경찰 사칭 사기에 고객 1,000여 명 정보 유출한 전 UOB 직원 유죄 판결

은행 데이터 보호 체계를 시험한 유죄 판결

싱가포르 화교은행(UOB)의 전직 하급 직원이 중국 경찰관을 사칭한 사람에게 고객 1,000여 명의 개인정보를 공개한 혐의로 유죄 판결을 받았다. 사기범들이 2021년 3월 접근한 뒤 2025년 10월 유죄 판결로 이어진 이번 사건은 내부자가 규정을 어기도록 압박받을 때 사회공학적 수법이 내부 통제를 무력화할 수 있음을 보여준다. 피고인 차오원칭(30)은 중국 국적의 싱가포르 영주권자로, 컴퓨터 오용법 위반 14건과 은행법 위반 13건에 대해 유죄 판결을 받았다. 선고는 12월로 예정돼 있다.

법원의 판단에 따르면 차오는 정당한 업무용 로그인 계정으로 기밀 고객 기록에 접근해 일부 기록을 스프레드시트로 정리한 뒤, 상하이 경찰 간부라고 주장한 사람에게 메신저 앱으로 데이터 이미지를 전송했다. 차오는 자신이 수사 대상이라고 믿었으며 이에 응할 수밖에 없었다고 나중에 당국에 진술했다. 법원은 이를 법적 항변으로 받아들이지 않았다. 기밀 유지 교육을 받았고, 정보 유출이 이미 발생한 뒤에야 전화한 사람들의 신원을 확인한 점을 지적했다.

은행 시스템에서 벌어진 일

차오는 업무 목적으로만 은행 데이터베이스에 접근할 수 있는 UOB 주택담보대출 부서에서 근무했다. 2021년 3월 두 사람이 전화로 접근해 중국 경찰이라고 소개하며 차오가 사건에 연루됐다고 경고했다. 이들의 지시에 따라 차오는 흔한 중국 성을 가진 고객을 검색하고 중국 국적자로 걸러낸 뒤, 이름과 신분증 번호, 휴대전화 번호, 은행 잔액을 엑셀 파일에 복사했다. 이후 스프레드시트를 촬영해 왓츠앱으로 이미지를 보냈다. 요청에 따라 특정 고객을 검색하고 프로필 화면을 캡처해 보내기도 했다.

차오가 접근한 데이터베이스에는 이름, 국적, 주소, 신분증 번호, 계좌번호, 잔액 등의 항목이 포함돼 있었다. 사건 직후 UOB는 고객 계좌번호는 공개되지 않았으며 은행 시스템은 안전하게 유지됐다고 밝혔다. 계좌번호가 없더라도 이름, 신분증 번호, 휴대전화 번호, 잔액이 결합된 정보는 매우 민감하다. 범죄자들은 이런 정보를 이용해 그럴듯한 사회공학적 사기를 벌이거나 피해자를 속여 계좌를 탈취하고, 다른 유출 정보와 결합해 사기를 저지를 수 있다.

2021년 4월 차오는 비슷한 사기 사건을 읽고 직접 상하이 경찰에 연락한 뒤 자신이 속았다는 결론을 내렸다. 체포된 당일 싱가포르 경찰에 신고했다. 이후 수사관들은 차오가 고객 프로필 3,000건 이상에 접근했으며 1,000명이 훨씬 넘는 고객의 정보를 전송한 사실을 확인했다.

사칭 사기는 어떻게 이뤄졌나

전화를 건 사람들은 권위와 긴박감, 공포심을 이용했다. 공무원 사칭 사기는 피해자가 수사 대상이라는 주장으로 시작해 비밀리에 협조하라고 압박하는 경우가 많다. 피해자에게 통화 내용을 비밀로 하고 즉시 지시에 따르라고 요구하며, 여기에는 개인정보 제공이나 송금이 포함될 수 있다. 법적 처벌이나 고용 상태에 대한 걱정을 부추겨 표적이 합리적으로 생각하지 못하게 만드는 수법이다.

수사관들은 차오가 중국 경찰이라고 믿은 이들의 조사에 대한 두려움과 실직하거나 중국으로 송환될 수 있다는 걱정 때문에 지시에 따랐다고 밝혔다. 이는 강압적인 전화 사기에서 흔히 나타나는 양상이다. 끈질긴 요구와 법적 조치 위협, 특정 앱으로만 소통하라는 지시는 공식 절차인 듯한 착각을 불러일으킬 수 있다. 이런 상황에서 가장 확실한 대응은 독립적으로 사실을 확인하는 것이다. 전화를 끊고 공식 번호로 실제 기관에 전화해 사건이 실제로 있는지 확인해야 한다.

법원의 판단과 결정

법원은 차오가 고객 데이터가 기밀이며 업무 목적에 한해 접근이 허용된다는 사실을 알고 있었다고 판단했다. 차오는 은행 비밀 유지와 데이터 취급에 관한 교육을 받았다. 판사는 차오가 사기 관련 보도를 읽은 뒤에는 직접 신원을 확인했으면서, 처음 연락한 사람들의 신원은 확인하지 않은 점이 합리적이지 않다고 봤다. 또한 차오는 자신의 행동이 내부 규정과 싱가포르 법을 위반한다는 점을 알고 있었으며, 이는 선의로 압박에 굴복했다는 주장을 약화한다고 지적했다. 판결 결과는 컴퓨터 오용법 위반 14건과 은행법 위반 13건에 대한 유죄였다.

컴퓨터 오용법에 따르면 컴퓨터 자료에 무단으로 접근하는 행위는 형사 범죄다. 은행법은 엄격히 정해진 경우를 제외하고 은행 직원과 서비스 제공자가 고객 정보를 공개하는 것을 금지한다. 혐의에 따라 처벌은 다르지만 벌금과 징역형이 선고될 수 있다. 차오의 선고는 12월로 예정돼 있다.

UOB의 대응과 고객 보호 조치

UOB는 정보 유출을 확인한 뒤 싱가포르 경찰 등 관계 기관과 협력했다고 밝혔다. 은행은 피해 고객 모두에게 연락하고 인터넷·모바일 뱅킹 접근을 차단했으며, 디지털 로그인 정보를 재설정하도록 지원했다. 모니터링을 강화하고 소액 온라인 이체에 대한 문자 알림을 추가했으며, 로그인 화면에 진행 중인 사기에 관한 경고를 게시했다. 은행은 사과하며 고객 보안이 최우선 과제라고 밝혔다.

UOB는 계좌번호는 공개되지 않았고 시스템도 안전했다고 덧붙였다. 이로써 무단 직접 인출 위험은 낮아지지만, 노출된 정보만으로도 고객은 피싱, 발신번호 조작, 사회공학적 사기의 표적이 될 수 있다. 은행은 예방 차원에서 경계심을 늦추지 말라고 당부하고, 의심스러운 활동이 있으면 즉시 신고해야 한다고 강조했다.

은행은 사법기관 및 관계 당국과 협조하고 있다고 밝혔다. 사건에 관한 공개 안내문을 공식 입장으로 게시했으며, 여기에는 은행의 즉각적인 대응과 고객을 위한 지침이 담겼다. 은행의 안내문은 여기에서 확인할 수 있다: 공식 입장.

내부자 데이터 악용을 막기 어려운 이유

은행은 외부 침입과 내부 오용을 모두 막기 위해 여러 겹의 방어 체계를 구축한다. 접근 통제, 감사 로그, 모니터링 도구를 통해 정보 열람 권한을 제한하고 비정상 활동을 탐지한다. 직원이 고객을 응대하려면 민감한 정보에 접근해야 하는 경우가 많다는 점이 과제다. 내부자가 규정을 어기거나 조종당해 규정을 위반하면, 정보 오용이 통상적인 업무처럼 보일 수 있다.

이번 사건은 흔히 발생하는 취약점을 보여준다. 은행이 콘텐츠 필터를 적용하고 대량 데이터 반출을 막더라도, 악의적인 내부자는 개인 휴대전화로 화면을 촬영해 정보를 빼낼 수 있다. 이런 위험을 줄이려면 기술적·절차적 보호 조치를 함께 마련해야 한다. 여기에는 기간을 정한 권한 부여, 직원별 검색 가능 항목의 세분화, 워터마크 및 화면 캡처 통제, 민감한 업무 공간에서의 기기 사용 제한 등이 포함된다. 실시간 경보를 통해 여러 지점에 걸쳐 관련 없는 기록 수천 건을 조회하거나, 업무상 목적이 문서화되지 않은 상태에서 국적별로 검색하는 등 비정상적 패턴을 포착할 수 있다.

교육과 조직 문화도 중요하다. 직원들이 사칭 수법을 알아보고 잠시 멈춰 사실을 확인하며, 의심스러운 요청을 관리자나 보안팀에 보고할 수 있도록 해야 한다. 강압이나 의심스러운 전화에 관한 명확한 신고 경로가 있으면 피해가 발생하기 전에 직원이 도움을 요청하기 쉽다.

싱가포르에서 지속되는 공무원 사칭 사기

공무원 사칭 사기는 싱가포르에서 가장 큰 피해를 낳는 사기 유형 가운데 하나가 됐다. 사기범들은 경찰이나 외국 사법기관 소속이라고 주장하고 가짜 문서나 영장을 제시하며, 공식 시설처럼 보이는 배경 앞에 서 있는 모습을 연출하기도 한다. 피해자에게 “수사”를 위해 돈을 옮기거나 은행 정보를 제공하고 일회용 비밀번호를 보내거나 원격 제어 소프트웨어를 설치하라고 요구할 수 있다. 전화가 공식적으로 들리고 위협이 현실적으로 느껴지기 때문에 많은 피해자가 이에 응한다.

공식 안내에 따르면 정당한 권한을 가진 공무원은 전화나 메신저 앱으로 은행 로그인 정보, 일회용 비밀번호 또는 송금을 요구하지 않는다. 은행 웹사이트 링크를 누르라고 안내하지도 않는다. 대화를 비밀로 하라고 하거나, 기기에 원격 접속하도록 요구하거나, 예금을 “안전 계좌”로 옮기라고 하는 전화는 전형적인 위험 신호다. 의심스러우면 전화를 끊고 연락을 해왔다고 주장하는 은행이나 기관의 공식 대표번호로 전화해야 한다.

최근 몇 년간 싱가포르는 사기 예방 교육과 통화·메시지를 걸러내는 도구에 투자해 왔다. 은행들은 거래 알림, 신규 수취인 등록 후 거래 대기 시간, 계정이 침해됐다고 의심될 때 고객이 디지털 접근을 신속히 차단할 수 있는 ‘킬 스위치’ 기능을 도입했다. 이러한 조치는 위험을 낮추지만 완전히 없애지는 못한다. 범죄 조직은 계속 수법을 바꾸며 고객과 직원 모두를 노린다.

위험을 줄이는 방법

몇 가지 실천 방법으로 이런 사건에서 흔히 사용되는 수법을 막을 수 있다.

• 권한 주장을 확인하세요. 경찰관이나 은행 직원이라고 말하는 사람이 있으면 전화를 끊고 공식 번호로 기관이나 은행에 전화하세요. 메시지에 적힌 번호로 다시 전화하지 마세요.
• 로그인 정보를 보호하세요. 전화나 메신저 앱으로 은행 정보, 싱패스 로그인 정보, 카드 번호, 일회용 비밀번호를 절대 공유하지 마세요.
• 긴박감과 비밀 유지 요구에 주의하세요. 대화를 비밀로 하거나, 서둘러 결정하거나, 돈을 “안전 계좌”로 옮기라는 요구는 강력한 경고 신호입니다.
• 은행 알림을 설정하세요. 소액 이체와 프로필 변경에 대한 문자 알림을 켜세요. 거래 한도를 설정하고 명세서를 자주 확인하세요.
• 기기를 안전하게 관리하세요. 업데이트를 설치하고 공식 앱스토어를 이용하세요. 직접 연락해 확인한 신뢰할 수 있는 기술자의 안내가 없다면 원격 접속 도구를 설치하지 마세요.
• 신속히 신고하세요. 개인정보나 계좌가 침해됐다고 의심되면 즉시 은행에 전화하고 경찰에 신고하세요. 빠른 조치로 자금 이체를 막거나 돈을 되찾을 수 있습니다.

은행과 규제 당국에 주는 시사점

금융기관은 엄격한 기밀 유지와 기술 위험 기준을 따라야 한다. 싱가포르 은행법은 정해진 경우를 제외하고 고객 정보를 기밀로 유지하도록 규정하며, 싱가포르 통화청(MAS)은 기술 위험 관리에 관한 세부 기준을 제시한다. 여기에는 접근 권한 관리, 활동 모니터링, 사고 대응, 보안 교육 등이 포함된다. 내부자 오용 사건이 발생하면 대개 데이터 접근 규칙과 모니터링 기준, 직원의 정보 취급 절차를 점검하게 된다.

UOB 사건은 공포나 강압에 교육이 무력화될 때 내부자 한 명이 다수 고객을 위험에 빠뜨릴 수 있음을 보여준다. 또한 신속한 피해 확산 차단, 고객에 대한 직접 안내, 보호 조치의 투명한 공개가 사고 이후 신뢰를 구축하는 데 도움이 된다는 점도 드러난다. 사실 확인 문화를 꾸준히 키우고 대량 조회 통제를 강화하며 신속한 대응 역량에 투자하면 사기범들이 내부자를 원치 않는 공범으로 끌어들이기 어려워질 수 있다.

핵심 요점

• UOB 전 직원이 고객 1,000여 명의 정보를 유출한 혐의로 컴퓨터 오용법 위반 14건과 은행법 위반 13건에 대해 유죄 판결을 받았다.
• 고객의 이름과 신분증 번호, 휴대전화 번호, 잔액을 정리해 중국 경찰관을 사칭한 사람에게 왓츠앱으로 이미지를 전송했다.
• 판사는 피고인이 규정을 알고 있었고 전화한 사람들의 신원을 확인하지 않았으며, 자신의 행동이 규정과 법률을 위반한다는 점을 알면서도 행동했다고 판단했다.
• UOB는 피해 고객에게 연락하고 디지털 접근을 차단했으며 알림을 추가하고 당국과 협력했다. 은행은 계좌번호가 공개되지 않았고 시스템이 안전했다고 밝혔다.
• 선고는 12월로 예정돼 있다. 컴퓨터 오용법과 은행법에 따라 벌금이나 징역형이 내려질 수 있다.
• 사칭 사기는 여전히 널리 퍼져 있다. 정부 기관과 은행은 전화나 메신저 앱으로 은행 로그인 정보나 송금을 요구하지 않는다.
• 고객은 전화한 사람의 신원을 별도로 확인하고, 로그인 정보를 보호하며, 거래 알림을 설정하고, 의심스러운 활동을 신속히 신고해 위험을 줄일 수 있다.