택배 배송 조회나 청첩장, 교통 과태료 안내처럼 평범해 보이는 문자 속 링크를 무심코 눌렀다가 며칠 뒤 통신요금 청구서에서 낯선 소액결제 내역을 발견하는 피해가 끊이지 않습니다. 최근에는 문자 링크 대신 QR코드를 찍게 만드는 '큐싱' 수법까지 더해지면서, 나도 모르는 사이 결제가 이뤄지는 경로가 다양해졌습니다. 이럴 때 가장 답답한 것은 '이미 빠져나간 돈을 돌려받을 수 있는가', 그리고 '어디에 어떤 순서로 신고해야 하는가'입니다. 결론부터 말하면, 본인의 의사에 반한 결제라면 법이 정한 정정요구권과 환불 절차가 마련되어 있어 상당 부분 구제가 가능합니다. 이 글에서는 스미싱·큐싱으로 인한 소액결제 피해를 환불받는 절차와 창구별 신고 방법을 순서대로 정리하겠습니다.
법무법인 도모 강대현 변호사
스미싱·큐싱은 어떻게 소액결제 피해로 이어지나
스미싱은 문자메시지(SMS)와 피싱(phishing)을 합친 말로, 택배·청첩장·과태료 안내 등을 사칭한 문자 속 인터넷주소를 누르게 해 스마트폰에 악성 앱을 설치시키는 수법입니다. 큐싱은 같은 원리를 QR코드로 옮긴 것으로, 무료 쿠폰이나 사은행사, 주차정산 안내 등을 가장한 조작된 QR코드를 찍게 만들어 악성 앱을 심거나 가짜 결제 페이지로 유도합니다. 두 수법 모두 최종 목적은 이용자 몰래 금전을 빼내거나 개인정보·금융정보를 탈취하는 데 있습니다.
악성 앱이 일단 설치되면 문자 수신 내역과 인증번호를 가로챌 수 있어, 이용자가 직접 승인하지 않은 휴대폰 소액결제(통신과금서비스)가 이뤄지는 경우가 많습니다. 통신과금서비스는 게임 아이템이나 콘텐츠 이용료 같은 소액 대금을 통신요금과 함께 청구·징수하는 구조라, 피해자는 흔히 다음 달 요금 청구서를 받고서야 낯선 결제를 발견하게 됩니다. 이렇게 '내 의사와 무관하게' 이뤄진 결제라는 점이 이후 정정요구와 환불의 출발점이 됩니다.
핵심은 '누가 승인했는가'입니다. 이용자 본인이 승인하지 않은 결제라면, 단순 변심 환불이 아니라 법이 정한 정정요구의 대상이 됩니다.
피해를 알았을 때 가장 먼저 할 일 — 감염과 결제 차단
소액결제 내역이 이상하거나 악성 앱 설치가 의심된다면, 추가 피해를 막는 것이 최우선입니다. 먼저 Wi-Fi와 모바일 데이터를 모두 꺼 악성 앱이 외부와 통신하지 못하게 하고, 최근 설치된 앱 목록을 확인해 출처가 불분명한 앱을 삭제합니다. 스스로 삭제가 어렵거나 초기화가 필요하면 통신사 대리점이나 휴대폰 백신을 활용해 정밀 검사를 받는 편이 안전합니다.
계좌번호·카드번호·비밀번호 등 금융정보를 입력했거나 노출된 정황이 있다면, 해당 금융기관 고객센터에 즉시 계좌 지급정지를 요청해야 합니다. 24시간 운영되는 금융감독원 보이스피싱 지킴이(1332)나 경찰(112)에도 지급정지와 피해 신고를 함께 접수할 수 있습니다. 스미싱 문자나 큐싱 QR코드, 결제 알림 문자는 지우지 말고 캡처해 보관해야 이후 신고와 환불 과정에서 증거가 됩니다.
Wi-Fi·모바일 데이터 차단 후 의심 앱 삭제 — 악성 앱의 추가 통신·결제 시도를 끊는 첫 조치
금융정보 노출 시 지급정지 요청 — 카드사·은행과 함께 1332(금감원)·112(경찰) 병행 접수
문자·QR·결제 알림 캡처 보관 — 신고서와 환불 청구를 뒷받침하는 핵심 증거
같은 문자를 받은 지인에게 열지 말라고 전파 — 2차 확산 차단
정보통신망법이 보장하는 정정요구권 — 제58조의 핵심
휴대폰 소액결제 피해 구제의 법적 뿌리는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제58조(통신과금서비스이용자의 권리 등)에 있습니다. 이 조항은 통신과금서비스가 자신의 의사에 반하여 제공되었음을 이용자가 알게 된 때에는, 통신과금서비스제공자에게 정정을 요구할 수 있도록 정하고 있습니다. 즉 '내가 승인하지 않은 결제'라는 사실이 확인되면, 이는 단순한 환불 요청이 아니라 법이 명시적으로 인정한 권리 행사입니다.
제공자는 이용자의 정정요구가 이유 있다고 판단되면 판매자에 대한 대금 지급을 유보하고, 정정요구를 받은 날부터 2주 이내에 처리 결과를 알려 주어야 합니다. 다만 결제가 이용자 본인의 고의 또는 중대한 과실로 이뤄진 경우에는 이 권리가 제한될 수 있으므로, 스스로 정보를 입력한 정황이 있는지 등은 사실관계에 따라 다투어질 수 있습니다. 제공자가 처리 결과를 알리지 않거나 관련 기록을 보존하지 않으면 같은 법에 따라 1천만원 이하의 과태료 대상이 됩니다.
정정요구가 이유 있으면 제공자는 대금 지급을 유보하고 2주 이내에 결과를 통지해야 합니다(정보통신망법 제58조). 청구서를 받았더라도 납부 전이라면 적극적으로 정정을 요구하는 것이 유리합니다.
소액결제 환불 실전 절차 — 신고부터 환급까지
실제 환불은 대체로 통신사 신고에서 시작해 경찰 신고, 확인서 제출, 환급의 순서로 진행됩니다. 통신요금을 아직 납부하지 않은 경우에는 이동통신사가 소액결제 금액을 제외한 청구서를 다시 발급하는 방식으로, 이미 납부한 경우에는 결제대행사(PG)나 콘텐츠사업자가 결제 대금을 환불하는 방식으로 처리되는 것이 일반적입니다. 그래서 피해를 인지하면 요금 납부 전에 최대한 빨리 움직이는 것이 회수에 유리합니다.
절차를 정리하면 다음과 같습니다.
이동통신사 고객센터 신고 — SK텔레콤 114, KT 100, LG U+ 101 등으로 결제 내역을 확인하고 스미싱 피해를 신고한 뒤 소액결제확인서 발급을 요청합니다.
경찰 신고와 확인서 발급 — 소액결제확인서를 지참해 사이버수사팀이나 경찰서 민원실에 신고하고 사건사고 사실확인원을 발급받습니다. 온라인은 경찰청 사이버범죄 신고시스템(ECRM)으로도 접수할 수 있습니다.
통신과금서비스 정정요구 — 통신사·결제대행사에 정보통신망법 제58조에 따른 정정을 요구하고 피해 사실을 통지합니다.
환급 청구 — 경찰 확인서와 소액결제확인서를 첨부해 통신사·PG·콘텐츠사업자에 환불(피해보상)을 청구합니다.
결제 시점과 피해 인지 시점의 간격이 클수록, 승인 경위나 악성 앱 감염 사실을 증명하기가 어려워집니다. 결제 알림, 통화·문자 기록, 악성 앱 흔적 등 객관적 자료를 초기에 최대한 확보해 두는 것이 환불 성공률을 높이는 실질적인 열쇠입니다.
어디에 신고하나 — 창구별 역할 한눈에
스미싱·큐싱 피해는 성격에 따라 접수 창구가 나뉘므로, 상황에 맞는 곳을 골라 병행하는 것이 효율적입니다. 스팸·악성코드 상담과 범죄 피해 신고, 금융 지급정지는 각각 담당 기관이 다릅니다.
KISA 118(한국인터넷진흥원) — 스미싱 조치 방법, 피싱사이트 신고, 악성코드 감염 대응 상담을 24시간 받을 수 있습니다.
경찰청 사이버범죄 신고시스템(ECRM, ecrm.police.go.kr) — 범죄로서의 피해를 온라인으로 신고하거나 가까운 사이버수사팀에 방문 접수합니다.
금융감독원 1332 — 금융정보 노출이나 부정결제가 의심될 때 지급정지와 피해 상담을 접수합니다.
이동통신사 고객센터 — 소액결제 내역 확인과 확인서 발급, 정정·환불 실무를 담당합니다.
예컨대 QR코드를 찍은 뒤 낯선 앱이 깔리고 소액결제가 발생했다면, 118로 악성코드 대응을 상담하면서 통신사에 소액결제확인서를 요청하고 ECRM으로 범죄 신고를 접수하는 식으로 동시에 진행하면 시간을 아낄 수 있습니다.
미성년자·가족 명의 결제라면 — 취소할 수 있는 경우
자녀 명의 휴대폰에서 부모 동의 없이 게임·콘텐츠 결제가 이뤄진 경우처럼, 미성년자가 단독으로 한 결제라면 스미싱이 아니어도 취소가 가능할 수 있습니다. 「민법」 제5조는 미성년자가 법정대리인의 동의 없이 한 법률행위를 미성년자 본인이나 법정대리인이 취소할 수 있도록 정하고 있기 때문입니다. 다만 용돈 범위의 처분이거나 미성년자가 성년인 것처럼 속인 경우 등은 취소가 제한될 수 있어, 결제 경위와 금액을 함께 살펴야 합니다.
실무에서는 통신사 고객센터에 '미성년자 동의 없는 결제 취소'를 요청하면서 자녀의 생년월일과 법정대리인 본인 확인 자료를 제출하는 방식으로 진행됩니다. 앱 마켓 결제라면 구글플레이·앱스토어의 환불 절차를 병행하는 것이 필요하고, 사업자와 다툼이 생기면 콘텐츠분쟁조정위원회 같은 분쟁조정 절차를 활용할 수도 있습니다.
2차 피해 주의 — '환불해 준다'는 연락을 조심하라
피해를 입은 뒤 마음이 급한 상태를 노려, 결제대행사나 분쟁조정기관을 사칭해 "결제를 취소·환불해 주겠다"며 접근하는 2차 스미싱·전화가 늘고 있습니다. 이들은 흔히 환불에 필요하다는 명목으로 결제 승인번호나 인증번호, 추가 개인정보를 요구하는데, 정상적인 환불 절차에서는 이용자에게 승인번호 입력을 요구하지 않습니다. 어떤 경우에도 문자·전화로 온 링크를 다시 누르거나 승인번호를 알려 줘서는 안 됩니다.
정식 환불은 앞서 정리한 통신사·경찰·금융기관의 공식 창구를 통해서만 진행하면 충분합니다. '환불' '피해보상' 같은 키워드를 앞세운 연락일수록 발신처를 의심하고, 공식 대표번호로 직접 다시 확인하는 습관이 추가 피해를 막습니다.
정상적인 환불 절차는 이용자에게 승인번호나 인증번호를 요구하지 않습니다. '환불해 준다'며 번호를 묻는 연락은 사실상 2차 피해 시도로 보아야 합니다.
자주 묻는 질문
Q. 링크를 눌렀지만 결제 내역은 아직 없습니다. 그냥 둬도 될까요?
A. 악성 앱이 설치되면 시차를 두고 소액결제나 정보 탈취가 일어날 수 있어 방치는 위험합니다. Wi-Fi·데이터를 끄고 의심 앱을 삭제한 뒤, 필요하면 휴대폰 초기화와 백신 검사를 하고 KISA 118에 대응 방법을 상담받는 것이 안전합니다.
Q. 이미 통신요금을 납부했는데도 소액결제를 환불받을 수 있나요?
A. 가능성이 있습니다. 납부 전이라면 통신사가 소액결제를 제외한 청구서를 재발급하고, 이미 납부했다면 결제대행사나 콘텐츠사업자가 대금을 환불하는 방식으로 처리되는 것이 일반적입니다. 다만 피해 입증 자료와 확인서가 필요하므로 최대한 빨리 신고하는 것이 유리합니다.
Q. 소액결제확인서와 사건사고 사실확인원은 꼭 있어야 하나요?
A. 환불·정정 실무에서 피해 사실을 증명하는 핵심 서류이므로 사실상 필수에 가깝습니다. 통신사에서 소액결제확인서를, 경찰 신고 후 사건사고 사실확인원을 발급받아 통신사·PG에 함께 제출하면 처리가 원활합니다.
Q. 제가 링크를 눌러서 생긴 피해라 '고의·중과실'로 몰려 환불이 거절될까 걱정됩니다.
A. 링크를 눌렀다는 사실만으로 곧바로 중과실이 되는 것은 아니며, 승인 경위와 정보 입력 여부 등을 종합해 판단합니다. 정보통신망법 제58조의 정정요구가 이유 있는지는 사실관계 다툼의 영역이므로, 감염 경위와 결제 경위 자료를 갖춰 적극적으로 소명하는 것이 중요합니다.
Q. 큐싱(QR코드) 피해도 스미싱과 같은 절차로 신고하나요?
A. 네, 감염·결제 경로가 QR코드일 뿐 대응 원리는 같습니다. 데이터 차단과 앱 삭제, 통신사·경찰 신고, 정정요구·환불 청구 순서는 동일하며, 찍었던 QR코드나 유도된 페이지 화면을 캡처해 두면 신고에 도움이 됩니다.
Q. 피해 금액이 크지 않은데도 신고할 실익이 있을까요?
A. 금액이 작아도 정정요구와 환불로 회수가 가능하고, 신고 자체가 동일 수법의 추가 확산을 막는 자료가 됩니다. 소액이라며 방치하면 같은 악성 앱으로 반복 결제가 일어날 수 있으므로, 감염 제거와 신고를 함께 마무리하는 편이 낫습니다.
맺음말
스미싱·큐싱으로 인한 소액결제 피해의 핵심은 '내 의사에 반한 결제'라는 점을 신속하게 밝히고 증명하는 데 있습니다. 정보통신망법 제58조는 의사에 반한 결제에 대한 정정요구권과 2주 이내 처리 의무를 정하고 있고, 통신사·경찰·금융기관의 공식 창구를 통해 환불과 신고 절차가 마련되어 있습니다. 감염 차단, 확인서 확보, 정정요구, 환급 청구라는 순서를 기억해 두면 당황하지 않고 대응할 수 있습니다.
무엇보다 요금을 납부하기 전에 빠르게 움직일수록 회수 가능성이 높아지고, '환불해 준다'는 사칭 연락에 승인번호를 넘기지 않는 것만으로도 2차 피해를 막을 수 있습니다. 결제 경위가 복잡하거나 통신사·사업자가 정정·환불을 거절해 다툼으로 번진다면, 사실관계를 정리해 법률 전문가의 조력을 받는 것이 유리합니다.
수원·경기남부 지역에서 소액결제 피해나 전자금융 관련 분쟁으로 대응 방향을 고민하고 계신다면, 사안의 경위를 함께 검토해 드릴 수 있습니다.
조력이 필요하시면 010-3432-1451 강대현 변호사에게 연락주십시오. 신속히 도와드리겠습니다.
의뢰인을 위한 최선의 전략을 끊임없이 고민합니다.
로톡의 모든 콘텐츠는 저작권법의 보호를 받습니다.
콘텐츠 내용에 대한 무단 복제 및 전재를 금지하며, 위반 시 민형사상 책임을 질 수 있습니다.