톨 프로드 대응 2026: AI 전화를 통신 요금 사기에서 지키는 법
톨 프로드(toll fraud, 통신 요금 사기)는 범죄자가 네 회선, 사내 전화 교환기, AI 전화 비서가 비싼 통화를 걸도록 만드는 요금 사기예요. 통화는 부가 서비스 번호나 해외 번호로 연결되고, 범죄자는 그 요금에서 몫을 챙겨요. 청구서는 너에게 오고요. 막는 핵심은 세 가지예요. 착신 국가와 특수 번호를 차단하고, 전화를 걸기 전에 모든 번호(전환 번호 포함)를 확인하고, 후불 청구 대신 선불 잔액처럼 비용을 기술적으로 묶어 두는 거예요.
이 글은 비용·요금 사기에만 집중해요. 대화 조작, 음성 복제, 프롬프트 인젝션은 다른 주제이고 대응책도 달라요. anicall.io의 데이터 보호는 보안 및 개인정보 페이지에서 볼 수 있어요.
톨 프로드란 무엇일까?
톨 프로드는 남의 계정을 무단으로 이용해 유료 통화나 문자를 발생시키고, 그 요금의 일부를 가져가는 모든 사기를 말해요. 돈을 내는 건 계정 소유자이고, 사기꾼은 비싼 착신 번호의 수익 분배로 돈을 벌어요.
오래된 문제지만 줄어들지 않았어요. 업계 단체 CFCA(Communications Fraud Control Association)는 「Global Fraud Loss Survey 2023」에서 전 세계 통신 사기 손실을 약 389억 5천만 달러로 추산했어요(TNS 요약). Twilio는 개발자 문서에서 국제 수익 공유 사기(IRSF)만으로 매년 약 100억 달러의 손실이 난다고 봐요.
독일에서도 번호 악용은 일상이에요. 독일 연방네트워크청(Bundesnetzagentur)의 2026년 2월 9일 보도자료에 따르면 2025년 민원은 85,158건, 차단된 번호는 약 6,200개였고, 2,000개가 넘는 번호에 청구·추심 금지 명령이 내려졌어요. 공유기 해킹, 비싼 대기 연결, 가짜 고객센터 등이 포함돼요.
통신 요금 사기에는 어떤 수법이 있을까?
대표적인 수법은 세 가지예요. 수익 분배가 되는 비싼 국제 번호로 전화를 걸게 하는 IRSF, 비싼 번호로 다시 전화하게 유도하는 원링(Wangiri), 사기꾼이 몫을 받는 번호로 문자를 대량 발송하게 하는 SMS 펌핑이에요. 셋 다 원리는 같아요. 1분, 문자 한 통마다 사기꾼이 돈을 벌어요.
IRSF – 국제 수익 공유 사기
사기꾼은 착신 요금(terminating rate)이 높은 국가의 번호 대역이나 국제 프리미엄 번호 업체의 번호를 빌려요. 그리고 해킹한 전화 교환기, 탈취한 클라우드 계정, 요청만 하면 전화를 거는 자동화 시스템으로 최대한 길고 많은 통화를 만들어요. 요금은 통신사와 번호 소유자가 나눠 가져요. Twilio는 계정에서 발생한 모든 사용에 대해 고객이 책임진다고 분명히 밝히고 있어요.
원링(Wangiri) – 한 번 울리고 끊는 전화
해외에서 쓰는 「Wangiri」는 일본어 「ワン切り」에서 온 말로, 「한 번 울리고 끊기」라는 뜻이에요. 전화가 잠깐 울리고 모르는 번호가 화면에 남아요. 다시 걸면 비싼 번호로 연결되고, 녹음 안내로 통화가 길게 끌려가요. Bundesnetzagentur는 핑 콜 안내 페이지에서 독일 지역번호와 비슷한 국가번호를 조심하라고 경고해요. 예를 들어 마다가스카르(00261)와 코블렌츠(0261)예요.
SMS 펌핑(인위적으로 부풀린 트래픽)
여기서는 봇이 문자로 인증 코드를 보내는 웹 양식(가입, 로그인, 데모 신청)을 공격해요. 비싼 번호 대역의 번호를 수천 개 입력하고, 문자 한 통마다 네가 돈을 내고 사기꾼은 몫을 챙겨요. Twilio의 SMS 펌핑 가이드는 이를 비용을 부풀리려고 만든 가짜 트래픽이라고 설명해요.
왜 AI 전화가 톨 프로드의 새로운 통로가 될까?
AI 전화가 톨 프로드에 취약한 건 음성 에이전트가 버튼 하나로, 24시간, 사람의 확인 없이 전화를 걸 수 있기 때문이에요. 양식, API, CRM 목록이 주는 번호라면 어디든 걸어요. 사람이라면 동아프리카 번호로 40번 연속 전화하라고 하면 이상하다고 느끼겠지만, 보호 장치 없는 시스템은 그렇지 않아요.
AI 전화의 대표적인 공격 지점:
- 콜백 양식과 데모 전화: 「번호를 남기면 AI가 전화해요」는 강력한 영업 문구지만, 봇에게는 비싼 번호를 넣으라는 초대장이에요.
- 문자·음성 인증 코드: 코드로 번호를 확인하면 남의 번호를 막을 수 있지만, 그 자체로 비용이 들어요. 한도가 없으면 코드 발송이 펌핑의 표적이 돼요.
- API와 자동화: CRM, Zapier 흐름, MCP 도구에서 온 발신 작업은 아무도 번호를 보지 않은 채 실행돼요. API 키 하나만 도난당해도 수백 통을 걸 수 있어요.
- 통화 전환: 많은 음성 에이전트가 요청하면 사람에게 연결해요. 전환 번호가 프리미엄 번호로 바뀌면 모든 발신자가 네 비용으로 거기에 연결돼요.
- 긴 통화: 사기꾼은 녹음 안내로 회선을 계속 열어 둬요. 시간 제한이 없는 친절한 AI 에이전트는 1분, 또 1분 참을성 있게 들어요.
결론적으로 AI 전화에는 기존 전화 교환기와 같은 보호가 필요해요. 중간에 사람이 없으니 더 철저하게 적용해야 하고요.
흔한 비용 함정: 프리미엄 번호, 해외 착신, 통화 전환
anicall.io의 주요 시장인 독일에서는 다음 번호 대역이 톨 프로드와 특히 관련이 깊어요. 정당한 용도도 있지만, 기업용 음성 에이전트가 걸 일은 거의 없어요:
| 번호 대역(독일) | 용도 | 톨 프로드 위험 |
|---|---|---|
| 0900 | 프리미엄(부가 가치) 서비스 | 분당 요금이 높고 제공자에게 바로 지급 |
| 0137 / 0138 | 대량 통화 서비스(예: 문자·전화 투표) | 통화당 과금, 대량으로 발생시키기 쉬움 |
| 0180 / 0181 | 서비스 번호, 국제 가상 네트워크 | 일반 유선 통화보다 비쌈 |
| 019x | 온라인·특수 서비스 | B2B에서 정당한 경우가 드묾 |
| 0700 | 개인 번호 | 비싼 곳을 포함해 어디로든 전환 가능 |
| 118xx | 전화번호 안내 서비스 | 요금이 높고 연결 서비스가 붙는 경우가 많음 |
| 해외 | 특히 착신 요금이 높은 목적지 | IRSF의 주요 표적 |
Bundesnetzagentur는 공유기 해킹 안내 페이지에서 이 패턴을 설명해요. 범죄자가 공유기나 전화 교환기에 침입해 해외 번호와 (0)180, (0)900 번호로 전화를 거는 거예요. 통신사가 이상한 연결을 알려 주거나 청구서가 올 때까지 아무도 모르는 경우가 많아요.
자주 놓치는 함정 세 가지:
- 허용한 국가 안의 휴대폰·프리미엄 대역: 국가를 허용했더라도 그 나라의 일부 번호 대역은 프리미엄 요금일 수 있어요.
- 전환 번호와 콜백 번호: 에이전트가 거는 번호만 확인하고, 전환하는 번호는 확인하지 않는 경우가 많아요.
- 헷갈리는 국가번호: 국내 지역번호처럼 보이는 해외 국가번호는 눈으로 확인할 때 쉽게 놓쳐요.
톨 프로드는 어떻게 막을까? 체크리스트
톨 프로드를 막는 가장 효과적인 방법은 필요한 착신 국가만 허용하고, 특수 번호는 기본으로 차단하고, 걸기 전에 모든 번호를 확인하고, 한도와 선불 잔액으로 비용을 확실히 묶어 두는 거예요. 한 가지 조치만으로는 부족해요. 조합해야 통신 요금 사기가 남는 장사가 아니게 돼요.
AI 전화나 콜백 양식을 쓰는 기업을 위한 체크리스트:
- 국가 화이트리스트: 실제로 거는 국가만 허용해요. Twilio는 Geo Permissions 문서에서 필요한 국가와 위험이 낮은 번호 대역만 켜라고 분명히 권해요.
- 특수 번호 차단: 0900, 0137/0138, 0180/0181, 019x, 0700, 118xx와 해외 프리미엄·비용 분담형 번호 대역을 차단해요. Bundesnetzagentur에 따르면 독일 통신사는 요청하면 (0)900 대역을 네트워크 단에서 무료로 차단해 줘요.
- 전환 번호 확인: 전환 번호도 발신 번호와 똑같이 확인해요.
- 속도 제한: 착신 번호별, IP별, 계정별, 하루 단위 한도를 통화와 문자 코드 모두에 걸어요.
- 양식 봇 방어: Cloudflare Turnstile 같은 CAPTCHA, 허니팟 필드, 의심스러운 패턴 탐지를 써요.
- 코드 이중 확인(double opt-in): 본인이 문자나 음성 코드로 자기 번호임을 확인한 뒤에만 다시 걸어요.
- 시간대와 통화 시간: 정해진 시간에만, 최대 통화 시간을 두고 걸어요.
- 후불 대신 선불: 잔액이 최대 피해를 제한해요. 다 쓰면 새 통화는 시작되지 않아요.
- 의심 시 계정 정지: 피해가 커지기 전에 의심스러운 계정을 자동 또는 수동으로 멈춰요.
- 모니터링: 이상한 착신지, 급증, 야간 활동을 눈에 보이게 하고 청구서와 통화 내역을 정기적으로 확인해요.
- 접근 보안 강화: 강력하고 고유한 비밀번호, 권한을 좁힌 API 키, 공유기와 전화 교환기 업데이트.
위험 → 조치: 톨 프로드 한눈에 보기
| 위험 | 대표 시나리오 | 효과적인 조치 |
|---|---|---|
| 해외 착신 IRSF | 해킹된 계정이 비싼 해외 번호로 발신 | 국가 화이트리스트, 프리미엄 대역 차단 |
| 부가 서비스 번호 | 에이전트에게 0900이나 118xx로 걸라고 지시 | 모든 국가에서 특수 번호 차단 |
| 조작된 전환 | 전환 대상이 프리미엄 번호로 바뀜 | 전환 번호도 발신 번호처럼 확인 |
| 콜백 양식 악용 | 봇이 남의 번호나 비싼 번호를 입력 | CAPTCHA, 코드 이중 확인, 국가 제한 |
| SMS 펌핑 | 인증 코드 대량 발송 | 번호·IP·하루 단위 속도 제한 |
| 원링 | 미끼 번호로 콜백 | 모르는 해외 번호에는 절대 자동 콜백하지 않기 |
| API 키 도난 | 통제 없는 자동 발신 작업 | 권한 범위(scopes), 발신 목록 사람 승인 |
| 한도 없는 비용 | 몇 주 뒤 청구서로 피해를 알게 됨 | 선불 잔액, 모니터링, 계정 정지 |
통신 요금 사기를 당했다면 어떻게 해야 할까?
톨 프로드를 당했다면 바로 해당 접근을 막고, 비밀번호와 키를 바꾸고, 청구서에 이의를 제기하고, 관계 기관과 경찰에 신고하세요. 빨리 움직일수록 피해가 작아져요.
독일에서 공유기·전화 교환기 해킹이 생겼을 때 Bundesnetzagentur는 구체적으로 이렇게 권해요:
- 청구서 이의 제기: 지체 없이 통신사에 이의를 제기하고 통화 상세 내역을 요청해요.
- 자동이체 확인: 자동이체로 냈다면 되돌리고, 다툼이 없는 금액만 낼 수 있어요.
- 민원 제기: 청구서와 통화 내역을 첨부해 Bundesnetzagentur에 신고해요. 이 기관은 번호를 차단하고 청구·추심을 금지할 수 있어요.
- 경찰 신고: 통신 요금 사기 뒤에는 보통 범죄가 있어요.
클라우드 전화와 AI 플랫폼이라면 제공 업체에도 바로 알려서 계정, 번호, API 키를 막게 해요. 그다음 국가, 전환, 한도 설정이 맞는지 확인해요.
anicall.io는 이렇게 해요
anicall.io는 DACH 지역(독일, 오스트리아, 스위스) 기업을 위한 AI 전화 비서로, 독일 보름스의 mysoftwarelab GmbH가 운영해요. 음성 에이전트가 직접 전화를 걸기 때문에 요금 사기 방어가 기본으로 들어가 있고 끌 수 없어요:
- 특수 번호 발신 차단: 부가 가치, 특수, 서비스, 긴급 번호(예: 0900, 0137/0138, 0180/0181, 019x, 0700, 118xx)는 어느 나라에서도 절대 걸지 않아요. 또 프리미엄이나 비용 분담형(shared cost)으로 분류된 모든 번호를 차단해요.
- 계정별 착신 국가: 기본은 독일, 오스트리아, 스위스예요. 다른 국가는 정해진 목록(EU 핵심국, 영국, 미국, 캐나다)에서만 추가할 수 있어요.
- 전환 번호도 확인: 사람에게 실시간으로 연결하는 번호도 모든 발신 번호와 똑같이 확인해요.
- 데모 콜백은 코드 확인 후에만: 홈페이지의 데모 전화는 번호가 문자나 음성 코드로 확인된 뒤에만 걸려요. 통화는 정해진 시간에만, 상한을 두고 진행돼요.
- 사람의 승인: API, CRM, MCP에서 만든 발신 목록은 사람이 승인해야 시작돼요. 계정 전체에 적용되는 「발신 금지 목록」도 있어요.
- 의심 시 계정 정지: 악용이 의심되면 계정을 정지할 수 있어요.
- 후불 청구 대신 선불 토큰: 기본료도, 구독도 없어요. 1토큰은 1유로센트(세전)이고, 수신 통화는 분당 13토큰, 유선 발신은 16토큰, 휴대폰·해외 발신은 62토큰이에요. 잔액을 다 쓰면 새 통화는 시작되지 않고, 진행 중인 통화는 남은 잔액만큼으로 제한돼요.
요금 페이지의 계산 예시: 한 달 수신 300분과 번호 1개면 300 × 13 + 180 = 4,080토큰, 즉 세전 40.80유로예요. 최악의 경우 얼마가 나올지 미리 알 수 있어요. 발신 에이전트가 합법적으로 전화하는 방식은 AI 세터 페이지에서, 수신 응대는 AI 전화 비서 페이지에서 볼 수 있어요.
자주 묻는 질문
톨 프로드와 IRSF는 뭐가 달라요?
톨 프로드는 전화 요금 사기 전체를 가리키는 말이에요. IRSF(국제 수익 공유 사기)는 그중 가장 흔한 형태로, 사기꾼이 비싼 국제 번호로 통화를 발생시키고 요금의 일부를 받아요.
톨 프로드 요금은 누가 내요?
보통 통화가 발생한 회선이나 계정의 소유자예요. Twilio 같은 전화 서비스 업체는 모든 사용에 대해 고객이 책임진다고 명시해요. 그래서 일이 생기기 전에 차단과 한도를 설정해 두는 게 좋아요.
0900 번호만 막으면 충분해요?
아니요. 0900은 비싼 번호 대역 중 하나일 뿐이고, IRSF 대부분은 해외로 가요. 국가 화이트리스트, 전환 번호 확인, 한도도 필요해요.
콜백 양식 악용은 어떻게 막아요?
봇 방어(예: CAPTCHA), 문자나 음성 코드로 번호 확인, 국가 제한, 번호·IP·하루 단위 속도 제한을 함께 쓰세요. 번호가 확인된 뒤에만 다시 걸고, 시간대와 통화 시간도 제한하세요.
선불이 정말 통신 요금 사기 대책이 돼요?
선불이 공격 자체를 막지는 못하지만, 최대 피해를 남은 잔액으로 제한해요. 후불이면 톨 프로드가 몇 주 뒤에야 드러나는 경우가 많지만, 선불이면 늦어도 잔액이 0이 되는 순간 멈춰요.
보호 기능을 직접 확인해 봐요: anicall.io 라이브 데모에서 브라우저로 AI 안내 데스크에 바로 전화하거나 데모 전화를 신청해 봐요. 데모 전화는 코드로 번호를 확인한 뒤에만 걸려 와요. 그다음 anicall.io에서 무료로 시작할 수 있어요. 브라우저 에이전트 테스트는 무료이고, 토큰은 실제 통화에만 필요해요. 전화 에이전트는 현재 독일어로 말해요.