카드는 내 손에 있는데, 돈은 먼 도시의 ATM에서 빠져나갔다

전화는 녹음된 안내로 시작한다. 차분한 목소리가 계좌에서 의심스러운 거래가 감지됐다며, 본인이 한 거래가 아니라면 1번을 누르라고 한다. 이어서 친절한 ‘은행 직원’이 전화를 받는다. 카드를 당장 정지해야 하니 이 앱을 설치하고 카드를 휴대전화 뒷면에 대 달라고 한다. 시키는 대로 한다. 바로 그 순간 다른 도시에서는 한 젊은 남자가 자기 휴대전화를 ATM에 갖다 대고, 지금도 당신 손에 들린 그 카드에서 현금을 뽑아 간다.

네덜란드 경찰에 따르면, 한 조직이 2026년 10월 로테르담 사이버범죄수사팀에 일망타진될 때까지 쓴 수법이 바로 이것이다. 수사관들이 지켜본 3주 동안 피해자는 약 170명, 피해액은 38만 유로에 달했고, 피해자가 노인만도 아니었다. 수십 명이 20~30대였다. 수법 자체는 적어도 2년은 된 것이다. 새로운 건 인공지능이 만든 목소리, 그리고 그 목소리가 끌고 온 질문이다. 자기 카드를 자기 손으로 자기 휴대전화에 댄 사람의 돈은 누가 돌려줘야 하는가?

인터넷 너머로 늘어난 카드

비접촉 결제는 몇 센티미터 거리에서만 작동하는 무선 통신인 NFC로 이뤄진다. 단말기나 ATM이 카드에 질문을 보내면 칩이 답하고, 그 답이 은행에 카드가 진짜라는 사실을 알려 준다. 모든 것이 단순한 물리 법칙에 기대고 있다. 칩이 대답했다면 카드는 바로 거기 있어야 한다는 것이다.

사기 앱은 이 물리 법칙을 속인다. 피해자 휴대전화의 NFC 안테나로 칩의 응답을 읽어 서버를 거쳐 공범 손에 있는 두 번째 휴대전화로 넘긴다. 공범이 그 휴대전화를 ATM에 대면, 기계는 사실 나라 반대편에 있는 카드를 ‘보게’ 된다. 카드는 복제된다기보다 늘어난다. 칩과 현금인출기 사이에 길이 수십 킬로미터짜리 보이지 않는 케이블이 깔리는 셈이다.

네덜란드 경찰은 바통이 어떻게 넘어갔는지 설명한다. 피해자가 카드를 휴대전화에 대고 있는 동안, 같은 앱을 깐 ‘피너’가 이미 ATM이나 결제 단말기 앞에서 대기하고 있었다. (네덜란드어 동사 pinnen은 현금을 인출한다는 뜻이고, 돈을 찾아가는 공범을 이렇게 부르는 것도 그래서다.) 수천 유로가 빠져나갔지만 피해자들은 눈치채지 못했다. 경찰 발표에는 조직이 PIN 번호를 어떻게 알아냈는지 나와 있지 않다. 경찰 대변인은 방송사 RTL Nieuws에 PIN이 아예 필요 없는 경우도 있다고 말했지만, 어떤 거래를 말하는지는 밝히지 않았다. 체코의 비슷한 수법에서는 피해자들이 PIN을 앱에 직접 입력했다. 그래서 경찰은 은행이 절대 요구하지 않는 세 가지를 거듭 강조한다. 앱 설치, 카드를 휴대전화에 대기, PIN 알려 주기다.

대학 연구실에서 태어나다

이 공격에는 학문적 족보가 있다. 독일 다름슈타트 공과대학 보안 모바일 네트워킹 연구실의 학생들이 NFCGate를 만들었다. 두 기기 사이에서 NFC 신호를 가로채고 기록하고 중계하는 오픈소스 안드로이드 앱이다. 원래 목적은 연구자들이 비접촉 프로토콜을 시험하도록 돕는 것이다. 프로젝트 페이지는 악의적인 목적으로 쓰지 말아 달라고 대놓고 당부한다.

모두가 그 말을 들은 건 아니다. 2024년 8월 보안 기업 ESET의 연구진은 NFCGate를 기반으로 만든 최초의 악성코드로 알려진 NGate를 공개했다. 체코 은행 세 곳의 고객들이 세금 환급을 안내하는 문자를 받았고, 피해자들은 가짜 은행 앱을 설치해 PIN을 입력하고 카드를 휴대전화에 댔다. 2024년 3월 프라하 경찰은 ATM에서 현금을 인출해 온 22세 남성을 체포했다. 그는 16만 체코 코루나(약 6000유로)를 갖고 있었는데, 경찰에 따르면 그건 마지막 피해자 세 명에게서 나온 돈뿐이었다.

그 뒤로 수법은 대량 생산 단계에 들어섰다. ESET은 2025년 상반기에 2024년 하반기보다 35배 넘게 많은 NFC 공격을 기록했다. 그해 봄 이탈리아 연구진은 같은 수법을 텔레그램 채널에서 구독 상품으로 파는 SuperCard X를 찾아냈다. 고객 지원까지 갖춘 상품이었다. 한편 NFCGate 개발자들은 이제 프로젝트 페이지에 백신 프로그램이 자신들의 연구 도구를 자꾸 NGate로 오인한다는 안내를 달아 두었다.

내 은행처럼 들리는 목소리

로테르담 조직은 오래된 기법에 새 재료 하나를 더했다. 바로 목소리다. 사기범들은 AI로 여러 목소리의 녹음 수십 개를 만들어 다양한 은행과 기업을 사칭했다. AI가 그들에게 준 건 규모였다. 작은 조직 하나가 성우 한 명 고용하지 않고도 각자 목소리를 가진 여러 기관처럼 들릴 수 있었다. 메뉴가 나오는 자동 전화는 평범한 서비스 안내처럼 들리고, 1번을 누르는 데 위험하다는 느낌은 없다. 그다음엔 실제 사람이 넘겨받아, 다급함을 만들어 내도록 짜인 대본대로 움직였다.

“이제는 문 앞의 사기꾼이 아니라, 극도로 전문적으로 보이는 그럴듯한 전화 상대입니다.” 로테르담 사이버범죄수사팀의 루번 판 벨이 말했다. 그는 수사관들이 이런 기술적 수법은 처음 봤다고 덧붙였다.

이 수법이 위험한 건 보호받는 느낌을 주기 때문이다. 카드가 한 번도 손을 떠나지 않으니 계좌를 지키고 있다고 생각하게 된다고 네덜란드 컴퓨터 사용자 모임 HCC는 지적한다. 1번을 누르고, 앱을 깔고, 카드를 갖다 대는 모든 단계가 위험이 아니라 안전 조치처럼 보인다.

은행들은 9월 중순 피해 급증을 포착했고, 경찰은 10월 6일 두 남성을 체포했다. 범행을 기획한 것으로 의심받는 23세 남성과 조율을 맡은 것으로 의심받는 25세 남성이다. 둘 다 구금 중이며, 아직 유죄 판결을 받지는 않았다.

돈은 누가 돌려주나

피해자에게 진짜 문제는 전화를 끊은 뒤에 시작된다. 은행은 이렇게 말할 수 있다. 앱을 설치한 것도, 카드를 갖다 댄 것도 당신이니 중대한 과실이라고. 네덜란드 은행들은 점점 더 자주 그렇게 말한다. 네덜란드은행협회(NVB)에 따르면 은행들은 가짜 은행 상담원 사기 피해액의 92%를 2021년에 보상했지만, 2024년에는 48%에 그쳤다. 2025년에는 피해자 약 5900명이 모두 합쳐 2600만 유로 가까이 잃었다.

2026년 10월 15일 유럽연합 사법재판소가 이 계산에 끼어들었다. 그 사건의 수법은 달랐지만 싸움은 같았다. 은행이 고객의 부주의를 탓하며 환급을 거부한 것이다. C-70/25 사건은 폴란드에서 시작됐다. 한 여성이 온라인 장터에서 물건을 팔고 있었는데, ‘구매자’가 판매를 확인한다며 링크를 보냈고, 그녀는 가짜 페이지에 인터넷뱅킹 로그인 정보를 입력했다. 계좌에서 약 700유로가 빠져나갔다. 그녀는 다음 날 신고했지만 은행은 돈을 돌려주지 않았다. 은행이 보기엔 그녀 자신의 잘못이었다.

법원은 그래서는 안 된다고 판결하며, 일의 순서를 뒤집었다.

법원의 논리는 명쾌했다. 은행이 처음부터 거부할 수 있다면 즉시 환급 의무는 의미가 없어진다. 고객이 온갖 비용과 번거로움을 감수하고 직접 소송을 내야 하기 때문이다. 이 판결은 EU 전역의 법원을 구속하지만, 폴란드 분쟁 자체는 폴란드 법원이 결론 낸다. 판결은 낯선 사람이 ATM에서 현금을 인출하는 경우처럼 고객이 승인하지 않은 거래에 적용된다. 피해자가 사기범의 지시에 따라 직접 ‘안전 계좌’로 돈을 옮겼다면 보통 승인된 결제로 간주되고, 즉시 환급이 자동으로 이뤄지지는 않는다.

이미 돈이 빠져나갔다면 판결은 간단한 순서를 제시한다. 승인하지 않은 거래를 곧바로 은행에 신고하라. 법원이 신속한 신고를 환급의 조건으로 삼았기 때문이다. EU에서는 그러면 은행이 다음 영업일이 끝나기 전까지 돈을 돌려줘야 하고, 당신의 부주의는 나중에 따질 수 있다. 인용할 판결은 C-70/25 사건이다.

네덜란드 언론 보도에 따르면 NVB의 입장은, 판결이 바꾸는 건 환급 시점이지 최종적으로 누가 손실을 떠안느냐가 아니라는 것이다. 일부는 맞는 말이다. 하지만 시점은 중요하다. 몇 달을 기다리며 내 돈을 찾으려 소송하는 것과, 다음 날 돈을 돌려받고 은행이 굳이 내 잘못을 입증하려 드는지 지켜보는 것은 전혀 다른 일이다.

어디까지가 부주의인가

다음 싸움은 바로 거기서 벌어질 것이다. ‘은행’이 시켜서 카드를 휴대전화에 댄 건 지나고 보면 순진해 보이지만, 2년 전만 해도 이런 수법을 들어 본 사람은 거의 없었다. 2026년 봄 네덜란드 금융 분쟁 조정 기구 Kifid는 범죄자들이 피해자를 다루는 솜씨가 워낙 뛰어나니 고객의 말을 더 자주 믿어 주라고 은행들에 촉구했다.

ATM 수법에서 첫 번째 단계는 이제 분명해졌지만 두 번째는 그렇지 않다. 진짜 질문에는 아직 어떤 법원도 답하지 않았다. 내 은행처럼 들리도록 생성된 목소리를, 그것도 네덜란드 경찰조차 이런 형태로는 본 적 없던 요청을 하는 목소리를 믿은 것이 중대한 과실인가?