싱가포르 정부기관 사칭 사기, 2025년 두 배 이상 급증

정부기관 사칭 사기의 핵심은 가짜 로고 하나가 아니다. 실제 공무원의 이름과 직책, 그럴듯한 전화번호, 왓츠앱 프로필 사진, 기관 간 업무 관계를 한꺼번에 조합해 ‘진짜 행정 절차가 진행 중’이라는 착각을 만드는 데 있다.

싱가포르에서는 이 수법이 2025년 크게 악화됐다. 전체 사기 건수와 피해액은 감소했지만 정부기관 사칭 사기는 두 배 이상 늘었고, 피해액도 급증했다.

이름과 직함은 신원 확인이 아니다

화면에 표시된 이름이나 직책, 싱가포르 국내 번호처럼 보이는 발신번호, 왓츠앱 프로필 사진, 정부기관 로고, 제복과 공무원증은 모두 신뢰감을 주기 위한 단서일 수 있다. 그러나 이 중 어느 하나도 연락한 사람이 실제 공무원이라는 증거는 아니다.

싱가포르 경찰은 사기범들이 피해자의 이름이나 NRIC(싱가포르 신분증) 정보 등을 알고 있는 것처럼 행동해 신뢰를 얻을 수 있다고 경고했다. 경찰과 정부기관 안내에 따르면 싱가포르 정부 디렉터리(SGDI)에 이름이 검색된다는 사실만으로는 연락자의 신원을 확인할 수 없다.

가장 안전한 대응은 대화를 중단한 뒤 기관에 직접 연락하는 것이다. 상대방이 알려준 전화번호·링크·QR코드가 아니라, 공식 정부 웹사이트나 신뢰할 수 있는 공식 안내에서 직접 찾은 연락처를 이용해야 한다.

사기범들은 어떻게 ‘공식 절차’를 연출하나

1. 공개 정보가 신뢰의 재료가 된다

사기범들은 공개된 공무원의 이름, 직책, 업무용 연락처와 조직 정보를 이용해 가짜 신분을 설계한다. 과거 싱가포르 정부 디렉터리에는 공무원의 이름, 직책, 이메일 주소와 사무실 전화번호 등이 게재돼 있었다. 싱가포르는 사칭과 사회공학 공격에 악용될 수 있는 정보를 줄이기 위해 2026년 7월 1일부터 많은 공무원의 연락처를 공개 목록에서 제외하고 디렉터리를 간소화했다.

다만 디렉터리 정보는 이야기를 그럴듯하게 만드는 자료일 뿐, 신원 인증 수단은 아니다. 변경 전에 복사된 정보가 인터넷에 남아 있을 수 있고, 다른 공개 정보나 유출 정보가 사기범의 이야기를 보완할 수도 있다.

2. 공포와 긴급성으로 판단할 시간을 빼앗는다

사기범은 피해자가 자금세탁, 수사, 출입국·취업 문제 또는 기타 행정 사안에 연루됐다고 주장할 수 있다. 체포, 계좌 정지, 법적 처벌을 언급해 공포를 키운 뒤 즉시 행동하면 문제를 해결해주겠다고 제안하는 방식이 흔하다.

또 경찰관, 상급자, 은행 직원 또는 다른 정부기관 담당자를 연기하는 사람에게 전화를 넘기기도 한다. 여러 기관이 차례로 등장하면 통화가 실제 조사 절차처럼 느껴질 수 있지만, 등장인물 모두 같은 사기 조직일 수 있다. ScamShield 역시 싱가포르 경찰이나 싱가포르 통화청(MAS)을 사칭하는 전화와 왓츠앱 영상통화 등 예고 없이 걸려오는 앱 통화를 경고하고 있다.

3. 문서와 디지털 이미지로 믿음을 굳힌다

통화 후 공식 문서처럼 보이는 파일이나 조작된 공무원증 이미지를 보내는 경우도 있다. 싱가포르 법무부는 한 사례에서 사기범이 피해자에게 NRIC 사진을 요구한 뒤 위조 문서와 조작된 직원증 이미지를 보내 신뢰도를 높였다고 설명했다.

발신번호 조작, 기관 로고, 익숙한 이름과 프로필 사진, 여러 기관이 협업하는 방식에 대한 지식도 같은 역할을 한다. 하지만 이런 요소들은 모두 연출 기법이지 신뢰할 수 있는 인증 수단이 아니다.

4. 마지막에는 돈·접근권한·정보를 요구한다

피해자가 가짜 신분을 믿게 되면 사기범은 신분증 정보, 은행 계좌 정보, SingPass 또는 CPF 관련 정보, 소셜미디어 계정 정보와 일회용 비밀번호(OTP)를 요구할 수 있다. ‘안전 계좌’로 돈을 옮기라거나, 링크를 누르고 파일을 열거나, 프로그램을 설치하거나, 현금과 귀중품을 특정 장소에 두라고 요구하는 경우도 있다.

피해는 즉시 돈을 송금하는 데서 끝나지 않는다. 직원이 기밀 문서, 로그인 정보 또는 내부 이메일을 넘기면 금전 손실이 없어도 보안 사고가 발생할 수 있다. 다만 공개된 사기 통계는 문서 탈취나 기업 스파이 활동으로 인한 피해를 별도로 집계하지 않으므로, 그 위험의 규모를 아래 수치만으로 추정할 수는 없다.

2025년 통계, 전체 추세와 정반대였다

구분	2024년	2025년	변화
정부기관 사칭 사기 건수	1,504건	3,363건	+123.6%
해당 유형 피해액	1억5,130만 싱가포르달러	약 2억4,290만 싱가포르달러	+60.5%
전체 사기 건수	51,501건	37,308건	−27.6%
전체 사기 피해액	약 11억1,240만 싱가포르달러	약 9억1,310만 싱가포르달러	−17.9%

정부기관 사칭 사기는 2025년 뚜렷한 이상치였다. 전체 사기 건수와 피해액이 모두 줄어드는 동안 이 유형의 건수는 두 배 이상 늘었고 피해액은 절반 이상 증가했다. 피해액 기준으로는 전체 사기 유형 중 두 번째로 큰 규모였다.

싱가포르가 취한 대응책

정부 디렉터리의 직접 연락처 축소

싱가포르는 2026년 7월 1일부터 정부 디렉터리를 간소화해 정치직 보유자, 사법부 임명직, 고위 경영진과 일부 직접 연락 창구를 중심으로 연락처를 남겼다. 공개된 공무원 정보가 사기에 악용될 위험을 줄이기 위한 조치다.

이는 노출을 줄이는 조치이지, 이미 복사된 정보를 삭제하거나 모든 공무원 사칭 연락을 자동으로 판별하는 인증 장치는 아니다.

발신번호 조작과 해외 전화 차단

싱가포르 통신사들은 2019년부터 정부기관과 긴급전화 등 신뢰받는 현지 번호를 사칭하는 발신번호를 차단해왔다. 2020년 4월부터는 해외에서 걸려오는 전화에 + 표시가 붙었고, 2022년 12월부터는 현지 싱가포르 번호로 위장한 해외 전화를 차단하기 시작했다.

이런 조치는 전화망을 이용한 사기를 줄일 수 있지만, 경고 표시가 없다고 해서 통화가 진짜라는 뜻은 아니다. 왓츠앱 등 메신저 통화와 프로필은 일반 전화망의 통제를 동일하게 받지 않을 수 있다.

ScamShield와 gov.sg 발신자 표시

ScamShield는 24시간 운영되는 1799 헬프라인, 앱, 웹사이트와 신고·확인 채널을 제공한다. 의심스러운 전화, 메시지, 웹사이트와 링크를 식별·차단·신고하는 데 도움을 받을 수 있지만, ‘문제 없음’으로 표시됐다고 해서 특정 연락자가 진짜라는 보장은 아니다.

싱가포르 정부가 보내는 SMS는 일반 휴대전화 번호가 아니라 gov.sg 발신자 ID를 사용해야 한다. 다만 이 확인법은 SMS에만 해당하며, 왓츠앱 계정이나 전화 통화, 다른 경로로 받은 문서의 진위를 인증해주지는 않는다.

여전히 남아 있는 빈틈

메신저는 익숙한 전화 신호를 우회할 수 있다

왓츠앱 계정은 그럴듯한 이름과 사진을 내걸 수 있고, 음성·영상통화는 문자보다 더 개인적이고 실제적인 느낌을 줄 수 있다. 그러나 프로필 이미지는 정부기관이 인증한 신원이 아니라 계정 소유자가 설정한 정보다. ScamShield도 메신저 앱을 통한 사칭 통화를 경고하고 있다.

기관 간 관계 자체를 꾸며낼 수 있다

사기범은 한 명의 공무원만 사칭할 필요가 없다. 여러 부처나 부서 사이에서 전화를 넘기는 것처럼 연출하면 조직적으로 조율된 수사라는 인상을 만들 수 있다. 따라서 예고 없이 걸려온 첫 연락을 같은 대화 안에서 상대방이 알려준 다른 연락처로 확인해서는 안 된다.

정보 공개 축소는 인증이 아니다

디렉터리에서 연락처를 줄이면 표적 공격에 사용할 수 있는 정보가 감소하지만, 전화·프로필·문서가 진짜라는 사실까지 확인해주지는 않는다. 신원은 해당 기관이 통제하는 별도의 공식 채널을 통해 확인해야 한다.

안전한 확인 절차

정부기관에서 연락했다고 주장하는 예기치 않은 연락을 받았다면 다음 순서를 따르는 것이 좋다.

1. 대화를 중단한다. 긴급성, 협박 또는 ‘다른 담당자에게 연결해주겠다’는 말에 다음 행동을 맡기지 않는다.
2. 비밀 정보를 말하지 않는다. 확인되지 않은 연락처에 은행 로그인 정보, OTP, SingPass 정보 또는 민감한 신분증 정보를 제공하지 않는다.
3. 돈이나 귀중품을 옮기지 않는다. 정부 공무원은 전화로 송금을 요구하지 않으며, 경찰은 수사를 시작하면서 돈을 ‘안전 계좌’로 옮기라고 요구하지 않는다.
4. 링크·파일·앱을 실행하지 않는다. 예기치 않은 링크와 첨부파일, 앱 설치, 화면 공유 요청은 독립적으로 확인하기 전까지 신뢰하지 않는다.
5. 기관을 직접 찾는다. 의심스러운 메시지에 적힌 번호가 아니라 공식 정부 웹사이트에서 기관 대표번호나 공식 연락처를 찾아 전화한다.
6. ScamShield로 확인한다. 확신이 서지 않으면 24시간 헬프라인 1799에 전화하거나 ScamShield 앱과 웹사이트에서 의심스러운 메시지·번호·링크를 확인한다.

기관과 기업도 민감한 문서 요청에는 같은 원칙을 적용해야 한다. 인증된 포털이나 접근이 통제된 채널을 사용하고, 낯설거나 예상하지 못한 외부 요청에는 제2자의 확인 절차를 두는 방식이다.

핵심은 ‘독립적으로 다시 확인하는 습관’

싱가포르의 정부 디렉터리 개편과 통신사 차단 조치는 사기범이 신뢰를 꾸미는 데 사용할 수 있는 재료를 줄인다. 그러나 이름, 직함, 전화번호, 프로필 사진이 공식적으로 보인다는 이유만으로 연락을 믿게 만들 수는 없다.

가장 오래가는 방어책은 절차다. 일단 멈추고, 돈과 비밀번호를 거부하고, 공식 채널을 통해 별도로 확인하는 것이다.

진짜 기관이라면 다시 전화해 확인하는 절차를 문제 삼지 않는다. 사기라면 그 콜백 한 번이 사기범이 공들여 만든 ‘신뢰의 연결고리’를 끊어놓는다.