“오늘 안에 인증하지 않으면 계정을 정지한다”는 메시지를 받으면 급하게 링크부터 누르기 쉽습니다. 하지만 화면에 로고와 서비스 이름이 보이는 것만으로 발신자를 확인할 수는 없습니다. 메시지 안의 링크를 따라가지 않고, 평소 쓰던 앱이나 직접 확인한 공식 주소로 들어가 같은 알림이 있는지 확인하는 것이 판단을 단순하게 만듭니다.
주소를 읽는 방법은 의심 신호를 찾는 보조 수단입니다. 주소가 그럴듯하다고 안전을 보장하거나, 복잡하다고 무조건 사기라고 판정할 수는 없습니다. 아래 예시는 설명용으로 예약된 .example 주소를 사용하며 실제 서비스 링크가 아닙니다.
브랜드 이름이 어느 위치에 있는지 보세요
주소 https://login.sample.example/account를 나누면 https는 접속 방식, login.sample.example은 호스트, /account는 경로입니다. 물음표 뒤의 값은 추가 매개변수일 수 있습니다. MDN의 URL 설명에서 각 부분의 역할을 확인할 수 있습니다.
비교할 주소가 https://notice.sample.example.other.example/login이라면 sample이라는 글자가 앞부분에 있더라도 첫 번째 주소와 같은 호스트가 아닙니다. 또 https://other.example/sample/account에서 경로의 sample은 사이트 이름을 보증하지 않습니다. 길고 복잡한 주소에서는 눈에 익은 단어 하나만 찾는 습관이 오히려 판단을 흐릴 수 있습니다.
일반 이용자가 모든 도메인 등록 규칙이나 국제화 도메인 표기를 판별할 필요는 없습니다. 공식 주소를 확실히 모르겠다면 메시지 안의 번호나 링크 대신, 기존에 설치한 공식 앱이나 이미 저장한 신뢰할 수 있는 경로에서 고객지원 정보를 확인하세요.
표시된 글자와 실제 연결 주소도 다를 수 있습니다
컴퓨터에서는 링크 위에 마우스를 올려 실제 연결 주소를 확인할 수 있습니다. 화면에는 “공식 고객센터”라고 적혀 있어도 연결되는 곳이 다를 수 있습니다. 휴대전화에서는 앱마다 미리보기 방식이 달라 실수로 열지 않도록 주의해야 합니다. 굳이 링크를 조사하기 위해 열 필요는 없습니다.
Google의 피싱 예방 안내는 긴급한 요청, 사칭, 개인정보 요구 등을 경계하고 메시지를 통해 이동한 화면에서 비밀번호를 입력하기보다 원래 서비스로 가서 확인하도록 안내합니다. 보안 경고가 없다는 사실도 안전 판정은 아닙니다.
자물쇠나 HTTPS 표시 역시 “이 업체가 진짜다”라는 인증서로 받아들이면 안 됩니다. 주소 구조를 아는 것과 상대의 신원을 검증하는 것은 다른 문제입니다. 중요한 계정이라면 글자 모양 비교에 매달리기보다 독립된 접속 경로를 쓰는 편이 낫습니다.
상황을 세 가지로 나눠 대응하세요
| 현재 상태 | 먼저 할 일 |
|---|---|
| 메시지만 받았고 누르지 않음 | 링크를 열지 않고 공식 앱의 알림 확인 |
| 페이지를 열었지만 입력하지 않음 | 입력·다운로드를 멈추고 창을 닫은 뒤 공식 경로로 확인 |
| 비밀번호나 인증번호를 입력함 | 공식 앱·주소로 접속해 계정 보호 절차와 최근 활동 확인 |
입력한 정보가 있는 경우에는 어떤 서비스의 무엇을 입력했는지부터 적습니다. 계정 비밀번호, 일회용 번호, 결제정보는 대응 경로가 다를 수 있습니다. 추가 인증을 도와주겠다는 메시지에 다시 응답하지 말고 해당 서비스의 공식 보안 안내와 고객지원을 이용하세요. 조직 계정이라면 담당자에게 알리고 받은 메시지와 발생 시각을 보존합니다.
확인 요청도 원래 연락처로 하세요
지인이 보낸 링크여도 이상한 요청이라면 평소 쓰던 전화번호나 다른 연락수단으로 확인합니다. 의심 메시지에 답장하면 같은 발신자를 다시 신뢰하는 흐름이 되기 쉽습니다. “방금 보낸 파일이 맞는지”처럼 요청 자체를 확인하고, 비밀번호나 인증번호를 전달해서 확인하지 마세요.
피싱이 의심되는 이메일을 신고할 때는 사용 중인 메일 서비스의 신고 기능을 확인합니다. 다른 사람에게 주의를 알리려면 원본 링크를 쉽게 누를 수 있게 재전송하기보다 주소 일부를 가리거나 화면을 공유하는 방식이 낫습니다. 캡처에는 이름, 전화번호, 계정정보가 드러나지 않는지도 살펴보세요.
급할수록 “메시지가 요구하는 행동”과 “내가 직접 확인한 사실”을 한 줄씩 따로 적어 보세요. 계정 정지를 주장하는 문구와 실제 공식 앱의 상태가 구분되면, 낯선 페이지에서 급하게 인증할 이유가 있는지 더 차분히 판단할 수 있습니다.