스미싱 문자 AI 판별 서비스 — 카카오뱅크·갤럭시·이통사 3단 방어선 (2026)

2026년 1월부터 6월까지, 카카오뱅크의 'AI 스미싱 문자 확인' 서비스에 붙여넣어진 의심 문자는 1만 24건이었습니다. 반년 동안 사람들이 직접 이상하다고 느껴서 복사해 온 것만 그 정도라는 뜻입니다.

이 숫자에는 조건이 붙어 있습니다. 그 문자는 이미 통신사를 통과했고, 단말기 필터를 통과했고, 내 화면에 도착한 뒤였습니다. AI가 판별해 준 건 그 다음 순서입니다.

AI 판별은 첫 번째 그물이 아니라 마지막 그물이다

"AI가 스미싱을 걸러준다"는 말을 들으면 보통 문자가 오기 전에 차단되는 장면을 떠올립니다. 카카오뱅크 서비스는 그런 물건이 아닙니다. 의심스러운 문자를 복사해서 붙여넣으면 결과를 알려주는 사후 확인 도구입니다. 이미 도착했고, 내가 의심했을 때만 작동합니다.

그렇다고 쓸모없다는 얘기가 아닙니다. 순서가 문제입니다. 실제 방어는 세 겹으로 이뤄집니다.

3단만 쓰는 사람은 앞의 두 겹이 걸러줬을 문자까지 전부 눈으로 판단하게 됩니다. 판단 횟수가 늘면 실수 확률도 같이 오릅니다. 반대로 1·2단을 켜두면 3단에 도달하는 문자 자체가 줄어들어, 정말 애매한 것에만 집중할 수 있습니다.

먼저 켤 것 — 단말기와 통신사, 둘 다 무료다

갤럭시 S25 시리즈부터는 방송통신위원회·한국인터넷진흥원(KISA)·삼성전자가 함께 개발한 AI 기반 악성 메시지 차단이 들어갔습니다. 스미싱이 의심되는 메시지가 수신되면 발신 번호와 악성 링크(URL)를 기준으로 스팸 문자로 자동 분류합니다. 별도 앱 설치가 필요 없다는 점이 핵심입니다.

아이폰에도 대응 기능이 있습니다. '알 수 없는 발신자 걸러내기'를 켜면 주소록에 없는 번호의 메시지가 별도 탭으로 분리됩니다. 차단은 아니지만, 급하게 확인하다 링크를 누르는 사고를 줄여줍니다.

통신사 쪽은 의외로 많이 놓칩니다. KT는 모바일 부가서비스 30개 중 14개를 무료로 제공하는데, 여기에 (안심)스팸차단과 (안심)번호도용문자 차단서비스가 들어 있습니다. LG유플러스도 금융·보안·안심·보험 카테고리 41개 중 16개가 무료입니다. SKT는 T전화 앱에서 스팸 경고와 번호·문구 차단을 지원합니다.

3단 — 카카오뱅크 AI 확인은 이렇게 쓴다

카카오뱅크 금융기술연구소가 자체 학습한 거대언어모델(LLM)과 BERT를 기반으로 만든 서비스입니다. 의심 문자를 붙여넣으면 네 가지로 분류합니다. 스미싱 위험이 높은 문자 / 안전한 문자 / 단순 스팸 문자 / 판단이 불가능한 문자.

눈여겨볼 건 네 번째입니다. 대부분의 판별 도구는 위험도를 점수로 뱉어내고 끝납니다. "모르겠다"는 선택지를 남겨둔 설계는 흔치 않습니다. AI가 애매하다고 답하면 그건 사람이 다른 경로로 확인하라는 신호이지, 안전하다는 뜻이 아닙니다.

• 문자 전체를 복사한다. 링크만 잘라내지 말고 발신 문구까지 통째로. 문맥이 판별 근거가 됩니다.
• 붙여넣기 전에 개인정보를 지운다. 내 이름·주문번호·계좌 뒷자리가 문자에 섞여 있으면 그 부분은 빼고 넣으세요.
• '판단 불가'가 나오면 118로 확인한다. 그 자리에서 결론 내리지 않는 게 안전합니다.

공공 경로도 함께 알아두면 좋습니다. KISA는 국번 없이 118로 스미싱 상담·신고를 받고(ARS 2번, 해킹·바이러스 긴급 상담은 24시간), 카카오톡 '보호나라' 채널의 스미싱·큐싱 메뉴로도 접수할 수 있습니다. 이미 금전 피해가 발생했다면 118이 아니라 112, 그리고 전기통신금융사기 통합신고대응센터(counterscam112.go.kr)가 창구입니다.

어느 유형부터 경계할까 — 통계 두 개가 다른 이유

카카오뱅크 AI데이터드리븐팀이 상반기 접수분을 키워드로 분류한 결과는 이렇습니다.

그런데 안랩이 발표한 2026년 1분기 분석에서는 금융기관 사칭이 53.62%, 대출 사기가 18.72%로 나옵니다. 33%와 53.62%. 같은 해, 같은 나라 이야기인데 배 가까이 차이가 납니다.

둘 다 틀리지 않았습니다. 세고 있는 대상이 다를 뿐입니다. 안랩 수치는 수집된 공격 샘플 기준이라 "얼마나 많이 뿌려졌나"를 보여줍니다. 카카오뱅크 수치는 사람이 헷갈려서 물어본 문자 기준이라 "얼마나 판단하기 어려웠나"에 가깝습니다.

실무적으로는 후자가 더 유용합니다. 택배 사칭은 워낙 많이 뿌려지지만 요즘은 대부분 한눈에 걸러집니다. 반면 인증·개인정보 확인 유형이 28%나 물어봐졌다는 건, 그만큼 진짜 알림과 구분이 안 된다는 뜻이지요. 가족에게 "이런 문자 조심해"라고 알려줄 때 택배보다 본인확인 요청 쪽을 먼저 말해야 하는 이유입니다.

오늘 5분 안에 할 것

통신사 앱을 열어 스팸차단 부가서비스가 켜져 있는지 확인하고, 폰 메시지 설정에서 스팸 필터를 켜세요. 그다음에야 AI 판별 서비스가 제 역할을 합니다.

확인은 스팸함 쪽에서 하는 편이 빠릅니다. 광고 문자가 하루에도 몇 통씩 오는데 스팸함은 계속 비어 있다면, 필터가 잘 걸러내고 있는 게 아니라 아직 켜지지 않았을 가능성이 큽니다.