피싱 메일 구별하는 법: 12가지 위험 신호 (진짜 같은 예시 포함)

피싱이 정확히 뭘까요? (1분 정리)

피싱은 은행, 택배 회사, 넷플릭스, 상사, 심지어 친구처럼 여러분이 믿는 사람인 척하면서 소중한 걸 넘겨주게 만드는 메시지예요. 노리는 건 보통 비밀번호, 일회용 인증 코드, 카드 정보, 아니면 악성 프로그램을 설치하는 링크를 한 번 클릭하게 만드는 거예요.

피싱이 사라지지 않는 이유는 돈이 거의 안 들기 때문이에요. 사기꾼은 거의 공짜로 메일 100만 통을 보낼 수 있고, 그중 몇 명만 속아도 충분히 남는 장사예요. 그래서 이런 메일은 ‘속도’에 맞춰 만들어져요. 생각하기 전에 반응하게 만들려는 거죠. 솔직히 말해서 10초만 멈추는 것이 가장 좋은 방어책이에요. 그리고 그 10초 동안 무엇을 확인해야 하는지 알려 주는 게 바로 아래의 위험 신호들이에요.

12가지 위험 신호

1. 보낸 사람 주소가 회사와 맞지 않아요

표시 이름은 뭐든지 쓸 수 있어요. “PayPal Support”는 그냥 글자일 뿐이에요. 중요한 건 그 뒤에 있는 실제 이메일 주소예요. 이름을 탭하거나 마우스를 올려서 확인해 보세요.

• 괜찮아 보임: [email protected]
• 위험 신호: [email protected]
• 위험 신호: [email protected]

큰 회사들은 자기 도메인으로 메일을 보내요. 무료 Gmail이나 Outlook 주소로 연락하지 않고, 회사 이름에 ‘secure’, ‘verify’, ‘account’ 같은 단어를 덧붙이지도 않아요.

2. 도메인 철자가 교묘하게 비슷해요

사기꾼들은 얼핏 보면 맞는 것 같은 도메인을 등록해요. arnazon.com(r과 n이 붙으면 m처럼 보여요), paypa1.com(소문자 l 대신 숫자 1), micros0ft.com(o 대신 숫자 0) 같은 식이에요. 작은 휴대폰 화면에서는 정말 알아채기 어렵고, 그래서 더 많이 쓰여요. 도메인은 한 글자씩 천천히 읽어 보세요.

3. 급하게 재촉하거나 겁을 줘요

“24시간 안에 계정이 폐쇄됩니다.” “최종 통보.” “법적 조치를 취하겠습니다.” 진짜 회사가 메일로 카운트다운을 하는 경우는 거의 없어요. 재촉하는 건 여러분이 생각할 틈을 주지 않으려는 거예요. 메일을 읽고 조급하거나 무서운 기분이 든다면, 그 느낌 자체를 경고 신호로 받아들이세요.

4. 링크가 엉뚱한 곳으로 가요

버튼에는 “계정에 로그인”이라고 쓰여 있어도, 실제로는 어디로 연결될까요? 컴퓨터에서는 링크에 마우스를 올리고 브라우저 아래 구석에 뜨는 주소를 보세요. 휴대폰에서는 링크를 길게 누르면 열지 않고 미리 볼 수 있어요.

• 은행에서 왔다고 하는데 링크는 secure-login-bank.xyz로 연결돼요
• 링크가 맞는 이름으로 시작하지만 진짜 도메인은 뒤에 숨어 있어요: https://netflix.com.account-update.info/login (여기서 진짜 사이트는 넷플릭스가 아니라 account-update.info예요)

5. 누구에게나 쓸 수 있는 인사말

“고객님께”, “사용자님”, “소중한 회원님”. 계정이 있는 회사라면 보통 여러분의 이름을 알고 있어요. 막연한 인사말만으로 가짜라고 단정할 수는 없지만, 이 목록의 다른 신호와 함께 나타난다면 꽤 수상하다고 봐도 돼요.

6. 비밀번호, 인증 코드, 카드 정보를 물어봐요

이건 간단해요. 진짜 은행, 쇼핑몰, 메일 서비스는 비밀번호나 카드 번호 전체, 방금 문자로 보낸 일회용 인증 코드를 답장으로 보내 달라고 절대 하지 않아요. 그 코드는 오직 여러분만 쓸 수 있게 하려고 있는 거예요. 메일이든 채팅이든 전화든, 그걸 물어보는 사람이 있다면 사기예요. 예외 없이요.

7. 예상하지 못한 첨부 파일

“Invoice_0423.zip”, “Payment_details.html”, “Scanned_document.pdf.exe”. 예상하지 못한 첨부 파일, 특히 ZIP 파일이나 HTML 파일, ‘편집 사용’이나 ‘매크로 사용’을 누르라고 하는 파일은 악성 코드를 심는 고전적인 수법이에요. 청구서 받을 일이 없었다면, 그 청구서는 열지 마세요.

8. 너무 좋아서 믿기 힘든 제안

“iPhone 16에 당첨되셨습니다.” “500달러 기프트 카드를 받아 가세요.” “1,240달러 세금 환급금이 기다리고 있습니다.” 응모한 적이 없다면 당첨될 리도 없어요. 이런 메일은 보통 ‘배송비 결제’를 핑계로 카드 정보를 입력하게 하는 양식으로 이어져요.

9. 어색한 문장과 서식 (하지만 너무 믿지는 마세요)

이상한 표현, 뜬금없는 대문자, 흐릿한 로고는 예전엔 가장 쉽게 알아챌 수 있는 단서였어요. 그런데 요즘은 AI 도구로 작성해서 완벽하게 다듬어진 피싱 메일이 많아요. 그러니 어색한 문장은 ‘덤으로 얻는 힌트’ 정도로만 생각하고, 주된 판단 기준으로 삼지는 마세요. 잘 쓴 메일도 가짜일 수 있어요.

10. 답장 주소가 보낸 사람과 달라요

어떤 피싱 메일은 진짜 같은 주소에서 오지만, 몰래 다른 ‘답장 주소(Reply-To)’를 설정해 둬요. 답장을 누르면 여러분의 답장이 사기꾼에게 가는 거죠. 민감한 내용을 답장하려고 한다면, 먼저 답장 화면의 ‘받는 사람’ 칸에 있는 주소부터 확인하세요.

11. 가입한 적 없는 서비스

이용한 적 없는 택배사의 배송 알림, 요청하지 않은 비밀번호 재설정, 산 적 없는 물건의 영수증. 사기꾼들은 여러분이 주문을 ‘취소’하거나 ‘이의 제기’하려고 클릭하길 바라면서 이런 메일을 보내요. 메일 속 링크는 쓰지 마세요. 걱정된다면 그 회사 앱을 열거나 주소를 직접 입력해서 들어가세요.

12. 메일 앱이 보여 주는 인증 경고

Gmail, Outlook, Apple Mail은 메일이 자기가 주장하는 도메인에서 정말 왔는지 뒤에서 확인해요. 이 확인에 실패하면 “이 메시지는 표시된 발신자가 보낸 것이 아닐 수 있습니다” 같은 경고가 뜨거나, 보낸 사람 사진 대신 물음표가 보일 수 있어요. 이런 경고는 꼭 진지하게 받아들이세요. 이 확인이 어떻게 이루어지는지 궁금하다면 SPF, DKIM, DMARC 쉽게 이해하기에서 쉬운 말로 설명해 뒀어요.

진짜 같은 예시를 하나씩 뜯어봐요

매일같이 받은편지함에 들어오는 메일은 이런 식이에요:

보낸 사람: Amazon 고객 서비스 <[email protected]>
제목: 조치 필요: 주문 #112-8842가 일시 중지되었습니다

고객님께,
결제 정보를 확인할 수 없었습니다. 24시간 이내에 정보를 확인하지 않으시면 주문과 계정이 취소됩니다.

[내 계정 확인하기]

위험 신호를 세어 볼까요:

1. 도메인이 amaz0n-orders-support.com이에요. 숫자 0이 섞여 있고 쓸데없는 단어까지 붙어 있죠. 아마존은 이런 곳에서 메일을 보내지 않아요.
2. 여러분의 이름 대신 “고객님께”.
3. 24시간이라는 협박.
4. 아마 기억나지 않는 주문.
5. 길게 눌러 보면 전혀 상관없는 사이트를 가리키고 있을 버튼.

단 몇 줄에 위험 신호가 다섯 개나 있어요. 올바른 대처는 삭제하거나, 직접 아마존 앱을 열어서 주문 내역을 확인하는 거예요. 정말 문제가 있다면 거기에 나와 있을 거예요.

이미 클릭해 버렸다면

먼저, 당황하지 마세요. 그리고 자책하지도 마세요. 이런 메일은 남을 속이는 게 본업인 사람들이 만든 거예요. 지금 중요한 건 빠르게 움직이는 거예요:

1. 메일을 열기만 했다면: 거의 확실히 괜찮아요. 그냥 삭제하세요.
2. 링크를 눌렀지만 아무것도 입력하지 않았다면: 그 페이지를 닫으세요. 보안 검사 기능이 있다면 기기를 검사해 두세요.
3. 비밀번호를 입력했다면: 진짜 사이트(주소는 직접 입력하세요)에서 바로 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 곳에서도 모두 바꾸세요.
4. 카드 정보를 입력했다면: 카드 뒷면에 있는 번호로 카드사에 전화해서 카드를 정지해 달라고 하세요.
5. 인증 코드를 알려 줬다면: 바로 그 계정에 로그인해서 비밀번호를 바꾸고, 다른 모든 세션에서 로그아웃하세요.
6. 아직 안 했다면 메일, 은행, 쇼핑 계정에 2단계 인증을 켜세요.

신고해 주세요, 모두에게 도움이 돼요

메일 앱의 ‘피싱 신고’나 ‘스팸 신고’ 기능을 쓰세요. Gmail에서는 점 세 개 메뉴 안에, Outlook에서는 ‘보고’ 아래에 있어요. 이렇게 하면 수많은 사람을 지켜 주는 필터가 학습돼요. 많은 회사가 신고용 주소를 따로 두고 있기도 해요. 예를 들어 가짜 PayPal 메일은 [email protected]으로 전달하면 돼요. 미국에서는 FTC의 reportfraud.ftc.gov에, 영국에서는 [email protected]로도 신고할 수 있어요.

애초에 피싱 메일을 덜 받으려면

피싱을 완전히 없앨 수는 없지만, 받은편지함이 표적이 될 가능성은 훨씬 줄일 수 있어요:

• 주 이메일 주소를 모든 웹사이트, 이벤트, 무료 다운로드에 넘겨주지 마세요. 주소가 퍼진 곳이 적을수록 올라가는 명단도 적어져요.
• 한 번만 쓰는 가입에는 임시 이메일 주소를 쓰세요. 나중에 그 사이트가 해킹되거나 명단을 팔아도, 스팸은 알아서 사라지는 받은편지함으로 가요.
• 비밀번호 관리자를 쓰세요. paypa1.com에서는 비밀번호를 자동으로 채워 주지 않으니까, 의외로 꽤 쓸 만한 피싱 탐지기가 돼요.
• 휴대폰과 브라우저는 항상 최신으로 업데이트하세요. 업데이트가 악성 링크가 노리는 구멍을 막아 줘요.

이미 주소가 유출 사고에 포함됐다면 이메일이 데이터 유출에 포함됐을 때 해야 할 일을, 평소 습관으로는 이메일 개인정보 보호 모범 사례를 한번 읽어 보세요.

10초 습관

이 글에서 딱 하나만 기억한다면 이것만 기억해 주세요. 메일이 빨리 행동하라고 재촉하면 10초만 멈추세요. 진짜 보낸 사람이 누구인지 확인하고, 링크를 길게 눌러 어디로 가는지 보고, 조금이라도 이상하면 클릭하지 말고 직접 그 웹사이트로 들어가세요. 그 짧은 멈춤이 세상에 있는 피싱 메일 대부분을 막아 줘요.

늘 조심하시고요, 이 목록에 없는 교묘한 피싱 수법을 발견하셨다면 꼭 알려 주세요. 진심으로 듣고 싶어요. 제 연락처는 바로 아래에 있어요.