피싱 사기, 어떻게 알아볼까? 의심 신호와 피해를 막는 보안 수칙

피싱 사기인지 먼저 가려내려면 무엇을 봐야 할까요?

문자나 이메일, 메신저, 전화가 예상하지 못한 행동을 재촉하면서 링크를 누르거나 앱을 설치하라고 한다면 일단 멈추는 것이 첫 번째 보안 수칙입니다. 피싱은 기관·기업·지인을 사칭해 로그인 정보, 인증번호, 금융정보 또는 돈을 넘기게 하는 사기입니다. 메시지의 발신자 이름이나 로고보다 요청 내용과 연결 주소를 확인하고, 그 메시지 안의 링크·전화번호를 쓰지 않은 채 공식 앱이나 대표 연락처로 직접 사실을 확인하세요.

예를 들어 택배 주소가 잘못됐다며 짧은 링크를 보내거나, 계정이 정지된다며 즉시 본인인증을 요구하거나, 수사기관을 사칭해 비밀을 지키라고 압박하는 상황이 있습니다. 문장이 자연스럽고 내 이름이나 주문 정보를 알고 있다는 이유만으로 진짜라고 판단할 수는 없습니다. 이미 공개된 정보나 유출된 정보를 이용해 메시지를 개인화할 수 있기 때문입니다.

어떤 징후가 있으면 피싱을 의심해야 하나요?

한 가지 징후만으로 사기라고 확정할 수는 없습니다. 다만 아래 신호가 하나라도 보이면 링크를 열거나 정보를 입력하기 전에 별도 경로로 확인하는 편이 안전합니다. 두세 가지가 함께 나타나면 특히 주의하세요.

발신번호나 로고가 익숙하면 믿어도 될까요?

그것만으로는 부족합니다. 발신번호 표시나 발신자 이름은 조작될 수 있고, 정상 계정이 탈취되어 사기 메시지 발송에 쓰이는 경우도 있습니다. 대화방에 가족의 이름과 사진이 보이더라도 송금이나 인증번호 전달 요청은 다른 방식으로 재확인하세요. 평소 알고 있는 번호로 직접 전화하거나, 이미 저장해 둔 연락처로 새 메시지를 보내 질문하는 방법이 낫습니다.

웹 주소도 자물쇠 표시나 https만으로 안전성을 보증하지 않습니다. 이 표시는 연결이 암호화되었다는 뜻이지, 사이트 운영자가 진짜 기관이라는 증명은 아닙니다. 주소의 철자를 확인하되, 낯선 링크를 열어 시험하지 마세요. 검색 광고나 문자에 적힌 번호 대신 카드 뒷면, 통장, 공식 앱 또는 직접 입력한 기관 홈페이지에서 연락처를 찾으세요.

링크를 눌렀다면 이미 감염된 것인가요?

반드시 그런 것은 아닙니다. KISA 안내에 따르면 문자 속 인터넷 주소를 클릭한 것만으로 악성 앱에 감염되는 것은 아니며, 링크를 통해 앱을 내려받아 설치했는지, 개인정보를 입력했는지, 권한을 허용했는지가 중요합니다. 다만 링크를 열어 가짜 로그인 화면에 비밀번호를 입력했다면 악성 앱 설치가 없어도 계정이 위험할 수 있습니다. 클릭 여부만으로 안전하다고 단정하지 말고, 무엇을 했는지 차분히 점검하세요.

• 열기만 했고 아무것도 입력·설치하지 않았다면: 페이지를 닫고 다운로드된 파일이 있는지 확인합니다. 파일을 실행하거나 앱을 설치하지 말고, 기기의 보안 업데이트 상태와 모바일 백신 검사 결과를 확인하세요.
• 아이디·비밀번호 또는 카드정보를 입력했다면: 깨끗한 다른 기기나 공식 앱에서 해당 계정의 비밀번호를 즉시 바꾸고, 같은 비밀번호를 쓰는 다른 계정도 각각 바꿉니다. 금융정보를 입력했으면 은행이나 카드사에 바로 연락해 거래 제한 등 필요한 조치를 문의합니다.
• 앱을 설치했거나 원격제어·접근성 권한을 허용했다면: 그 기기로 금융 앱을 열거나 비밀번호를 바꾸지 마세요. 가능하면 비행기 모드로 전환하고, 주변의 다른 전화기로 112 또는 해당 금융회사에 연락해 도움을 요청합니다. 앱 삭제가 어렵거나 기기 이상이 계속되면 제조사 서비스센터나 신뢰할 수 있는 전문가에게 점검을 맡깁니다.

기관이나 회사의 연락이 진짜인지 어떻게 확인하나요?

메시지에 적힌 주소를 누르거나 발신자가 알려 준 전화번호로 되걸지 말고, 독립된 경로를 사용하세요. 휴대전화에 설치된 공식 앱을 직접 찾아 열거나, 브라우저 주소창에 평소 알고 있는 공식 홈페이지 주소를 직접 입력합니다. 전화 확인이 필요하면 카드 뒷면·계약서·공식 홈페이지에 표시된 대표번호를 사용합니다. 검색 결과의 광고 링크는 공식 사이트처럼 보일 수 있으므로 URL과 운영기관을 확인해야 합니다.

통화 상대가 “확인해 주겠다”며 새 앱 설치, 화면 공유, 비밀 유지, 다른 계좌로의 이체를 요구하면 통화를 끊으세요. 정상 앱 마켓에 등록된 원격제어 도구라도 상대방이 설치와 접속을 유도한다면 거절해야 합니다. KISA는 정부기관이나 금융회사가 전화·문자로 원격제어 앱 설치를 요구하지 않는다고 명시합니다. KISA의 피싱·스미싱 주의 안내와 스미싱 유형 및 대응 안내에서 구체적인 예와 절차를 확인할 수 있습니다.

피해를 줄이려면 평소 어떤 설정을 해 두어야 하나요?

보안은 한 번의 설정으로 끝나지 않지만, 계정 하나가 뚫렸을 때 다른 서비스까지 연쇄 피해를 입는 위험은 줄일 수 있습니다. 아래 항목을 휴대전화와 주요 온라인 계정에서 차례로 점검하세요.

1. 계정마다 다른 비밀번호를 사용합니다. 길고 고유한 비밀번호를 쓰고, 기억하기 어렵다면 신뢰할 수 있는 비밀번호 관리자를 이용합니다. 이메일 계정은 다른 서비스의 비밀번호 재설정에 쓰이므로 특히 보호해야 합니다.
2. 다중 인증을 켭니다. 가능하면 보안 키나 패스키처럼 피싱에 강한 인증 방식을 선택하고, 그 방법을 쓸 수 없다면 인증 앱 등 추가 인증을 설정합니다. 다중 인증이 켜져 있어도 도용된 승인 요청을 무심코 허용하지 마세요.
3. 운영체제와 앱을 최신 상태로 유지합니다. 보안 업데이트를 미루지 말고 앱은 공식 앱 마켓에서 설치합니다. 다만 공식 마켓 앱이라는 이유만으로 상대방이 요구한 원격제어 앱을 설치해도 된다는 뜻은 아닙니다.
4. 권한을 살핍니다. 새 앱이 주소록, 문자, 화면 접근, 접근성, 기기 관리자 권한을 요구하면 기능에 꼭 필요한지 확인합니다. 이유를 설명하지 못하거나 메시지 링크를 따라 설치한 앱이라면 허용하지 마세요.
5. 복구 수단과 거래 알림을 정리합니다. 계정 복구용 이메일·전화번호를 최신으로 유지하고, 은행·카드·통신사의 결제 알림을 켜 둡니다. 휴대전화 분실이나 감염 때 사용할 금융회사 연락처를 별도로 적어 두면 급할 때 검색에 의존하지 않아도 됩니다.

이미 돈을 보냈거나 인증번호를 알려 줬다면 무엇부터 해야 하나요?

시간을 지체하지 말고 해당 은행·카드사 등 금융회사에 연락해 계좌와 카드의 지급정지, 거래 차단 또는 추가 본인확인 조치를 요청하세요. 송금 피해나 보이스피싱은 112에 즉시 신고합니다. 전기통신금융사기 통합신고대응센터의 안내는 공식 통합신고대응센터에서 확인할 수 있고, 스미싱·악성 앱 등 사이버 침해 상담은 KISA 보호나라 또는 국번 없이 118을 이용할 수 있습니다. 신고 번호와 업무 범위는 바뀔 수 있으므로 접속 시점의 공식 안내를 따르세요.

문자와 이메일은 삭제하기 전에 화면을 캡처하고, 보낸 사람 정보와 받은 시각, 주소, 통화 기록, 이체 내역을 남깁니다. 링크를 다시 열거나 상대에게 답하지 마세요. 앱 설치가 의심되면 그 휴대전화로 은행에 로그인하지 말고, 통신사에 소액결제 내역과 번호 도용 문자 차단 서비스를 문의합니다. KISA는 감염 의심 시 모바일 백신 점검, 필요하면 비행기 모드 전환 후 다른 전화기로 신고, 금융서비스 이용 정보의 재발급 검토와 지인에게 2차 피해 가능성을 알리는 절차를 안내하고 있습니다.

보내기 전에 30초 동안 확인할 수 있을까요?

• 내가 먼저 요청한 연락인지, 예상한 거래인지 확인했나요?
• 메시지가 시간 압박, 위협, 비밀 유지, 금전 이체를 요구하나요?
• 주소와 발신자를 메시지 바깥의 공식 경로로 확인했나요?
• 비밀번호·인증번호·보안카드·원격제어 앱 설치를 요구받고 있나요?
• 조금이라도 불확실하면 링크를 닫고, 공식 앱이나 대표번호로 직접 확인했나요?

피싱을 가려내는 가장 실용적인 기준은 발신 화면의 모양이 아니라 요청을 검증하는 경로입니다. 급할수록 메시지를 멈추고 별도 경로로 확인하며, 이미 정보나 돈을 넘겼다면 금융회사와 경찰에 먼저 연락하세요. KISA의 공식 안내는 2026년 9월 26일 기준으로 확인했으며, 신고 절차와 연락처는 상황에 따라 변경될 수 있습니다.