2026-10-01
FTC가 집계한 임대 사기 약 65,000건은 SSN과 급여명세서를 요구했습니다. 진짜 집주인도 똑같이 요구합니다.
집을 구하며 임대 신청서를 낼 때는 거의 어디서나 같은 서류 뭉치를 보냅니다 — 사회보장번호를 적은 신청서, 정부 발급 신분증 사본, 그리고 소득 증빙(보통 최근 급여명세서 몇 장이나 은행 거래내역 스크린샷). FTC가 2025년 12월 22일 발표한 데이터 스포트라이트는 불편한 사실 하나를 중심으로 구성됩니다 — 그 서류 뭉치가 바로 가짜 집주인이 요구하는 것과 똑같다는 것입니다. 보내기 전에 암호화하면 실제로 무엇이 달라지고, 전혀 도움이 안 되는 정직한 예외 상황은 무엇인지 설명합니다.
신고 건수 거의 65,000건 — 그리고 서류 그 자체가 목적입니다
FTC는 2020년 1월부터 2025년 6월까지 "거의 65,000건의 임대 사기"가 신고됐고, "약 6,500만 달러의 손실"이 발생했으며, 신고된 손실액의 중앙값은 1,000달러였다고 집계했습니다. 2025년 6월까지의 1년간 사기를 신고한 사람 중 절반가량은 페이스북의 가짜 광고에서 시작됐다고 답했고, 16%는 Craigslist였습니다. 18~29세 임차인은 다른 연령대보다 사기로 돈을 잃었다고 신고할 확률이 세 배 높았고, 이 연령대의 신고 손실액이 전체의 46%를 차지했습니다. 기관은 보증금 명목으로 송금한 돈과는 별도로 그 과정에서 무엇이 수집되는지도 구체적으로 밝힙니다 — 사기범은 "사회보장번호, 운전면허증 사진, 급여명세서, 그리고 그 밖의 개인정보 같은 개인정보를 소비자로부터 수집합니다." 이는 사기의 부수적 결과가 아닙니다 — 애초에 존재하지도 않았던 임대 보증금 위에, 도용된 신원이라는 두 번째 피해가 더해지는 것입니다.
문제: 진짜 집주인도 똑같은 서류 뭉치를 요구합니다
아파트를 빌리기 전에 사회보장번호·운전면허증 사진·급여명세서를 요구하는 것 자체는 전혀 이상한 일이 아닙니다 — 이런 방식의 신청자 심사는 흔하고, 대부분의 주에서 합법입니다. 바로 그 점이 FTC의 조사 결과를 단순한 정보 전달이 아니라 불편하게 만드는 이유입니다 — 요구 그 자체에는 아무런 신호가 없습니다. 진짜 부동산 관리업체의 신청서 양식과, 사기범이 복사-붙여넣기한 Craigslist 매물 광고는 똑같은 네 가지를 거의 비슷한 말투로 요구합니다. 그 요구 문구만 읽어서는 어느 쪽인지 구분할 수 없습니다.
이 거래의 합법적인 절반이 은행과 다른 이유
사기 경로는 잠시 접어두고, 매물이 진짜라고 가정해 봅시다. HUD와 Census Bureau의 2021년 임대주택 금융 조사(Rental Housing Finance Survey)에 따르면 "임대 부동산의 약 70%, 전체 임대 가구 수로는 38%가 개인 투자자 소유"입니다 — 4가구 이하 소규모 부동산만 놓고 봐도 그 비율은 역시 약 70%, 150만 9천 건에 해당합니다. 이것이 중요한 이유는 딱 하나입니다 — 모기지 대출기관이나 병원 포털은 보안팀, 보관 일정, 법에 명시된 유출 통지 의무를 갖고 있습니다. 유닛 한두 개를 임대하는 개인 집주인은 대개 그런 것이 전혀 없습니다. 당신의 SSN, 신분증 사진, 급여명세서는 십중팔구 평범한 개인 메일함에 도착해 기한 없이 그대로 남거나, 배우자나 부동산 관리를 도와주는 지인에게 전달되거나, 이사 간 지 몇 년이 지나도록 낡은 노트북 안에 그대로 있을 수 있습니다 — 관련된 누군가가 원래 부주의해서가 아니라, 그것을 저녁 식사 예약과 다르게 취급해야 할 의무가 애초에 아무에게도 없기 때문입니다.
서류 뭉치를 암호화하면 실제로 무엇이 해결되는가
NearSeal은 전적으로 브라우저 안에서 동작합니다 — 보내려는 급여명세서, 신분증 사진, 은행 거래내역 스크린샷은 암호화를 위해 어디로도 업로드되지 않습니다. 어디로 가기 전에 AES-256-GCM과 패스프레이즈로 유도한 키(PBKDF2-SHA256, 220회 반복)로 내 기기 위에서 직접 봉인됩니다. 위의 합법적 집주인 경로에서, 이는 내가 실제로 통제할 수 있는 두 곳 — 내 다운로드 폴더나 보낸편지함에 남아 있는 파일, 그리고 특별한 보안 보장이 없는 메일함으로 전송 중인 첨부파일 — 에서 평문 사본을 없애 줍니다. 도착한 뒤 패스프레이즈가 효과를 내려면 파일과는 다른 경로로 전달돼야 합니다 — 이미 만났거나 신원을 확인한 집주인에게 보내는 문자나 전화로, 같은 이메일 스레드의 답장이 아니라.
이 요령이 통하지 않는 정직한 예외 하나
NearSeal이 지금까지 다룬 다른 모든 서류 — 변호사, 회계사, 신규 클라이언트에게 보내는 파일 — 는 전제 하나를 공유합니다 — 수신자는 자신이 말하는 바로 그 사람이고, 위험은 다른 누군가가 전송 중에 파일을 가로채거나 나중에 서버에 남은 것을 찾아내는 것입니다. 두 번째 경로로 패스프레이즈를 보내는 요령은 정확히 그런 종류의 도청자를 막아냅니다. 임대 사기는 바로 그 전제 자체를 깨뜨립니다 — 전화 통화 저편에 있는 사람이 바로 그 사기범입니다. 그들은 애초에 당신의 SSN과 신분증을 수집하려고 가짜 매물을 꾸몄으므로, 그들에게 암호화된 파일을 건네고 패스프레이즈를 전화로 알려주는 것은 아무것도 이루지 못합니다 — 그저 같은 평문을 한 단계 늦게 넘겨준 것일 뿐입니다. 암호화는 보내는 대상이 누구인지에 대해 아무것도 인증해 주지 않습니다 — 패스프레이즈를 가진 사람을 제외한 모두로부터 파일을 지켜줄 뿐이고, 사기 상황에서는 그 사람이 이미 공격자입니다. 여기서 실제로 통하는 방어는 암호 기술이 아니라 FTC 자체의 조언입니다 — "집을 빌리기로 합의하기 전까지, 집주인은 당신의 사회보장번호, 신용점수, 기타 민감한 정보가 필요하지 않습니다" — 여기에 더해, 올라온 매물 주소가 다른 가격이나 다른 연락처로 다른 곳에도 올라와 있는지 확인하는 것 — 기관이 명확한 경고 신호로 지목하는 패턴입니다. 매물과 사람부터 검증하십시오. 그렇게 하고 난 뒤, 남아 있는 합법적인 절반의 여정에 대해서만 암호화하십시오.
어느 경로든 정직하게 짚어야 할 한계 두 가지
NearSeal의 기본 컨테이너는 원래 파일명을 평문 헤더 필드에 그대로 남깁니다 — 인증 데이터에 묶여 있어 몰래 바꿔치기할 수는 없지만, 패스프레이즈 없이도 읽을 수는 있습니다. "jane_smith_ssn_ paystub.pdf"라는 이름 그대로 암호화하면, 가로챈 사람에게 아무것도 깨뜨리기 전부터 안에 무엇이 들어있는지 정확히 알려주는 셈입니다 — 암호화하기 전에 평범한 이름으로 바꾸거나, 파일명 필드 자체가 없는 옵트인 age-encryption.org 포맷을 쓰십시오. 그리고 어떤 형태로도 패스프레이즈 복구는 없습니다 — 집주인이 파일을 열어볼 기회를 갖기 전에 패스프레이즈를 잊어버리면, 암호화된 사본은 본인을 포함해 영구히 읽을 수 없습니다.
NearSeal이 맞는 자리
FTC의 수치는 합법적인 임대 신청에 필요한 것과 똑같은 소득·신분증 서류를 수집하는 사기를 설명하며, 그 특정 거래의 상대가 누구인지는 어떤 암호화로도 바뀌지 않습니다 — 오직 매물과 집주인을 검증하는 것만이 그것을 바꿉니다. 그 검증을 마친 뒤 남는 것은 실제적이고 평범한 빈틈입니다 — 거의 70%의 경우, 당신의 SSN과 급여명세서가 향하는 메일함은 뒤에 보안팀이 전혀 없는 개인 한 명의 것입니다. NearSeal이 메우는 것이 바로 그 빈틈입니다 — 사기 자체가 아니고, 합법적인 집주인이 이미 파일을 연 뒤에 벌어지는 일도 아니지만, 그렇지 않았다면 내 기기 위에, 그리고 그곳에 닿기까지의 전송 구간 내내 평문으로 남아 있었을 사본입니다.