자녀나 은행, 경찰을 사칭하는 전화를 받고 안내에 따라 앱 하나를 설치했다가, 뒤늦게 통화 내용이 전부 가로채지고 있었다는 사실을 알게 되는 사고가 계속 늘고 있습니다. 이런 사고의 공통점은 피해자 모르게 스마트폰에 깔린 악성앱 하나가 전화·문자·화면을 통째로 사기범에게 넘겨준다는 점입니다.
이 문제를 막기 위해 경찰과 민간 보안업체가 함께 만든 탐지 앱이 ‘시티즌코난'(안드로이드)과 ‘피싱아이즈'(아이폰)입니다. 이 글에서는 두 앱이 실제로 어떤 기능을 하는지, 어떻게 설치하고 사용하는지, 그리고 최근 보도된 국비 지원 공방과 다크패턴 결제 유도 의혹까지 실제 자료를 바탕으로 정리합니다.
시티즌코난과 피싱아이즈는 경찰대학 치안정책연구소와 보안업체 인피니그루가 만든 무료 악성앱 탐지 도구입니다. 다만 최근 국회에서는 개발비의 국비 지원 여부를 둘러싼 진위 공방과, 보안 경고처럼 보이는 유료 결제 유도 화면이 있다는 다크패턴 의혹이 함께 제기됐습니다. 탐지 기능 자체와 이 논란은 구분해서 알고 있어야 합니다.
원격조종 보이스피싱, 악성앱이 심어지는 과정
최근 보이스피싱의 중심에는 더 이상 계좌번호를 불러주는 수법이 아니라, 피해자의 스마트폰을 사기범이 직접 조종하는 ‘원격조종형’ 수법이 자리 잡고 있습니다. 카드 배송 직원이나 택배 기사를 사칭해 전화를 걸고, 결제 오류가 있다며 가짜 고객센터로 연결한 뒤, 문제 해결을 위해 특정 앱을 설치하라고 안내하는 방식이 가장 흔하게 보고됩니다.
이렇게 설치된 앱은 겉보기에는 평범한 고객센터 상담 앱이나 보안 앱처럼 보이지만, 실제로는 화면 제어 권한과 알림 접근 권한을 넘겨받아 다음과 같은 일을 할 수 있습니다.
- 피해자가 모르는 사이 화면을 그대로 들여다보거나 직접 터치를 입력해 계좌이체·앱 설치를 실행한다
- 진짜 은행이나 경찰이 보낸 전화번호로 거는 것처럼 화면을 조작해, 피해자가 직접 확인 전화를 걸어도 사기범에게 연결되게 만든다
- 문자나 알림 내용을 가로채 본인 인증 번호(OTP)까지 그대로 탈취한다
- 사진첩이나 클라우드에 저장된 신분증·공동인증서 사본을 함께 빼낸다
보도에 따르면 2025년 1분기 보이스피싱 범죄 건수는 전년 동기 대비 17% 늘었고, 피해액은 2.2배로 뛰었습니다. 피해 증가의 상당 부분이 바로 이런 원격조종형 수법에서 비롯된 것으로 분석되고 있습니다. 다만 이 부분은 오해하기 쉬운데, 피해자가 ‘멍청해서’ 속는 게 아니라 가짜 화면이 실제 은행·경찰 앱과 구분하기 어려울 정도로 정교하게 만들어진다는 점이 핵심입니다.
실제로 2025년 보도된 사례에서는 원격조종을 당하고 있던 피해자가 스마트폰에 깔려 있던 탐지 앱을 실행해, 그 자리에서 악성앱이 적발·삭제되면서 추가 피해를 막은 경우가 확인됐습니다. 이런 탐지 앱이 효과를 내려면 사고가 터진 뒤가 아니라 평소에 미리 설치해 두는 것이 전제 조건입니다.
경찰은 피해 예방 수칙으로 세 가지를 반복해서 강조합니다. 첫째, 금융기관이나 수사기관은 전화로 앱 설치를 요구하지 않는다는 원칙을 기억하는 것입니다. 둘째, 연락받은 번호가 아니라 해당 기관의 대표번호나 112로 직접 걸어 사실 여부를 확인하는 것입니다. 셋째, 출처가 분명하지 않은 링크나 apk 파일은 절대 설치하지 않는 것입니다. 이 세 가지만 지켜도 상당수의 초기 유인 단계를 차단할 수 있다는 것이 경찰 당국의 설명입니다.
시티즌코난이란 무엇인가 — 기능과 사용법
시티즌코난은 경찰대학 치안정책연구소 스마트치안지능센터와 보안업체 인피니그루가 함께 만든 안드로이드 전용 앱입니다. 국회에 제출된 2021년 경찰대학 결과보고서에 따르면 2021년 7월부터 12월까지 개발이 진행됐고, 2021년 9월 24일 정식으로 서비스를 열었습니다.
이 앱의 핵심 기능은 스마트폰에 몰래 설치된 전화 가로채기 앱, 금융기관을 사칭한 가짜 앱, 원격제어 앱을 자동으로 찾아내 알려주고 삭제를 돕는 것입니다. 사용법은 비교적 단순합니다.
- 구글 플레이스토어에서 ‘시티즌코난’을 검색하고, 개발사가 인피니그루로 표시되는지 확인한 뒤 설치한다
- 최초 실행 시 요구하는 접근성 권한과 알림 접근 권한을 허용한다 — 이 권한이 있어야 다른 앱의 숨겨진 동작을 탐지할 수 있다
- 메인 화면의 검사 버튼을 눌러 설치된 전체 앱을 스캔한다
- 의심 앱이 발견되면 안내에 따라 즉시 삭제하고, 이후 모바일 결제 비밀번호와 공동인증서를 재발급한다
- 평소에도 주기적으로(특히 모르는 번호로 걸려온 전화를 받은 뒤에는) 다시 검사를 실행하는 습관을 들인다
실무에서 보면 많은 이용자가 ‘한 번 설치했으니 끝’이라고 생각하는데, 시티즌코난은 상시 백그라운드 감시형이 아니라 실행했을 때 검사하는 방식에 가깝기 때문에, 의심스러운 전화나 문자를 받은 직후 바로 실행해 보는 습관이 실제 예방 효과를 좌우합니다.
아이폰 사용자라면 피싱아이즈
시티즌코난은 안드로이드 전용이라 아이폰에서는 설치할 수 없습니다. 같은 개발사 인피니그루는 아이폰용으로 ‘피싱아이즈’라는 별도 앱을 제공하고 있으며, 애플 앱스토어에서 무료로 내려받을 수 있습니다.
기능 면에서는 피싱아이즈가 조금 더 넓은 범위를 다룹니다. 시티즌코난이 악성앱과 원격제어 앱 탐지에 초점을 맞춘 반면, 피싱아이즈는 다음과 같은 기능을 추가로 제공합니다.
- 아이폰에 설치된 모든 악성 앱 또는 프로세스를 폭넓게 탐지한다
- 악성 URL이 포함된 스미싱 문자를 분석해 알려준다
- 가족이나 지인을 사칭한 메시지의 위험 신호를 감지한다
- 일부 제휴 금융회사와 연동해, 보이스피싱이 의심되는 상황에서는 대출 실행을 일시적으로 지연시키는 기능도 갖추고 있다
다만 이 글을 쓰는 시점 기준으로 애플 앱스토어에 등록된 이용자 평가는 매우 적어, 실제 사용 체감이 폭넓게 검증된 상태라고 보기는 아직 어렵습니다. 기능 소개 자체는 유용해 보이지만, 처음 설치한다면 요구하는 권한의 범위(연락처 접근 등)를 한 번 더 확인하고 받아들이는 것이 안전합니다. 자세한 안내는 Apple App Store – 피싱아이즈 페이지에서 직접 확인할 수 있습니다.
두 앱, 무엇이 다른가
두 앱은 같은 회사가 만들었지만 운영체제뿐 아니라 탐지 범위도 다릅니다. 아래 표로 핵심 차이를 비교했습니다.
| 구분 | 시티즌코난 | 피싱아이즈 |
|---|---|---|
| 운영체제 | 안드로이드 전용 | 아이폰(iOS) 전용 |
| 개발 | 경찰대학 치안정책연구소 + 인피니그루 | 인피니그루 |
| 탐지 범위 | 악성앱·원격제어 앱 탐지 | 모든 악성 프로세스·스미싱 문자·사칭 메시지 탐지 |
| 부가 기능 | 없음 | 제휴 금융사 대출 실행 지연 연동 |
| 가격 | 무료(일부 유료 전환 유도 논란 있음) | 무료 |
탐지 범위만 보면 피싱아이즈가 더 넓어 보이지만, 아이폰은 애초에 iOS 구조상 외부 앱이 전화 가로채기나 화면 제어 권한을 안드로이드만큼 깊게 가져가기 어렵기 때문에 위험도 자체가 다르다는 점도 함께 고려해야 합니다. 즉 ‘어느 쪽이 더 안전한 운영체제냐’를 이 표만으로 단정할 수는 없습니다.
알아두어야 할 논란 — 국비 공방과 다크패턴 의혹
2026년 10월 보도에 따르면 시티즌코난을 둘러싸고 두 가지 논란이 함께 제기됐습니다. 개발사 인피니그루는 “자체 비용으로 개발했다”고 해명했지만, 국회에 공개된 경찰대학의 2021년 국비 과제 결과보고서에는 ‘시티즌코난 앱 개발’이 국비 사업 과업으로 명시되어 있어 해명과 어긋난다는 지적이 나왔습니다. 이를 관리하는 한국정보화진흥원(NIA)은 국비가 투입된 것으로 보고 필요하면 감사에 나설 수 있다는 입장을 밝혔습니다.
같은 보도에서는 시티즌코난이 보안 경고처럼 보이는 유료 서비스 결제 팝업을 띄워 이용자를 결제로 유도한다는 ‘다크패턴’ 의혹도 함께 제기됐습니다. 국가·경찰 기관이 함께 만든 신뢰도 높은 공공 서비스라는 인식과, 실제 화면에서 유료 전환을 유도하는 문구가 뜰 수 있다는 지적이 동시에 존재하는 상황이므로, 화면에 뜨는 결제 안내가 정말 필요한 보안 조치인지 한 번 더 따져보고 결제 여부를 판단하는 것이 좋습니다.
다만 이 논란이 탐지 기능 자체가 거짓이라는 뜻은 아닙니다. 개발 경위와 요금 안내 방식에 대한 투명성 문제와, 악성앱을 실제로 찾아내 삭제해 주는 탐지 기능은 분리해서 판단할 필요가 있습니다. 국회의원실은 국비 집행 내역과 다크패턴 의혹을 감사로 검증해야 한다고 요구한 상태이며, 추가 조사 결과가 나오면 서비스 운영 방식이 바뀔 가능성도 있습니다.
이런 논란과 별개로, 탐지 앱을 사칭한 가짜 앱이 유포되는 사례도 함께 보도됐습니다. 반드시 구글 플레이스토어나 애플 앱스토어 같은 공식 마켓에서만 내려받아야 하며, 금융기관이나 수사기관이 문자로 특정 앱 설치 링크를 보내는 경우는 그 자체로 사기일 가능성이 높으므로 즉시 의심해야 합니다.
악성앱 의심 신호 자가진단 체크리스트
탐지 앱을 아직 설치하지 않았거나, 지금 당장 실행해 볼 상황이 아니라면 아래 항목을 먼저 확인해 보는 것이 좋습니다. 하나라도 해당된다면 탐지 앱 실행과 함께 아래에서 설명할 대응 절차로 바로 넘어가야 합니다.
- 모르는 번호로 전화를 받은 뒤, 상담원 안내에 따라 출처를 모르는 앱(apk 파일 포함)을 설치한 적이 있다
- 최근 들어 배터리가 평소보다 빨리 닳거나, 사용하지 않을 때도 데이터 사용량이 눈에 띄게 늘었다
- 설치 기록이 없는 낯선 아이콘이나, 이름만 비슷하게 흉내 낸 은행·보안 앱이 홈 화면에 보인다
- 통화 중 잡음이 심해지거나, 분명히 직접 전화를 걸었는데도 매번 같은 사람(사기범)에게 연결된다
- 본인이 요청하지 않은 비밀번호 변경 문자나 로그인 알림을 받았다
- 스마트폰 설정에서 ‘접근성’ 또는 ‘알 수 없는 출처 허용’ 항목이 본인도 모르게 켜져 있다
이 중 두 가지 이상에 해당된다면 단순한 우연으로 넘기지 말고, 바로 다음 순서에 따라 점검과 신고를 함께 진행하는 것이 안전합니다.
이미 설치됐다면 지금 해야 할 일
악성앱 설치가 의심되거나 이미 금전 피해가 발생했다면, 아래 순서로 빠르게 대응하는 것이 피해 확산을 막는 데 가장 중요합니다.
- 스마트폰을 비행기 모드로 전환해 네트워크 연결을 즉시 차단한다 — 원격제어 앱이 추가 명령을 받지 못하게 하는 조치다
- 안전한 다른 기기(가족의 스마트폰이나 PC)로 거래 은행·카드사 고객센터에 연락해 계좌 지급정지와 결제 정지를 요청한다
- 112(경찰) 또는 금융감독원 1332로 전화해 피해 사실을 신고하고, ‘사건사고 사실확인원’ 발급을 요청해 둔다
- 네트워크를 다시 연결한 뒤 시티즌코난(안드로이드) 또는 피싱아이즈(아이폰)를 실행해 악성앱 검사를 진행하고, 발견된 앱을 삭제한다
- 공동인증서, 간편결제 비밀번호, 주요 계정 비밀번호를 전부 재발급·변경한다
- 피해 신고 접수증과 확인원을 챙겨 금융회사에 전자금융거래법에 따른 손해배상을 신청한다
신고는 경찰청 – 사이버범죄 신고 안내 페이지에서도 절차를 확인할 수 있습니다. 이 순서에서 가장 많은 사람이 놓치는 단계는 첫 번째, 네트워크 차단입니다. 신고 전화를 거는 데만 집중하다 보면 그 사이에도 원격제어 앱이 계속 작동해 2차 피해가 이어질 수 있다는 점을 기억해야 합니다.
평소에 해둘 수 있는 가장 효과적인 예방책은 결국 미리 탐지 앱을 설치해 두고, 모르는 번호로 걸려온 전화를 받은 뒤에는 번거롭더라도 한 번씩 검사를 실행하는 습관입니다. 국비 공방이나 다크패턴 논란처럼 서비스 운영 방식에 대한 문제 제기는 계속 지켜볼 필요가 있지만, 그렇다고 해서 탐지 기능 자체를 외면하는 것은 더 큰 위험을 떠안는 선택이 될 수 있습니다.
Q. 탐지 앱을 설치하면 보이스피싱 전화 자체도 차단되나요?
아닙니다. 시티즌코난과 피싱아이즈는 이미 설치된 악성앱이나 의심스러운 문자·메시지를 찾아내는 역할을 하는 것이고, 전화 자체를 걸러주는 스팸 차단 기능과는 다릅니다. 통신사가 제공하는 스팸 차단 서비스와 함께 쓰는 것이 더 안전합니다.
Q. 탐지 앱에서 ‘이상 없음’이 나오면 완전히 안전한 건가요?
그렇게 단정하기는 어렵습니다. 새로운 수법의 악성앱은 기존 탐지 데이터베이스에 아직 반영되지 않았을 수 있습니다. 검사 결과가 깨끗하게 나오더라도, 평소와 다른 배터리 소모나 낯선 알림이 계속된다면 통신사 고객센터나 경찰 사이버수사대에 추가로 문의해 보는 것이 안전합니다.
Q. 가족 중 스마트폰 사용이 어려운 고령자가 있다면 어떻게 도와야 하나요?
직접 설치해 드리고 검사 방법을 한 번만이라도 함께 해보는 것이 가장 효과적입니다. 고령자일수록 ‘자녀나 손주가 급하다’는 전화에 즉각 반응하기 쉽고, 앱 권한 설정 화면이 익숙하지 않아 무심코 모든 권한을 허용하는 경우가 많습니다. 명절이나 가족 모임처럼 다 같이 모이는 자리에서 탐지 앱 설치와 검사 실행을 함께 해 두면, 평소 혼자 계실 때도 의심되는 전화를 받으면 바로 검사해 보도록 안내하기가 훨씬 쉬워집니다.
보이스피싱 수법은 계속 바뀌고, 탐지 앱을 둘러싼 논란도 앞으로 조사 결과에 따라 달라질 수 있습니다. 다만 변하지 않는 원칙은 하나입니다. 모르는 번호의 요청으로 앱을 설치하거나 원격 제어를 허용하는 순간, 이미 절반은 사기범에게 넘어간 상태라는 것입니다. 전화를 끊고, 공식 번호로 다시 확인하고, 탐지 앱으로 점검하는 세 단계를 몸에 익혀 두는 것이 가장 확실한 방어선입니다.
함께 확인하면 좋은 보이스피싱 악성앱 탐지 체크리스트
보이스피싱 악성앱 탐지라면 가족 사칭 딥페이크 보이스피싱 신고 방법, 이 번호 모르면 골든타임 놓칩니다까지 함께 챙겨보시면 도움이 됩니다. 보이스피싱 악성앱 탐지를 준비 중이라면 고유가 피해지원금 잔액조회 방법과 8월 소멸 전 사용법도 미리 점검해두는 것이 좋습니다. 관련해서 전기요금 계산기 활용법으로 매달 전기세 절약하는 법 내용도 함께 확인해두면 실수를 줄일 수 있습니다. 아울러 주택청약 1순위 조건, 나도 모르게 자격 놓치는 이유에 대해서도 궁금하시다면 참고하시길 권합니다.
