사칭 사이트 피싱 주소 5가지로 구별하는 법

화면보다 먼저 봐야 할 것

피싱 사이트의 목적은 딱 두 가지다. 아이디와 비밀번호를 받아내거나, 결제를 하게 만드는 것이다. 그래서 들어가자마자 로그인이나 본인 인증, 결제 화면이 뜨는 흐름이 가장 위험하다.

진짜 사이트는 첫 화면에서 개인정보부터 요구하지 않는다. 메인 화면을 먼저 보여주고, 필요한 순간에 로그인을 요청한다. 이 순서가 뒤집혀 있으면 일단 멈춘다.

사칭 사이트가 잘 쓰는 화면

사칭 사이트는 로그인 화면 외에도 몇 가지 화면을 자주 쓴다. 계정이 곧 정지된다는 경고, 결제가 실패했으니 카드 정보를 다시 넣으라는 안내, 이벤트 당첨으로 본인 확인이 필요하다는 화면이다.

공통점은 지금 당장 무언가를 입력하게 만든다는 것이다. 진짜 서비스라면 이런 안내는 앱 알림이나 공식 이메일로도 함께 온다. 한 화면에서만 급하게 요구한다면 창을 닫고 공식 앱에서 직접 확인한다.

단축 주소는 목적지를 가린다

문자나 메신저로 오는 링크는 짧게 줄인 단축 주소인 경우가 많다. 단축 주소는 누르기 전까지 실제로 어느 도메인으로 가는지 보이지 않는다. 도메인 철자를 확인할 기회 자체가 사라지는 셈이다. 택배, 공공기관, 카드사 안내를 흉내 낸 문자에서 특히 자주 쓰인다.

그래서 단축 주소는 눌러서 확인하는 게 아니라 누르기 전에 판단한다. 보낸 쪽이 공식 발신 번호인지, 내가 요청한 적 있는 안내인지부터 본다. 둘 다 아니라면 누르지 않고 지운다. 요청한 적 없는 안내라면 내용이 그럴듯해도 링크는 건드리지 않는다.

휴대폰에서는 링크를 길게 누르면 열지 않고 주소만 볼 수 있는 경우가 있다. 다만 단축 주소라면 짧은 주소만 보일 뿐 최종 목적지는 알 수 없다. 확인이 안 되는 링크는 열지 않는 것이 기본값이다. 목적지를 모르는 문을 열 이유는 없다.

공공기관이나 금융회사가 보낸 안내라면 링크를 누르지 않아도 확인할 방법이 있다. 휴대폰에 이미 깔린 공식 앱을 직접 열거나, 카드 뒷면이나 공식 홈페이지에 적힌 대표 번호로 전화하면 된다. 문자 속 번호로 거는 것은 확인이 아니다.

구별 기준 다섯 가지

도메인 철자

공식 도메인과 한 글자라도 다르면 다른 사이트다. 숫자 0과 알파벳 o, l과 i가 자주 바뀐다.

입력 요구

처음부터 비밀번호, 카드번호, 인증번호를 요구하면 닫는다.

받은 경로

문자, 메신저, 댓글로 받은 링크는 직접 검색한 결과보다 위험하다.

아는 사람이 보낸 링크도 한 번 더

피싱 링크가 모르는 번호로만 오는 것은 아니다. 메신저 계정을 빼앗긴 지인의 이름으로 링크가 오기도 한다. 평소 말투를 흉내 내 이것 좀 봐 달라는 짧은 메시지와 함께 온다. 급하게 돈을 빌려 달라는 말보다 링크 하나만 보내는 방식이 더 눈에 덜 띈다.

이름이 익숙하면 경계가 풀린다. 사칭하는 쪽도 그걸 안다. 평소 링크를 잘 보내지 않던 사람이 갑자기 주소를 보냈다면 그 메신저로 되묻지 말고 전화로 직접 확인한다. 계정이 넘어갔다면 메신저로 온 답도 가짜일 수 있다.

확인해 보니 지인의 계정이 도용된 것이라면 본인에게 바로 알린다. 그 계정으로 같은 링크가 다른 사람들에게도 퍼지고 있을 가능성이 크다. 도용된 계정은 비밀번호를 바꾸고 다른 기기의 로그인을 모두 끊어야 멈춘다.

가족 단체방처럼 믿음이 큰 곳일수록 조심할 필요가 있다. 사진을 보여준다며 링크를 누르게 하거나, 선물을 받으려면 인증이 필요하다는 식으로 꾸민다. 링크를 눌렀더니 로그인부터 요구한다면 앞에서 본 순서 그대로 멈춘다.

피싱 사이트가 노리는 순간

피싱 사이트는 아무 때나 오지 않는다. 사람들이 급하게 로그인해야 하는 순간을 노린다. 택배가 늦어지는 연말, 카드 결제가 몰리는 쇼핑 시즌, 그리고 자주 쓰던 사이트의 주소가 바뀌는 시기가 대표적이다.

주소가 바뀌는 시기가 특히 위험한 이유는 이용자 스스로 새 주소를 찾아 헤매기 때문이다. 검색 결과나 커뮤니티 댓글에 새 주소라는 링크가 올라오면 의심 없이 누르게 된다. 이 틈에 똑같은 로그인 화면을 띄워 계정을 가져간다.

그래서 급할수록 한 박자 늦추는 것이 가장 좋은 방어다. 로그인 화면이 떴다면 입력하기 전에 주소창을 한 번 누르고, 도메인 전체를 끝까지 읽어본다. 이 3초가 대부분의 피싱을 막는다.

신고하면 다음 피해가 줄어든다

피싱 사이트를 알아봤다면 창을 닫는 것으로 끝내지 않아도 된다. 한국인터넷진흥원은 118 상담센터로 해킹과 피싱 관련 신고와 상담을 받는다. 받은 문자나 주소를 그대로 전달하면 된다. 번호로 전화하거나 누리집의 신고 메뉴를 쓸 수 있다.

사칭당한 회사의 고객센터에 알리는 것도 방법이다. 회사 입장에서는 자기 이름을 쓴 가짜 사이트를 빨리 알아야 공지를 띄우고 차단 요청을 할 수 있다. 연락처는 받은 링크가 아니라 공식 앱이나 직접 찾은 공식 사이트에서 확인한다.

신고는 몇 분이면 끝난다. 이미 피해를 입었다면 경찰에도 신고하고, 어떤 정보를 언제 입력했는지 목록으로 정리해 둔다. 이 기록이 있어야 이후 조치가 빨라진다. 입력한 것이 비밀번호인지, 카드번호인지, 인증번호인지에 따라 연락할 곳이 달라지기 때문이다.

신고할 때는 주소를 손으로 옮겨 적기보다 받은 문자나 화면을 캡처해서 남기는 편이 정확하다. 한 글자 차이로 다른 주소가 되는 것이 피싱 주소의 특징이라 옮기는 과정에서 틀리기 쉽다.

자주 묻는 질문