보이스피싱의 풍경이 달라졌다. 과거에는 검찰이나 금융감독원을 사칭해 "통장이 범죄에 연루됐으니 현금을 인출해 넘기라"는 식의 대면 편취형이 주를 이뤘다면, 최근 몇 년 사이 가장 흔하고 치명적으로 진화한 수법은 바로 '상품권'을 매개로 한 비대면 피싱이다.
"엄마 나 폰 액정이 깨졌어", "급하게 결제할 게 있는데 인증이 안 돼." 자녀나 지인을 사칭한 메신저 한 통으로 시작되는 이 사기는 언제나 동일한 결론으로 이어진다. "편의점 가서 문화상품권(구글 기프트카드) 사서 핀(PIN) 번호 사진 찍어 보내줘."
사기범들은 왜 복잡하게 계좌이체를 시키지 않고 상품권을 요구할까? 그 이유는 상품권이 지닌 '금융 규제의 사각지대'와 '즉각적인 현금화'라는 특성에 있다.
첫째, 지연 인출 제도와 계좌 지급정지를 우회할 수 있기 때문이다. 100만 원 이상 계좌 이체 시 30분간 ATM 인출이 제한되는 금융 안전망은 상품권 거래 앞에서 무력화된다. 핀번호는 숫자에 불과해 금융 모니터링 시스템(FDS)에 잡히지 않으며, 전송 즉시 소유권이 이전된다.
둘째, 추적이 사실상 불가능하다. 피해자가 편의점이나 온라인에서 상품권을 사서 뒷면 스크래치를 긁어 사진을 보내는 순간, 사기범은 몇 초 만에 이를 온라인 암시장이나 불법 상품권 매입소에 헐값으로 넘겨 현금이나 암호화폐로 세탁한다. 피해자가 사기임을 인지하고 경찰에 신고했을 때는 이미 번호가 수차례 유통되어 원래 주인을 특정하기 어렵다.
상품권 보이스피싱의 가장 비극적인 점은 피해자의 '선의와 다급함'을 파고든다는 점이다. 자녀가 곤란한 상황에 처했다는 불안감에 부모들은 편의점으로 달려가 수십만 원, 때로는 수백만 원어치의 기프트카드를 구매한다. 편의점 직원이 의아해하며 말려도 "자식이 급하다는데 왜 막느냐"며 오히려 화를 내는 사례가 빈번한 이유다.
이 악질적인 고리를 끊기 위해서는 두 가지 축의 방어가 필요하다.
하선(현장)에서는 편의점 및 유통업계의 적극적인 차단 노력이다. 고령층 고객이 고액의 기프트카드를 연속 구매하거나 휴대전화를 보며 안절부절못할 경우, 계산대 포스(POS) 기기의 경고 팝업과 점원의 적극적인 안내가 마지막 방어선이 되어준다.
상선(제도)에서는 상품권 핀번호 거래에 대한 모니터링과 온라인 환전업체 규제 강화가 시급하다. 실명 확인 없이 수천만 원어치의 핀번호가 현금화되는 사설 환전 시장의 제도권 편입 없이는, 잡히지 않는 유령을 쫓는 악순환이 반복될 뿐이다.
기억해야 할 원칙은 단 하나다. 가족이든, 기관이든, 그 어떤 정당한 관계도 메신저로 '상품권 핀번호'를 요구하지 않는다. 만약 메신저 너머의 누군가가 편의점으로 가 상품권을 사달라고 조른다면, 타자를 치는 손을 멈추고 반드시 '음성 통화' 버튼을 눌러야 한다. 확인되지 않은 다정함 뒤에는 차가운 사기의 덫이 도사리고 있다.