2026년 10월 21일 8:00 (JST)
【일본】일본 신용카드 협회(JCCA), 국내 카드사 8곳, ACSiON은 2025년 4월부터 카드 정보 등 도난 방지를 위해 피싱 사이트 폐쇄 조치를 시작했습니다.2026년 4월부터는 추가로 5개의 국내 카드사가 참여하여 폐쇄 대상을 확대하고, 포괄적인 폐쇄 대응에 착수하고 있습니다.현재의 폐쇄 현황과 향후 전망, 추가적인 카드사 참여 유도, 피싱 사이트가 다수 신고되는 기업 및 업계 단체에 대한 노하우 제공 등, 피싱 근절을 위한 활동에 대해 보고합니다. (2026년 9월 25일 개최된 ‘페이먼트·시큐리티 포럼 2026 Fall’ 강연 내용 중)
일본 신용카드협회 사무국장 쿠마가이 료스케 씨
주식회사 ACSiON 대표이사 야스다 타카노리 씨
2년 차 피싱
사이트 폐쇄 지금까지의 동향과 향후 활동 소개
쿠마가이 료스케 씨: 일본 신용카드 협회 사무국장을 맡고 있는 쿠마가이라고 합니다. 오늘 전해 드리고자 하는 내용은, 국내 신용카드사들이 공동으로 피싱 사이트 폐쇄 활동을 진행하고 있으며, 올해로 2년째를 맞이한다는 점입니다.
‘페이먼트 시큐리티 포럼 2025 가을’에서도 전임 사무국장님께서 소개해 드린 바 있습니다. 이번에는 지난 1년 동안 어떤 움직임이 있었는지, 또한 올해 어떤 성과를 거두었는지, 앞으로 어떻게 해나갈지에 대해 설명드리고자 합니다.
피싱 사이트 폐쇄 방법에 대해서는 후반부에 ACSiON의 야스다 대표께서 설명해 주실 예정입니다.
일본 신용카드 협회가 어떤 조직인지 간단히 설명드리겠습니다. 원래 매장 내 결제 단말기를 공동 이용 단말기로 신용카드 회사들이 공동으로 사용하고 있었으며, 그 운영 관리를 위해 설립된 협회라는 배경이 있습니다.
신용카드 결제 인프라가 정비된 가운데, 신용카드 사업 전반에 걸쳐 어떤 노력을 기울여야 한다는 판단 하에 매년 협회 시책으로 다양한 활동을 전개하고 있습니다. 회원사 중 4개사의 이사가 매년 회장사를 순번제로 맡고 있습니다.올해는 제49기이며, 제가 사무국장을 맡고 있습니다. 저는 미쓰비시 UFJ 니코스에서 파견되어 왔습니다. 사무국장은 앞서 말씀드린 이사사 4곳 중에서 매년 선출됩니다.
간단한 이력을 말씀드리겠습니다. 파견 자체는 1년 전입니다. 반년간의 준비 기간을 거쳐 4월부터 사무국장을 맡고 있습니다. 파견 전에는 신용카드 가맹점을 중심으로 한 법인 영업을 담당하며, 무현금 결제 인프라나 지금부터 말씀드릴 부정 이용에 대해 어떤 대책을 마련해야 할지 등을 가맹점과 함께 고민했습니다.
대상 3개사의 피싱 사이트는 감소
그 외가 표적이 되어 꾸준히 증가
우선 일본 신용카드 협회가 왜 이 카드사들의 합동 피싱 사이트 대응을 시작하게 되었는지에 대해 말씀드리겠습니다. 2023년도에는 코로나 사태가 진정되면서 부정 사용이 증가하는 가운데, 부정 사용 대책의 일환으로 협회 차원에서 해외 사례를 조사했습니다.그 결과, 영국에서는 공공기관이 피싱 사이트를 차단하고 있었고, 호주에서는 신용카드 업계 단체가 피싱 사이트 차단을 수행하고 있었습니다. 이러한 사례를 통해 피싱 피해를 억제하고 있음을 확인할 수 있었습니다.
2024년도에 일본에서도 어떻게 하면 이를 실현할 수 있을지 시범 운영을 진행했습니다. 이때 다양한 카드사에 협조를 요청하여 8개사의 찬동을 얻어, 2025년 4월부터 시작될 시범 운영을 위해 준비 중이었습니다.25년 4월부터는 8개사와 함께 시범 운영을 통해 실적을 쌓고, 향후 이러한 사이트 폐쇄 조치가 더욱 확대될 수 있도록 어떤 조치를 취해야 할지 동시에 검토해 왔습니다.
2026년도에는 본격적인 운영을 시작하여, 현재 피싱 사이트 폐쇄 활동을 진행하고 있습니다. 이번에는 2025년, 2026년의 진행 상황에 대해 실제 수치도 함께 보고해 드리고자 합니다.2025년 4월부터의 활동과 관련해, 앞서 8개사라고 말씀드렸습니다. 구체적으로는 이온 파이낸셜 서비스, NTT 도코모(NTT 도코모·파이낸셜 그룹), 크레디세존, JCB, 미쓰이 스미토모 카드, 미쓰비시 UFJ 니코스, UC 카드, 라쿠텐 카드입니다.카드사 이외의 이름을 사칭하는 피싱 사이트에서 신용카드 번호가 유출되는 사건에 대해, 카드사들이 공동으로 사이트를 폐쇄하는 조치를 보도자료를 통해 발표하고 실행했습니다.
이번 조치는 폐쇄 대상으로 보고된 피싱 사이트 수 상위 3개 업체로 한정했습니다. 8개사가 참여하는 실증 실험으로서 규모를 제한하여 실시했습니다.
결과(그림)에 대해서는, 피싱 사이트 차단 조치를 시작하기 전인 2025년 3월을 기점으로, 대상 3개사의 피싱 사이트 URL 수를 100으로 설정했을 때, 4월 이후 차단 조치를 시작한 이후의 변화를 보여주는 것이 녹색 꺾은선 그래프의 내용입니다.최근인 26년 3월에는 다소 증가세를 보였지만, 100에 비해 상당히 억제된 상황입니다. 막대 그래프는 ACSiON이 실제로 폐쇄한 URL의 수를 나타냅니다.
바로 아래에 있는 꺾은선 그래프를 살펴보시기 바랍니다. 여기서 중요한 점은, 우리가 차단 대상으로 삼아 제거할 수 있었던 3개사에 대해서는 수치가 억제되었으나, 그 외의 피싱 사이트 수가 100을 기준으로 꾸준히 증가하고 있다는 것입니다.
피싱 차단 대상 20개 종목으로 확대
활동에 참여하는 기업도 8개사에서 13개사로
여기서 무엇을 알 수 있을까요? 부정 이용 대책을 시행하고 계신 분들은 뼈저리게 느끼고 계실지 모르겠지만, 부정 이용범들은 보안 취약점을 노리고 공격해 옵니다. 대상 3개사에 대해서는 차단 조치를 시작함으로써 억제할 수 있었지만, 다른 곳에서 피싱 사이트를 통해 신용카드 번호를 쉽게 탈취할 수 있기 때문에 증가하고 있다는 가설을 세웠습니다.
이대로라면 대상 3개사의 피싱 사이트 수가 줄어들더라도 피싱 사이트 전체는 줄어들지 않으므로, 올해 4월부터는 참여하고 계신 신용카드사를 8개사에서 13개사로 확대하고, 피싱 사이트 폐쇄 대상을 3개사에서 20개 종목으로 늘렸습니다.
실제로 참여해 주신 신용카드사는 이온 파이낸셜 서비스, NTT 도코모, 에포스 카드, au 파이낸셜 서비스, 크레디세존,JCB, 세븐 카드 서비스, 세븐 CS 카드 서비스, 도요타 파이낸스, 미쓰이 스미토모 카드, 미쓰비시 UFJ 니코스, UC 카드, 라쿠텐 카드이며, 기존의 차단 대상을 3개 종목에서 20개 종목으로 확대합니다.
구체적인 대상은 원형 차트에서 확인해 주시기 바랍니다.은행, 증권, 신용카드 결제 등은 피싱 사이트에 대해 기본적으로 자체적으로 대응하고 계신다는 점을 감안하여 대상에서 제외하고 있습니다. 반면, 전자상거래 서비스, 교통, 항공, 배송, 기타 공공요금, 인프라 관련 분야 등은 자체적으로 피싱 사이트를 차단할 동기가 약하기 때문에, 이러한 피싱 사이트를 억제함으로써 신용카드 부정 사용 피해를 방지할 수 있도록 현재 조치를 취하고 있습니다.
2025년에는 3개 업종으로 안내해 드렸습니다. 실제로 금융기관 이외의 60% 중 약 40%를 커버할 수 있었습니다. 20개 업종으로 확대함으로써, 90% 이상이라고 기재되어 있지만, 95% 이상의 피싱 사이트를 차단할 수 있을 것으로 보고 있으며, 올해 4월부터 시작했습니다.
실적에 대해서는 2026년 3월의 피싱 사이트 URL 수를 100으로 한 기준의 추이를 보여드리고 있습니다. 이 부분은 8월까지의 실적이며 연간 전체는 아니지만, 월별로 편차는 있더라도 우하향 추세를 보이고 있습니다. 실제 피싱 사이트 URL 폐쇄 건수에 대해서는 이 막대 그래프로 보여드리고 있습니다.
일본에서 피싱을 하는 것은 어렵습니다
. 사기범들에게 그렇게 생각하게 만들기 위해
앞으로도 이 활동을 효과적이고 지속적으로 추진해 나가고자 하는 생각이 있습니다. 업계 전체 차원의 활동으로 확대하기 위해 현재 13개사가 참여하고 있으며, 다른 카드사들도 더 많이 참여하도록 유도하고 있습니다. 또한 참여하지 못하는 회사들의 경우, 어떤 점이 걸림돌이 되고 있는지 과제를 파악하고 있습니다.
신용카드사나 신용카드 업계만 노력해서는 소용이 없는 부분도 있습니다. 대상 사업자의 자체 방어 촉진에도 힘쓸 것입니다. 피싱 사이트에 이름이 도용된 회사들에게는, 저희가 현재 피싱 사이트를 차단하고 있는 실적을 바탕으로 ‘이런 식으로 표적이 되고 있습니다’라고 알릴 것입니다.
풍평 피해나 고객 보호라는 관점에서도 적극적으로 대책을 마련해 주실 것을 요청하고 있습니다. 현재 표적이 된 기업이 스스로 방어 조치를 취함으로써, 저희의 피싱 사이트 차단에 투입되는 자원도 다른 곳에 더 많이 할당할 수 있을 것입니다. 이러한 움직임이 가능하도록 대상 업종 및 업체에도 적극적으로 접근해 나갈 계획입니다.
마지막으로, 부정 행위자에 대한 지속적인 견제라는 점이 있습니다. 이번과 같은 세미나에서 말씀드리는 것을 포함하여, 신용카드 업계 전체가 피싱 사이트 폐쇄 노력을 기울이고 있음을 부정 행위자에게 인식시킴으로써, ‘일본에서 피싱을 하는 것은 어렵다’고 생각하게 만들 수 있습니다.피싱 방지 분위기를 고조시키기 위해, 저희는 대외적인 보도자료 발표 등을 포함한 홍보 활동을 전개해 나가고자 합니다.
이러한 움직임이 가능한 것은, 찬동해 주신 신용카드사 여러분의 협력이 있었기 때문이라고 생각합니다. 부디 신용카드 업계 전체가 힘을 합쳐 이러한 분위기를 고조시켜, 피싱에 의한 부정 이용 피해를 모두 함께 억제해 나가고 싶습니다.
이제부터는 구체적인 내용에 대해 ACSiON의 야스다 대표께서 설명해 주실 것입니다.
발견된 피싱 사이트는
소비자들에게도 SNS를 통해 주의 환기
야스다 타카노리 씨: 저희 ACSiON(액시온)은 이번 업계의 노력에 있어 피싱 사이트 폐쇄에 대한 기술 지원을 제공하고 있는 회사입니다.
저는 원래 세븐은행에서 상품 개발 등을 담당한 후, 7BK-CSIRT를 설립하는 등 보안 분야에 종사해 왔으며, 현재는 ACSiON의 대표이사를 맡고 있습니다. ACSiON은 세븐은행의 그룹사로서 설립된 일본 국내 사이버 보안 기업으로, 사업 추진과 더불어 민관 협력에도 힘을 쏟고 있습니다.경시청을 비롯해 지방 현 경찰청과의 협력 활동도 진행하고 있습니다. ‘세상을 공정하게.’라는 비전을 내걸고, 은행의 금융 범죄 대책을 통해 쌓은 노하우를 활용해 피싱 사이트를 찾아내어 폐쇄하는 활동을 펼치고 있습니다. 이러한 활동 등을 통해 지난 8월 경시청으로부터 감사장을 받았습니다.
또한, 이번 일본 신용카드 협회의 시책에서도 그러하듯이, 저희가 발견한 피싱 사이트에 대해서는 X를 통해 주의를 환기시키고, 많은 일반 소비자에게 전달될 수 있도록 계몽 활동에도 힘을 쏟고 있습니다.
피싱 사이트를 조기에 발견하고
소비자에게 전달되기 전에 폐쇄하는 기술
피싱을 둘러싼 환경으로 볼 때, 2019년경부터 피해가 상당히 늘어났으며, 최근에는 건수가 더욱 증가하고 피싱 사이트의 양과 질 모두 높아지고 있는 실정입니다.
현재 피싱 사이트 중 가장 많이 사용되는 수법 중 하나가 바로 이 실시간형 피싱입니다.피싱 사이트가 개설되고, 사용자가 그곳에 다양한 정보를 입력하면, 그 뒤에서 범죄자가 기다리고 있다가 조작을 하고, 일회용 비밀번호도 빼내어 입력한 뒤 그대로 처리하는 흐름입니다. 예전에는 정보를 빼낸 후 시간이 지나서 범죄가 실행되는 경우가 많았지만, 지금은 실시간으로 범죄가 이루어지는 상황입니다.
피싱 사이트 사기의 흐름은 다음과 같습니다. 사이트가 제작되어 공개되고, 이메일이나 SMS가 발송되며, 이용자가 해당 사이트에 접속해 다양한 정보를 탈취당하는 것이 하나의 흐름입니다.저희가 지원하고 있는 것은, 이번 활동에서 피싱 사이트를 조기에 발견하고 신속히 접속을 차단하는 데 주력한 기술을 보유하고 있으며, 이 기술을 통해 협회의 활동을 지원하고 있습니다.
피싱이 이루어지는 타임라인의 예시입니다. 피싱 사이트가 공개되고 이메일이 대량으로 발송되면, 이용자가 접속하여 피해가 정점에 달한 뒤, 그 후에 사업자가 피싱 발생 상황을 파악하고 사이트를 폐쇄하기 때문에, 대응이 뒤처지기 쉬운 상황입니다.
저희가 기술적으로 지원하고 있는 부분은 피싱 사이트를 가능한 한 빨리 발견하여, 이메일이 소비자에게 전달되기 전에 신속히 피싱 사이트에 접속할 수 없도록 차단하는 것입니다. 바로 이 부분에 주력하고 있는 기술입니다. 저희 서비스는 원래 인터넷 은행에서 오랫동안 피싱과 싸워온 멤버들이 만들어낸 것입니다.피싱 발생 시 취해야 할 조치를 갖추고 있는 서비스로서, 피싱 사이트를 조기에 발견하고 신속하게 접속을 차단할 수 있도록 기술적 지원을 제공하고 있습니다.
피싱 사이트를 어떻게 찾아내는지 한 가지 예를 들어보겠습니다. 피싱 사이트가 개설될 가능성이 높은 네트워크나, 과거에 피싱 사이트가 개설되었던 장소를 집중적으로 감시하여 조기에 피싱 사이트를 찾아내는 방식입니다.
가짜 사이트 공개부터 이메일이 도착하기까지 수 시간
이 기간 동안 무엇을 할 수 있는지가 승패를 가르는 관건입니다
얼마나 빨리 발견할 수 있는지에 대한 한 가지 예시입니다. 저희가 피싱 사이트를 발견한 시각은 5시 5분이었고, 이메일이 도착한 시각은 7시 17분이었습니다. 따라서 약 2시간 정도 더 빨리 발견할 수 있다고 생각합니다.이 시간 동안 어떤 대응을 하느냐가 핵심입니다. 저희가 관측한 바에 따르면, 피싱 사이트가 공개된 후 소비자에게 이메일이 도착하기까지의 시간은 대략 4시간 미만인 것으로 보입니다. 따라서 이 시간 동안 피싱 사이트에 대한 접속을 차단할 수 있다면 피해를 줄일 수 있을 것으로 판단합니다.
일반적으로 피싱이 발생하면, 사업자 측에서 고객에게 주의를 환기하거나 사이트를 폐쇄하는 조치를 취하게 됩니다. 저희가 지원할 때는 피싱 사이트 탐지와 사이트 폐쇄 요청에 주력하여 대응하고 있습니다. 특히 힘을 쏟고 있는 부분이 바로 ‘안전 브라우징’입니다.피싱 사이트 URL이 대량으로 생성되는 상황에서, 이용자를 보호하는 데 가장 효과적인 핵심 수단은 브라우저가 제공하는 빨간색 경고 화면을 표시하는 기능입니다. 이는 고객이 정보를 입력하는 것을 막을 수 있는 유일한 수단이기 때문에, 얼마나 빨리 표시할 수 있는지에 주력하고 있습니다.
저희는 Google Cloud Japan과 제휴를 맺고 있어, 저희가 신고한 사항에 대해서는 가장 빠르게 이 빨간색 경고 화면이 표시되도록 설계되어 있습니다. 이러한 내용을 바탕으로 협회의 활동을 지원하고 있습니다.
피싱 사이트의 진화에 대응하여
안전을 지키는 환경 조성을 위해 기술을 갈고닦습니다
피싱 사이트 측의 기술도 상당히 고도화되고 있습니다. 피싱 사이트를 찾아내는 리서처가 있는데, 보안 업체가 피싱 사이트를 발견하지 못하도록 교묘하게 조작하여, 클로킹(cloaking)이라는 기술을 사용해 한 번만 접속할 수 있도록 하고 있습니다.
피싱이 발생했을 때, 기업 담당자가 해당 피싱 사이트를 확인하러 가는 경우가 많은데, 피싱 범죄자 측에서는 이미 IP 주소를 파악하고 있기 때문에, 해당 기업의 컴퓨터에서 접속했을 때는 전혀 관련 없는 사이트를 보여주는 방식도 있습니다. 피싱 사이트 측도 강력한 기술적 진전을 보이고 있는 셈입니다.
정리해 보겠습니다. 피싱은 시대와 함께 진화하고 있으며, 점차 실시간형으로 발전하고 있습니다. 데이터를 수집할 때 배후에서 대기하다가, 그 데이터를 이용해 결제를 진행해 금전을 가로채는 흐름으로 이어지고 있습니다. 승부는 피싱이 발생한 후 처음 몇 시간 내에 결정되므로, 그 시간 내에 차단 및 폐쇄까지 이끄는 것이 중요합니다.
클로킹 기술에 걸리지 않는 기술을 갖추면서 피싱 사이트의 폐쇄를 추진하고 있습니다. 민관 협력을 통해 해당 피싱 사이트의 URL을 바이러스 백신 소프트웨어에 등록해 주시는 활동도 병행하고 있습니다.
소개해 드린 기술을 활용하여 신용카드사와 공동으로 피싱 대응 활동을 진행하고 있습니다. 피싱 사이트의 진화에 발맞춰 저희도 지속적으로 발전하며 대응해 나가고, 소비자의 안전을 지킬 수 있는 환경 조성에 기여할 수 있기를 바랍니다.
제 발표는 여기까지입니다. 감사합니다.
