NFC 고스트 탭: 2025년 35배 급증한 비접촉 결제 사기의 실체

카드를 대고, 커피를 받고, 나간다. 비접촉 결제는 빠르고 편리합니다. 하지만 이제 사이버 범죄자들의 주요 타깃이 되었습니다. '고스트 탭(Ghost Tap)'이라 불리는 수법이 2025년 들어 35배나 급증하며, 훔친 카드 데이터로 전 세계에서 추적 불가능한 결제를 일으키고 있습니다.

고스트 탭 공격이란?

고스트 탭은 NFC 중계 공격입니다. 카드를 물리적으로 복제하는 대신, 카드의 NFC 데이터를 캡처해 원격 기기로 실시간 중계하여 결제합니다.

1. 카드 정보 탈취 — 피싱 문자, 뱅킹 앱 위에 덧씌운 악성 화면, 보이스피싱 등으로 카드 번호와 인증번호를 확보
2. 모바일 지갑에 등록 — 훔친 정보를 공격자의 스마트폰에 있는 삼성페이, Apple Pay, Google 지갑에 등록
3. NFC 신호 중계 — NFCGate 같은 소프트웨어로 NFC 신호를 원격의 '운반책'에게 전송
4. 결제 — 운반책이 전 세계 매장에서 비접촉 결제 한도 이하로 소액 결제 실행

전체 과정은 수 초 만에 완료됩니다. 카드는 지갑 속에 있는데, 다른 나라에서 누군가가 그 카드로 물건을 사고 있는 겁니다.

왜 탐지가 어려운가

기존 사기 탐지 시스템은 이상 패턴(비정상 위치, 고액 결제, 빠른 연속 거래)을 찾습니다. 고스트 탭은 이 모든 검사를 우회합니다.

탐지 방식	고스트 탭이 우회하는 이유
위치 확인	실제 매장의 실제 POS 단말기에서 결제
금액 기준	비접촉 한도(5만 원 내외) 이하 소액
카드 제시 확인	NFC 신호가 정상 탭과 동일
속도 검사	운반책들이 여러 매장·도시에 분산
기기 식별	운반책마다 다른 스마트폰 사용

은행 입장에서는 정상적인 매장 내 소액 결제로 보입니다. 카드 소유자가 모르는 청구 내역을 발견하기 전까지는 아무 경보도 울리지 않습니다.

35배 급증의 원인

오픈소스 NFC 도구의 확산

학술 연구용으로 개발된 NFCGate가 널리 보급되면서, NFC 중계 기능이 텔레그램과 다크웹 사기 튜토리얼에 상세히 문서화되었습니다.

모바일 결제 보편화

삼성페이, Apple Pay, Google 지갑 등 비접촉 결제가 기본이 되면서 공격 대상이 크게 확대되었습니다. 카드 번호와 일회용 인증번호만 있으면 모바일 지갑에 카드를 등록하는 것은 매우 쉽습니다.

조직화된 운반책 네트워크

범죄 조직이 카카오톡 오픈채팅이나 SNS를 통해 운반책을 모집하고, 사기 결제 금액의 일부를 수당으로 제공합니다. 하나의 카드로 여러 나라에서 동시에 수십 건의 소액 결제가 가능합니다.

누가 위험한가?

• 비접촉 카드 소유자 — 2020년 이후 발급된 대부분의 카드
• 모바일 결제 사용자 — 매 거래마다 생체 인증을 설정하지 않은 경우 특히 취약
• 피싱에 응답하는 사람 — 진입점은 대개 카드 인증을 요청하는 가짜 문자
• 해외 여행자 — 낯선 결제 위치에서 사기 청구를 알아채기 어려움

보호 방법

즉시 실행할 수 있는 조치

1. 실시간 결제 알림 활성화 — 모든 카드 거래에 대한 즉시 알림이 첫 번째 방어선
2. 비접촉 한도 낮추기 — 은행 앱에서 비접촉 결제 한도를 별도로 설정
3. 생체 인증 필수화 — 삼성페이, Apple Pay에서 매 결제마다 지문 또는 얼굴 인식 요구
4. 인증번호 절대 공유 금지 — 은행은 전화나 문자로 OTP를 요청하지 않음
5. 주간 명세서 확인 — 1~3만 원대 소액 사기 청구는 눈에 띄지 않도록 설계됨

추가 보호 방법

• 가상 카드 번호 사용 — 일회용 카드 번호로 유출 시 피해 최소화
• 미사용 시 NFC 끄기 — 안드로이드의 빠른 설정에서 NFC 토글 가능
• 미사용 카드 잠금 — 은행 앱에서 사용하지 않는 카드를 즉시 정지

온라인 민감 정보 보호

고스트 탭의 시작점은 탈취된 데이터입니다. 카드 번호, 인증번호, 개인정보 등 온라인에서 공유하는 모든 민감 정보가 잠재적 진입점이 됩니다.

비밀번호나 금융 정보를 공유할 때는 카카오톡 채팅에 그대로 남기지 말고 암호화된 채널을 사용하세요. LOCK.PUB을 이용하면 비밀번호로 보호되고 자동 만료되는 링크를 통해 민감 정보를 전달할 수 있습니다. 채팅 기록에 카드 정보가 무기한 남아있는 위험을 제거할 수 있습니다.

피해를 당했다면

1. 즉시 카드 정지 — 은행 앱에서 카드 잠금
2. 은행 사기 신고 센터 연락 — 대부분의 은행이 비인가 비접촉 거래를 보상
3. 경찰 신고 — 사기 피해 보상 청구에 필요
4. 연결된 지갑 확인 — Apple Pay, 삼성페이, Google Pay에 등록된 기기 점검
5. 은행 앱 비밀번호 변경 — 인증번호가 탈취되었다면 앱 자격 증명도 변경

결론

고스트 탭은 편의성과 보안 사이의 근본적 긴장을 보여줍니다. 비접촉 결제의 마찰 없는 편리함이 공격자가 악용하는 바로 그 지점입니다.

알림을 켜고, OTP 요청을 의심하고, 민감한 정보를 평문으로 공유하지 마세요. LOCK.PUB 같은 도구로 민감 데이터가 보호되지 않는 채널에 남아있지 않도록 관리하세요.

탭은 편리해야 합니다. 하지만 반드시 당신의 탭이어야 합니다.