‘전송자격인증제’로 촘촘하게…“불법 스팸 발송 단계부터 차단”

불법스팸이 단순 광고를 넘어 피싱 사이트·악성 앱 연결 통로로 악용되면서 정부가 불법스팸 발송 단계 차단을 위한 관리체계를 강화했다. 불법스팸 문자에는 피싱 사이트·악성 앱 연결 URL이 포함될 수 있고, 해당 URL이 포함될 경우 스미싱으로 이어질 수 있다. 스미싱으로 악용되면 개인정보·금전 탈취로 이어질 수 있다.

이에 따라 정부는 대량문자 사업자 등록 요건을 강화했다. 정부는 악성 URL·금칙어를 사전 탐지·차단하는 '전송자격인증제'를 4월 법정 제도로 전환했다. 기존 사업자는 10월 말까지 인증을 받아야 한다.

스팸은 정보통신망을 통해 이용자가 원하지 않는 영리 목적 광고성 정보를 전송하는 행위 전반을 뜻한다. 불법스팸은 정보통신망법상 사전 동의·수신거부 등 규정을 위반한 광고성 정보 전송을 뜻한다.

문자 스팸 수신량은 2024년 상반기에 1인당 월평균 11.59통으로 집계됐다. 2024년 상반기 문자 스팸 수신량은 연도별 기준 정점에 이르렀다.

방미통위는 최근 불법스팸 수법이 다양화하고 있다고 설명했다. 불법스팸 유형은 택배·카드배송 사칭, 금융기관 사칭, 사회적 이슈 악용, 이용자 관심사 악용 등으로 나타났다. 대부업체·교육업체를 사칭한 사례도 포착됐다. 이 과정에서 피해자 휴대전화로 발송된 인증번호를 탈취한 뒤, 탈취한 인증번호로 대량문자전송사이트에 가입하고, 피해자 명의 번호를 발신번호로 등록해 해당 번호로 불법스팸을 발송하는 수법도 확인됐다.

불법스팸 담당 기관은 방미통위·한국인터넷진흥원(KISA)이다. 방미통위는 불법스팸 정책 총괄, 관련 법령 제‧개정 총괄, 관련자 시정명령, 과태료 부과‧징수를 맡고 있다. KISA는 불법스팸 신고 접수․처리, 불법스팸 대응 센터 운영, 스팸대응시스템 운영, 스팸 유통현황 조사․분석을 담당하고 있다.

방미통위는 과기정통부·개인정보위·경찰청과 함께 대응하고 있다. 이들 기관은 2024년 11월 '불법스팸 대응 종합대책'을 수립했으며, 현재 해당 대책으로 대응을 진행하고 있다.

방미통위 관계자는 불법스팸 발송자에 대한 전송 속도 축소와 가입제한을 추진하고 있다고 밝혔다. 또 삼성전자와 협력해 악성스팸이 의심되는 내용을 포함한 메시지를 스마트폰에서 걸러내는 기능을 개발하고 있으며, 이렇게 필터링한 메시지를 별도 차단함으로 분류하는 서비스도 하고 있다고 설명했다. 아울러 통신사·단말기 제조사와 불법스팸 관련 데이터를 공유했으며, 이를 통해 AI 기반 불법스팸 차단 강화를 추진하고 있다고 전했다.

불법스팸을 발송 이전 단계에서 걸러내기 위한 수단으로 문자 발송 단계에서의 필터링 장치인 '전송자격인증제'가 마련됐다. 이와 함께 '전송자격인증제'는 법정 제도로 전환된다.

대량문자 처리 구조는 단일 사업자가 전 과정을 직접 처리하는 방식이 아니다. 일반적인 발송 요청 흐름은 이용자(광고주·기업 등)에서 문자재판매사업자, 문자중계사업자, 이동통신사로 이어진다.

최종 문자는 이동통신사 망을 거쳐 수신자에게 도달한다. 이 과정에서 문자중계사업자는 이동통신사 망과 대량문자 사업자 사이의 중간 단계에 위치한다.

문자중계사업자는 이동통신사업자 전기통신설비에 시스템을 연결해 문자메시지를 발송하는 특수한 유형의 부가통신사업자다. 문자재판매사업자는 문자중계사업자 또는 다른 문자재판매사업자 전기통신설비에 시스템을 연결해 문자메시지를 발송하며, 해당 인프라를 활용한 실제 문자 발송 서비스를 제공한다.

불법스팸 발송자의 대량문자 발송 서비스 악용 가능성에 대응해 지난 4월 전기통신사업법 시행령이 개정됐다. 이에 따라 문자중계사·문자재판매사 등 대량문자 전송사업자의 등록 요건이 강화됐고, 발송 단계의 악성문자 차단 기술적 조치도 신규 요건에 포함됐다.

전송자격인증제는 2024년 6월 민간 자율규제 형태로 최초 시행됐다. 당시에는 문자중계사업자가 문자재판매사업자를 대상으로 영리 목적 광고성 문자 전송자격을 부여하는 방식으로 운영됐고, 불법스팸 방지·사후 모니터링도 수행했다. 이후 관련 법령 정비 이후 제도가 전환됐다.

이에 따라 올해 4월 28일부터 정보통신망법 근거 법정 인증 제도가 시행됐다. 문자재판매사는 방송미디어통신위원회 전송자격인증을 취득해야 하고, 과학기술정보통신부 중앙전파관리소에 특수부가통신사업자로 등록해야 한다. 기존 등록 문자재판매사(대량문자 전송사업자)에는 6개월 유예기간이 부여됐으며, 이들의 인증 획득 시한은 10월 말이다.

전송자격인증 심사는 5개 분야·16개 항목으로 구성된다. 주요 심사 내용은 금칙어·악성 URL 자동 탐지·차단 체계의 실제 운영 여부다. 사업자는 수신자 도달 전 단계에서 악성 URL 포함 문자를 식별하고 발송을 차단하는 체계를 갖춰야 한다.

이 같은 체계는 KISA가 제공하는 악성 문자 판정 금칙어·API 데이터를 활용해 자체 구축할 수 있다. 외부 솔루션을 도입하는 방식도 가능하다. KISA는 7월 누리랩·시큐리온·아톤·에버스핀 등과 '악성문자 사전차단체계 제공을 위한 업무협약(MOU)'을 체결했다.

업계는 불법스팸 사전 차단 제도의 취지에 공감하고 있다. 다만 실제 인증 과정에서는 비용 부담이 존재한다는 의견과 함께 세부 요건의 보완이 필요하다는 의견도 나왔다.

문자재판매사업자들은 보안체계 적정성 분야의 '추가 인증'과 이용자 관리 적정성 분야의 '1인 1계정 원칙'에 대해 의견을 제기했다. '추가 인증'은 문자 발송 시 해당 발신번호에 대해 추가 본인인증 절차를 수행해 발송 계정의 정당성을 확인하는 내용이다. 그러나 업계 다수는 병원 진료예약·거래 확인 등 단순 자동발송 정보성 문자에는 추가 인증 적용이 곤란하다는 의견을 냈다.

방미통위는 현장 의견을 수렴했다고 밝혔다. 이어 해당 유형의 문자 전송에는 추가 인증이 불필요하다고 안내했다. 이런 안내는 FAQ 방식으로 제시됐다.

1인 1계정 원칙의 기준은 기업 1개당 1계정이 아니라 실제 문자발송 시스템을 이용하는 발송자 1인당 1계정이다. 다만 사업자들은 복수 담당자와 동시 업무 라인이 존재하는 법인·협회의 운영 방식이 충분히 반영되지 않았다는 입장이다.

이에 대해 방미통위는 부득이한 경우에 한해 부서·지점·업무별 관리가 가능하다고 설명했다. 이 경우에는 사용 가능한 발신번호와 발송 이력이 식별 가능해야 하며, 방미통위는 해당 부분을 심사 과정에서 확인하고 있다고 설명했다.

업계 관계자는 전송자격인증제가 국민 보호 차원에서 필요한 제도이며 사업자들이 기준을 충족하는 방향으로 가는 것이 필요하다고 봤다. 다만 문자 발송 업계에는 영세 사업자가 다수여서 인증 요건을 충족하는 데 비용과 운영 부담이 있을 수 있는 만큼, 사업자들의 대응 방식과 제도의 시장 안착 여부는 10월 이후 추이를 관찰할 필요가 있다고 봤다.

출처: 아이티데일리 (IT DAILY) · 성원영 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242039

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242039