스마트폰 피싱 문자 5초 만에 구별하는 법
문자 하나가 왔다. '고객님 명의로 해외 결제가 시도되었습니다. 본인 확인이 필요합니다.' 발신자는 KB국민은행. 링크도 있다. 손이 링크 위에 올라간다.
잠깐, 그 손 멈춰야 한다.
나도 한 번 속을 뻔했던 그 문자들
실제로 유통되는 피싱 문자 사례를 보면, '어? 나도 이런 거 받았는데?' 싶은 게 꼭 나온다.
사례 1 — 택배 배송 사칭
'고객님의 택배가 주소 불명으로 반송 처리됩니다. 아래 링크에서 주소를 재입력해 주세요.' 쿠팡, CJ대한통운, 롯데택배 이름을 갖다 붙인다. 쇼핑을 자주 하는 사람이라면 반사적으로 클릭할 수밖에 없는 타이밍에 온다. 실제 배송 대기 중인 물건이 있을 때 이 문자가 오면 의심하기가 훨씬 어렵다.
사례 2 — 은행 앱 업데이트 유도
'보안 취약점이 발견되어 긴급 업데이트가 필요합니다. 아래에서 최신 버전을 설치하세요.' KB, 신한, 하나 등 주요 은행 이름이 붙는다. 링크를 누르면 진짜 은행 앱처럼 생긴 악성 APK 파일이 설치된다. 이게 깔리면 공인인증서, 계좌번호, 심지어 문자 인증번호까지 빠져나간다.
사례 3 — 정부지원금 사칭
'에너지 바우처 미수령 알림. 신청 기한 내일까지입니다. 지금 바로 신청하세요.' 40대 이상에서 특히 클릭률이 높다. 실제로 정부 지원금이 존재하기 때문에 '혹시 내가 몰랐던 게 있나?' 하는 심리를 건드린다. URL은 government처럼 보이지만 실제론 전혀 다른 도메인이다.
세 개 다 읽었는데 하나라도 '어, 이거 나 받아봤는데' 싶지 않았나. 그 느낌이 정확하다. 그리고 그 문자들 중 하나는 실제로 위험했을 가능성이 있다.
URL 링크, 이렇게 보면 5초 안에 끝난다
진짜 은행이나 택배사는 문자에 링크를 보낼 때 자기 공식 도메인을 쓴다. 예를 들어 KB국민은행은 kbstar.com, 신한은행은 shinhan.com이다. 문자에 있는 링크를 클릭하기 전에 주소를 눈으로만 확인하는 게 핵심이다.
피싱 링크에는 패턴이 있다.
- 1도메인이 지나치게 길다 — kb-security-update-2025.com 같은 형태
- 2숫자가 섞인다 — kbbank1.net, shinhan-02.com
- 3공식 도메인 뒤에 뭔가 붙는다 — kbstar.com.login-verify.net (진짜 도메인은 login-verify.net이다)
- 4단축 URL을 쓴다 — bit.ly, tinyurl 등 원래 주소를 숨기는 링크
공식 기관은 단축 URL을 문자로 보내지 않는다. 이것 하나만 기억해도 절반은 걸러진다.
Android는 링크를 길게 누르면 실제 URL이 뜬다. iPhone은 링크를 살짝 꾹 누르면 미리보기에 주소가 보인다. 클릭 전에 이 동작 하나만 습관으로 만들어도 된다.
발신자 번호, 여기서 속는 사람이 제일 많다
'010-XXXX-XXXX'로 온 문자는 일단 의심해야 한다. 은행, 카드사, 택배사는 문자를 보낼 때 개인 휴대폰 번호를 쓰지 않는다. 기업용 단문 발송 서비스를 이용하기 때문에 발신자가 'KB국민카드', '우체국택배' 같은 문자열로 표시된다.
근데 여기서 함정이 있다.
요즘 스미싱은 발신자 번호 자체를 조작한다. 실제로 '국민은행'이라고 표시되게 설정할 수 있다. 이걸 '발신번호 변작'이라고 하는데, 2023년 이후 급격히 늘었다. 그러니까 발신자 이름이 '국민은행'으로 떠 있어도 100% 믿으면 안 된다.
대신 이걸 확인해라.
- •같은 발신자가 이전에 보낸 문자가 있는지 위로 스크롤해서 확인
- •이전 문자 톤과 형식이 갑자기 달라졌는지
- •문자에 개인 이름이 없고 '고객님'으로만 되어 있는지
진짜 거래하는 은행이라면 문자에 이름 첫 글자 + 별표 처리된 이름(예: 김*현)이 들어가는 경우가 많다. 이름 없이 '고객님'만 있다면 발신자가 내 이름을 모른다는 뜻이다.
클릭 전에 반드시 확인할 3가지
받은 문자, 링크 누르기 전에 이 세 가지만 순서대로 확인한다.
첫 번째, 한글 맞춤법과 문장이 어색하지 않은가.
'주소지 재입력 바랍니다' 같은 비문, '본인인증이 필요합니다으로' 같은 어미 오류가 보이면 바로 피싱이다. 한국어가 모국어가 아닌 사람이 번역기를 돌린 흔적이다.
두 번째, 이 기관에 직접 전화해서 확인할 수 있는가.
문자 내용이 사실인지 의심된다면 링크 말고 직접 전화번호를 검색해서 연락한다. KB국민은행 고객센터 1588-9999, 우체국택배 1588-1300처럼 공식 번호를 직접 찾아서 걸면 된다. 문자에 적힌 번호로 전화하면 안 된다.
세 번째, 내가 실제로 이 기관과 거래 중인가.
신한카드 문자가 왔는데 신한카드가 없다면 그냥 스팸이다. 생각보다 많은 사람이 '혹시 이게 뭔 카드지?' 하면서 링크를 열어본다. 내가 거래하지 않는 곳에서 온 문자는 볼 것도 없이 삭제다.
혹시 이미 클릭했다면, 지금 당장 해야 할 것
클릭만 했고 아무것도 입력하지 않았다면 다행이다. 하지만 링크가 열리는 순간 일부 악성코드는 설치 시도를 한다. 특히 Android 기기라면.
지금 바로 할 것:
- 1와이파이와 모바일 데이터를 꺼라. 데이터 전송을 막는다.
- 2스마트폰 보안 앱으로 즉시 검사를 돌려라.
- 3개인정보나 계좌정보를 입력했다면 해당 기관 고객센터에 즉시 연락한다.
- 4금융감독원 보이스피싱 신고 전화 1332로 신고한다.
보안 앱은 사전 예방에도, 사후 검사에도 필요하다. ESET Mobile Security나 V3 Mobile이 실제 탐지율이 높다. 이 두 앱을 어떻게 고르고 설정해야 하는지는 에서 자세히 다뤘으니 참고해봐라.
결국, 5초 판단 기준은 이거다
스마트폰 피싱 문자 구별법을 한 줄로 정리하면 이렇다.
링크 주소가 이상하거나, 발신자가 개인번호거나, 이름 없이 '고객님'뿐이라면 — 클릭하지 말고 기관에 직접 전화.
이 세 가지 중 하나라도 해당되면 그냥 지워도 된다. 진짜 기관에서 온 문자라면 다시 연락 온다. 피싱이 아닐까 봐 클릭하는 것보다, 피싱일 수 있으니 전화로 확인하는 게 훨씬 낫다.
문자 하나로 통장이 털리는 시대다. 5초 확인이 아깝지 않은 이유다.
다음 편 예고: 피싱 문자를 클릭한 뒤 구글 계정 정보가 유출됐다면? — 다음 편에서 구글 계정 해킹 복구 완벽 가이드를 다룬다. 계정이 탈취됐을 때 1시간 안에 해야 할 것들, 순서대로 정리해놨다.