링크를 누르기 전 1분 점검표

주소창에서 먼저 걸러낼 다섯 가지 신호

이름이 비슷한데 같은 사이트일까요? 주소창은 로고나 화면 구성보다 먼저 확인해야 할 단서입니다. 검색 결과의 제목이나 문자에 표시된 문구가 아니라, 브라우저 주소창에 나타난 실제 도메인을 기준으로 아래 순서를 점검하세요.

1. □ 핵심 도메인을 끝에서부터 읽습니다.

   주소가 길다면 첫 번째 빗금 앞의 영역을 찾고, 점으로 나뉜 단어를 뒤에서부터 확인합니다. 예를 들어 service.example.com에서 기준이 되는 부분은 대개 example.com입니다. 앞쪽의 service는 하위 도메인이므로 공식 명칭이 앞부분에 들어갔다는 이유만으로 같은 운영자라고 볼 수 없습니다.

2. □ 철자와 확장자를 한 글자씩 비교합니다.

   알파벳 한 글자의 추가·누락, 숫자 0과 영문 o, 대문자 I와 소문자 l처럼 화면에서 비슷해 보이는 문자를 살핍니다. 익숙하지 않은 하이픈이나 다른 국가·분야 확장자가 붙었다면, 기관의 공식 안내문·고객센터·기존에 저장한 청구서 등 서로 독립된 출처와 대조하세요. 메시지에 함께 적힌 연락처만으로 확인하면 같은 발신자가 만든 정보일 수 있습니다.

3. □ HTTPS와 인증서 대상을 구분해 봅니다.

   HTTPS는 브라우저와 서버 사이의 전송 내용을 암호화하는 방식입니다. 자물쇠 표시가 있고 인증서 오류가 없더라도 피싱 운영자가 발급받은 도메인일 수 있습니다. 반대로 인증서 경고, 만료, 도메인 불일치가 나타나면 로그인·결제·개인정보 입력을 중단해야 합니다. Let's Encrypt 같은 인증기관 이름만으로 사이트의 운영 주체가 검증됐다고 판단해서도 안 됩니다.

4. □ 이동 뒤 최종 주소를 다시 확인합니다.

   링크를 길게 눌러 보이는 주소와 실제 도착 주소가 다르거나, 여러 도메인을 거쳐 로그인 화면으로 이동하면 리디렉션을 의심할 수 있습니다. 단축 URL은 목적지를 가리기 때문에 발신자가 확실하지 않으면 열지 않는 편이 안전합니다. 이미 열었다면 아무 정보도 입력하지 말고 주소창의 최종 도메인을 기록한 뒤 창을 닫으세요.

5. □ 외부 검사 결과를 보조 자료로 사용합니다.

   Google Safe Browsing 같은 평판 점검이나 브라우저 경고는 알려진 위험을 확인하는 보조 수단입니다. 경고가 없다는 결과는 새로 만들어졌거나 아직 신고되지 않은 주소의 안전을 보증하지 않습니다. 공식 주소를 확인하지 못했다면 접속을 멈추고, KISA가 안내하는 피싱·스미싱 상담 및 신고 절차를 확인하세요.

판정 상태표

이미 입력했나요? 비밀번호를 공식 앱이나 직접 입력한 공식 주소에서 즉시 변경하고, 같은 비밀번호를 쓰는 계정도 점검하세요. 결제정보나 인증번호를 전달했다면 해당 금융회사에 알리고 거래 차단 및 피해 대응 절차를 문의합니다.

급하게 누르라고 하나요? 화면 문구부터 점검하세요

“지금 확인하지 않으면 계정이 정지됩니다”라고 재촉하나요? 먼저 화면의 완성도가 아니라 무엇을 요구하는지 살펴보세요. 로고와 자물쇠 표시가 있어도 복제 화면일 수 있으며, HTTPS는 통신이 암호화된다는 뜻일 뿐 운영 주체까지 보증하지는 않습니다.

1. 행동을 재촉하는 문구를 찾습니다.
   • 몇 분 안에 인증·결제·환불을 끝내라고 하나요?
   • 택배 반송, 계정 정지, 과태료처럼 불안을 자극하나요?
   • 확인할 시간을 주지 않고 버튼 하나만 강조하나요?

   긴급 안내가 모두 허위인 것은 아닙니다. 다만 문자나 메신저의 버튼을 바로 누르지 말고, 해당 기관의 공식 앱이나 직접 확인한 대표 주소에서 같은 공지가 있는지 대조합니다.

2. 입력 요구가 상황에 맞는지 봅니다.
   • 단순 조회인데 비밀번호, 카드번호, 보안코드까지 요구하나요?
   • 로그인 직후 같은 정보를 다시 입력하게 하나요?
   • 주민등록번호 전체, 인증번호 전달처럼 필요 범위를 넘는 요구가 있나요?

   입력창 위의 명칭보다 주소창의 실제 도메인을 확인해야 합니다. 철자 한 글자, 하위 도메인 위치, 낯선 확장자가 다르면 입력을 멈춥니다.

3. 설치와 권한 요청을 구분합니다.
   • 보안 업데이트를 이유로 파일이나 앱 설치를 요구하나요?
   • 공식 앱 마켓이 아닌 별도 파일을 내려받게 하나요?
   • 화면 공유, 원격 제어, 접근성 권한을 켜라고 하나요?

   “보안을 위한 필수 절차”라는 설명만으로 설치하지 않습니다. 운영체제 경고를 해제하거나 알 수 없는 출처를 허용해야 한다면 중단 권고로 판단합니다.

4. 문장과 화면의 불일치를 확인합니다.
   • 기관명·서비스명이 화면마다 달라지나요?
   • 번역투, 비정상적인 띄어쓰기, 화폐·날짜 표기가 섞여 있나요?
   • 취소·고객센터·개인정보 안내 버튼이 작동하지 않나요?

   오탈자 하나만으로 피싱을 확정할 수는 없습니다. 여러 불일치가 겹치거나 공식 출처와 대조되지 않는지가 핵심입니다.

이미 입력하거나 설치했다면

의심 화면, 받은 문자, 발신 번호, 전체 URL과 결제 내역을 캡처하되 링크를 다시 열지는 마세요. 깨끗한 기기에서 관련 계정 비밀번호를 바꾸고, 결제 정보가 포함됐다면 금융회사에 즉시 알립니다. 악성 앱이나 스미싱이 의심되면 네트워크 연결을 끊은 뒤 한국인터넷진흥원 상담 창구 또는 경찰에 신고 방법을 문의하세요.