피싱 알아보기

example.com.account-check.example이라는 주소에서 페이지의 진짜 주인은 account-check.example입니다. 앞의 example.com은 주인이 붙인 이름표에 지나지 않습니다.

택배사가 보내지 않은 택배 문자

저녁에 이런 문자가 왔다고 해 봅시다(지어낸 예입니다). 「[택배] 주소 불명으로 배송이 보류되었습니다. 24시간 안에 주소를 수정해 주세요.」 그 아래에 짧은 링크가 하나 붙어 있습니다. 마침 인터넷으로 주문한 물건을 기다리는 중이라면 손가락이 벌써 링크 위에 가 있습니다. 그런데 문자에는 택배사 이름도, 송장 번호도 없습니다. 이런 메시지를 피싱이라고 합니다. 해로운 첨부 파일을 열게 하거나, 가짜 사이트로 가는 링크를 누르게 하거나, 개인 정보와 금융 정보를 넘기게 하려고 일부러 만든 메시지입니다. 이메일로도, 메신저와 전화로도 오고, 문자로 오는 피싱은 따로 스미싱이라고 부릅니다.

짧은 문자 한 통에 들어 있는 징후

CISA가 정리한 피싱 징후를 이 택배 문자에 대 보면 거의 다 맞아떨어집니다. 급하게 몰아붙이거나 감정을 건드리고, 지금 하지 않으면 큰일이 난다고 겁을 줍니다. 개인 정보나 금융 정보를 달라고 합니다. 믿을 수 없는 단축 링크가 들어 있습니다. 보낸 사람 주소나 링크가 글자 하나 바뀌거나 낱말 하나 덧붙는 식으로 진짜와 조금 다릅니다. 예전에 쓰던 징후 하나는 이제 통하지 않습니다. 맞춤법과 문법이 엉망이면 피싱이라고들 했지만, CISA는 AI 시대에 들어 문법과 맞춤법이 완벽한 피싱 메시지도 있다고 지적합니다. 그러니 글솜씨보다 이 메시지가 나에게 무엇을 시키는지를 보세요. 「안전을 위해 잠긴」 은행 계좌, 응모한 적 없는 경품 당첨, 카톡으로 오는 가족 사칭이 모두 같은 틀입니다. 「엄마, 폰 액정이 깨져서 이 번호로 연락해. 급하게 돈 좀 보내 줘」(지어낸 예입니다) 같은 메시지도 차분히 생각할 틈을 주지 않고 먼저 움직이게 만듭니다.

링크 주소는 오른쪽부터 읽습니다

링크를 누르기 전에 호스트 이름부터 찾으세요. 주소에서 https:// 뒤부터 첫 번째 홑빗금(/) 앞까지가 호스트 이름입니다. 읽는 방향은 오른쪽에서 왼쪽입니다. 맨 끝 두 부분(.co.kr로 끝나는 주소라면 세 부분)이 그 주소를 관리하는 조직이고, 그보다 왼쪽은 모두 그 조직이 마음대로 골라 붙인 이름표입니다. 그래서 login.example.com은 example.com의 주소이지만, example.com.account-check.example은 account-check.example의 주소입니다. 맨 앞에 익숙한 이름이 보인다고 안심하면 안 되는 까닭입니다. 휴대전화에서는 링크를 길게 누르면 열지 않고도 전체 주소를 볼 수 있습니다. 패스키도 여기서 힘이 됩니다. 진짜가 아닌 사이트에서는 아예 작동하지 않으니까요. (이 페이지의 주소는 모두 example.com이나 .example처럼 예시용으로 남겨 둔 이름이라 실제 사이트가 아닙니다.) 택배 문자의 링크가 짧은 단축 주소라면 호스트 이름만 봐서는 어디로 가는지 알 수 없습니다. 그럴 때는 링크를 누르지 말고 보호나라의 스미싱 확인 서비스로 그 문자가 의심스러운지 먼저 확인해 보세요.

다른 길로 확인하고 나서 신고하기

CISA의 조언은 알아보기, 참기, 지우기 세 가지이고, 앞에서 본 징후가 알아보기에 해당합니다. 참는다는 말은 확신이 없는 메시지라면 링크를 누르지 않고, 첨부 파일을 열지 않고, 답장도 하지 않는다는 뜻입니다. 「수신 거부」 링크도 예외가 아닙니다. 택배 문자라면 문자 속 링크 대신 평소 쓰는 택배사 앱을 직접 열거나 주소를 손으로 쳐서 들어가 배송 상태를 확인합니다. 카톡으로 온 가족 사칭이라면 원래 저장해 둔 번호로 전화를 걸어 봅니다. 확인이 끝나면 메일이나 메신저의 「스팸 신고」, 「피싱 신고」 기능으로 먼저 신고하고 메시지를 지웁니다. 한국에서는 KISA가 해킹, 스팸, 개인정보 문제를 상담하는 무료 전화 118을 운영합니다. 118에 걸어 메뉴를 고르면 보이스피싱과 스미싱 신고는 경찰로 연결됩니다. KISA 보호나라(boho.or.kr)에는 의심스러운 문자를 확인해 주는 스미싱 확인 서비스가 있습니다.

전화도 같은 틀을 따릅니다. 은행, 택배 회사, 경찰, 검찰이라고 밝힌 사람이 내 계좌가 범죄에 연루됐다면서 돈을 다른 계좌로 옮기라거나, 앱을 깔라거나, 인증번호를 불러 달라고 합니다. 진짜 기관은 전화로 이런 요구를 하지 않습니다. 일단 끊고, 그 기관의 공식 번호를 내가 직접 찾아 다시 거세요. 전화한 사람이 시킨다고 앱이나 원격 조종 프로그램을 설치해서는 절대 안 됩니다. 「검찰」이나 「경찰」이라는 말이 나오면 누구나 긴장하지만, 확인하는 방법은 똑같습니다.