 대형 소매업체에 큰 손실을 입혔다. 2024년 말 경찰은 3개월 동안 신용카드 피싱과 모바일 지갑 사기로 최소 656건의 사건과 120만 싱가포르달러(S$)의 피해를 기록했다.
최근 싱가포르 사건에서 드러난 범행 수법
법원에서는 이와 유사한 수법을 보여주는 사건들이 여러 건 심리됐다. 한 사건에서는 29세 중국 국적 남성이 도난 카드 정보로 3일 동안 4만 싱가포르달러(S$)가 넘는 아이폰 16 20대를 구매한 혐의로 징역 30개월을 선고받았다. 그는 피싱으로 입수한 도난 카드 정보를 원격으로 불러오는 앱이 설치된 휴대전화를 받았다. 주요 전자제품 매장에서 구매한 휴대전화는 현금으로 되팔렸고, 대금은 중간책들이 회수했다.
별도의 사건에서는 25세 말레이시아 여성이 모바일 지갑에 등록된 카드 정보로 구매한 아이폰의 판매를 도운 혐의로 형을 선고받았다. 그녀의 동반자는 피해자들과 연결된 가상 카드를 이용해 애플 매장에서 여러 차례 구매했다. 은행 알림을 받은 피해자들이 신고했고, 두 사람이 남은 수익금을 챙겨 출국하기 전에 경찰이 개입했다. 이들 기소 사례는 국경을 넘나드는 범죄 조직이 실행책을 보내 짧은 시간에 고가품을 대량 구매하게 하는 방식을 보여준다.
내부자 위험과 부실한 데이터 관리
조직 내부에서도 위험이 발생한다. 싱가포르의 한 전직 은행 직원은 외국 경찰을 사칭한 전화에 속아 고객 1,000명 이상의 정보를 넘긴 혐의로 유죄 판결을 받았다. 별도의 사건에서 대형 자동차 유통업체의 침해 사고로 고객 기록 14만7,000건이 노출됐다. 신용카드와 직불카드 번호는 유출되지 않았지만, 공격자가 내부에 침투한 뒤 개인정보가 어떻게 유통되는지 보여준다. 문서와 신원 정보는 범죄자들이 본인 확인 절차나 사회공학적 질문을 통과하도록 도와 사기에 악용된다.
은행, 소매업체와 규제 당국의 대응
은행들은 모바일 지갑 등록에 대한 통제를 계속 강화하고 있다. 기기 위험 분석을 통해 토큰을 요청한 휴대전화가 이전에 확인된 기기인지, 탈옥된 기기인지, 요청이 고객 프로필과 일치하는지 확인한다. 일부 카드 발급사는 사회공학적 사기를 줄이기 위해 새 지갑 연결을 SMS 대신 은행 앱에서 확인하도록 요청한다. 실시간 분석과 머신러닝 모델은 승인 단계에서 의심스러운 구매를 차단하는 데 도움을 준다.
소매업체들은 판매 시점의 확인 절차를 강화하고 있다. 직원 교육에서는 반복적인 결제 실패, 여러 대의 휴대전화나 카드를 번갈아 사용하는 고객, 고액 구매를 여러 건의 소액 결제로 나누려는 시도 등 주의 신호를 강조한다. 매장은 고가 전자제품 구매 시 신분증 확인을 요구하고, 매입 은행과 긴밀히 협력하며, 신속한 수사를 위해 CCTV 증거를 확보해 둘 수 있다. 결제 서비스 제공업체들은 조직적인 쇼핑 행각을 시사하는 위험한 가맹점·기기 조합을 표시하도록 규칙을 조정하고 있다.
법 집행과 국경 간 공조
은행, 카드 네트워크, 항공사, 경찰이 함께하는 공조 작전은 특정 유형의 사기에 효과를 보여왔다. 과거 ‘에어포트 액션 데이즈’ 작전에서는 도난 카드 정보로 항공권을 사려던 여행객 수십 명이 경찰에 붙잡혔다. 인터폴은 싱가포르 혁신 허브를 거점으로 아시아 전역의 활동을 조율했다. 오늘날에도 각국 경찰과의 유사한 합동 작전을 통해 피싱 도구, 대포 계좌 모집 경로, 도난 카드가 거래되는 지하 시장을 교란하고 있다.
소비자가 지금 할 수 있는 일
대부분의 카드 발급사는 승인하지 않은 카드 결제를 환급하지만, 신속한 대응이 중요하다. 조기에 사기를 발견하면 피해를 줄이고 범죄자가 카드 정보를 시험하고 재사용할 시간을 단축할 수 있다. 다음 조치는 정보가 유출될 가능성을 낮추고 사기를 빠르게 발견하는 데 도움이 된다.
- 은행 앱에서 모든 카드의 실시간 거래 알림을 켠다. 모바일 지갑 거래와 온라인 구매도 포함한다.
- 명세서를 매주 확인하고 모르는 결제는 즉시 이의를 제기한다.
- 은행 및 카드 계정에는 강력하고 고유한 비밀번호를 사용하고, 신뢰할 수 있는 비밀번호 관리자에 저장한다.
- 카드 번호나 비밀번호를 웹 브라우저에 저장하지 않는다. 인포스틸러 악성코드는 브라우저의 자동 완성 저장소를 노린다.
- 은행, 이메일, 쇼핑 계정에 2단계 인증을 설정한다. SMS보다 은행 앱을 통한 인증을 우선한다.
- 은행에서 제공하는 경우 가상 카드 번호나 구매 건별 토큰을 사용한다. 특히 자주 이용하지 않는 가맹점에서 유용하다.
- 쇼핑하지 않을 때는 은행 앱에서 카드를 잠그거나 정지하고 거래 한도를 설정한다. 필요하지 않다면 해외 결제나 카드 미소지 거래를 비활성화한다.
- 휴대전화와 컴퓨터를 최신 상태로 유지하고 보안 업데이트를 신속히 설치하며, 비공식 앱 스토어나 다운로드는 피한다.
- 싱패스(SingPass)와 같은 국가 디지털 신원 계정을 보호한다. 피싱이 의심되면 비밀번호를 바꾸고 정보 유출 사실을 신속히 신고한다.
- 배송, 환불, 보안 경고 관련 메시지를 주의한다. 메시지의 링크를 누르지 말고 공식 웹 주소를 직접 입력하거나 앱을 이용해 은행에 접속한다.
핵심 내용
- 2025년 5월 자료에서 싱가포르는 거래된 도난 결제카드의 약 11%를 차지해 미국 다음, 스페인보다 앞섰다.
- 싱가포르 발행 도난 카드의 평균 가격은 약 13.19달러로 2023년보다 약 29% 올랐다. 일본 카드 가격은 약 22.80달러다.
- 전문가들은 싱가포르의 순위가 은행 통제의 취약성보다 높은 디지털 이용률과 거래량을 반영한다고 본다.
- 사기 수법에는 피싱, 인포스틸러 악성코드, 모집된 대행자의 매장 내 구매를 가능하게 하는 모바일 지갑 악용 등이 있다.
- 현지 기소 사례는 초국가적 범죄 조직이 도난 카드 정보로 아이폰 등 상품을 구매한 뒤 현금으로 되파는 방식을 보여준다.
- 은행과 가맹점은 모바일 지갑 등록 인증을 강화하고 판매 시점의 확인 절차를 개선하고 있으며, 수사 당국은 국경 간 공조 작전을 진행하고 있다.
- 소비자는 거래 알림 설정, 신중한 비밀번호 관리, 2단계 인증, 브라우저에 카드 정보를 저장하지 않는 방법으로 위험을 낮출 수 있다.
