피싱 메일과 가짜 로그인 페이지를 구별하는 체크리스트

피싱 메일 구별법은 발신자 이름보다 실제 주소와 링크의 최종 도메인을 확인하고, 로그인은 메일 속 버튼이 아닌 공식 경로에서 진행하는 데서 시작합니다. 로그인 페이지가 정교해 보여도 주소가 공식 도메인과 다르거나 비밀번호 입력을 재촉하면 의심해야 합니다.

공격자는 정상 서비스의 로고와 문구를 복사하므로 화면의 모양만 믿지 않고, 메일·링크·로그인 절차를 따로 확인해야 안전합니다.

메일을 열었을 때 먼저 보이는 이상 신호

가장 먼저 볼 곳은 발신자 이름이 아니라 이메일 주소입니다. 이름이 회사의 보안팀으로 표시돼도 주소가 무료 메일 서비스이거나, 회사 도메인과 비슷하지만 철자가 다른 도메인이면 의심 대상입니다. 예를 들어 글자 하나를 바꾸거나 하이픈을 넣은 주소는 눈으로 빠르게 읽을 때 놓치기 쉽습니다.

다만 발신자 주소가 정상처럼 보인다고 안전한 것은 아닙니다. 거래처 계정이 탈취됐거나 발신 주소가 위조된 경우에는 실제 조직의 주소에서 피싱 메일이 올 수도 있습니다. 주소는 첫 번째 필터이지 최종 확인 수단이 아닙니다.

본문에는 다음과 같은 압박 신호가 자주 나타납니다.

• 결제 실패, 계정 정지, 보안 문제를 이유로 즉시 확인하라고 합니다.
• 확인하지 않으면 이용이 제한된다는 식으로 불안감을 키웁니다.
• 평소 담당자나 서비스가 쓰지 않던 말투와 번역투가 섞여 있습니다.
• 첨부파일을 열거나 로그인한 뒤 회신하라고 요구합니다.

문장이 자연스럽고 로고가 정확해도 판단은 달라지지 않습니다. 실제 기관이 보낸 안내와 같은 내용인지 해당 기관의 앱 알림, 공식 고객센터, 기존에 저장한 연락처로 별도 확인하세요.

링크 주소에서 확인할 도메인과 우회 수법

컴퓨터에서는 링크에 마우스를 올렸을 때 브라우저 하단에 표시되는 주소를 먼저 봅니다. 모바일에서는 링크를 길게 눌러 주소를 미리 확인할 수 있지만, 실수로 열지 않도록 주의해야 합니다. 클릭한 뒤 주소창을 확인하는 것보다 클릭 전에 살피는 편이 낫습니다.

주소는 앞부분보다 마지막에 가까운 등록 도메인이 중요합니다. 주소가 `login.example.com`이라면 example.com 아래일 가능성이 있지만, `example.com.login-check.net`이라면 실제 도메인은 login-check.net입니다. `example.com`이라는 글자가 주소 안에 있다는 이유만으로 공식 사이트라고 보면 안 됩니다.

철자를 바꾼 도메인, 숫자와 영문을 섞은 도메인, 짧은 주소, 여러 번 다른 사이트로 이동하는 링크는 의심을 높입니다. 링크가 정상 주소를 가리키더라도 탈취된 정상 사이트나 광고 추적 주소가 중간에 쓰일 수 있으므로, 메일에서 바로 로그인하지 않는 원칙이 더 안전합니다.

반대로 주소가 낯설다는 이유만으로 무조건 피싱이라고 단정할 수는 없습니다. 기업이 사용하는 외부 메일 발송 서비스나 인증 서비스가 별도 도메인을 쓰는 경우도 있습니다. 이때는 메일 안의 링크를 신뢰하지 말고, 해당 서비스의 공식 안내 페이지나 관리자가 공지한 도메인 목록에서 확인해야 합니다.

가짜 로그인 페이지를 화면만 보고 판단하지 않는 법

가짜 페이지는 로고, 메뉴, 고객센터 문구까지 복사해 진짜 사이트처럼 보일 수 있습니다. 따라서 디자인의 완성도보다 주소창과 입력 흐름을 확인하세요. 비밀번호뿐 아니라 이메일, 휴대전화 번호, 인증번호, 복구 코드, 카드 정보를 한 번에 요구하면 계정 탈취나 결제정보 수집을 의심해야 합니다.

자물쇠 아이콘과 HTTPS도 안전을 보증하지 않습니다. HTTPS는 브라우저와 해당 주소 사이의 통신을 암호화한다는 뜻이지, 그 사이트가 공식 기관이라는 뜻은 아닙니다. 피싱 사이트도 인증서를 사용해 HTTPS로 열릴 수 있습니다.

비밀번호 관리 프로그램을 사용한다면 자동 입력이 되는지 확인하는 방법이 도움이 됩니다. 정상 사이트의 저장된 주소와 현재 주소가 다르면 자동 입력이 되지 않는 경우가 많습니다. 다만 자동 입력 기능이 항상 모든 피싱을 차단하는 것은 아니며, 회사 정책이나 브라우저 설정에 따라 동작이 달라질 수 있습니다.

페이지가 로그인 실패를 반복시키거나 인증번호를 여러 번 요구하면 즉시 중단합니다. 정상적인 로그인 오류일 수도 있지만, 입력 정보를 수집한 뒤 다시 입력하게 만드는 방식일 수도 있어 메일로 돌아가 재시도하지 않는 편이 안전합니다.

메일을 믿어도 되는지 독립적으로 확인하는 절차

메일 속 연락처와 전화번호는 공격자가 만든 정보일 수 있습니다. 업무 메일이라면 기존 거래처 주소록, 사내 메신저, 계약서에 기록된 연락처처럼 메일 밖의 경로로 보낸 사람이 실제 요청을 했는지 확인합니다. 송금 계좌 변경, 대량 파일 공유, 관리자 권한 요청처럼 손실이 큰 요청은 한 가지 확인만으로 처리하지 않는 것이 좋습니다.

개인 서비스라면 브라우저에 공식 주소를 직접 입력하거나 검색 결과에서 공식 사이트를 확인한 뒤 로그인합니다. 검색 광고나 상단 결과가 항상 안전한 것은 아니므로 주소를 다시 읽어야 합니다. 이미 해당 서비스의 공식 앱이 설치돼 있다면 앱에서 알림과 계정 상태를 확인하는 방법도 있습니다.

메일에 답장해 “정말 보낸 것이 맞나요”라고 묻는 것은 충분하지 않습니다. 공격자가 같은 대화에 계속 답할 수 있기 때문입니다. 특히 급한 결제나 계정 복구 요청은 다른 담당자에게 별도 채널로 확인한 뒤 처리하세요.

클릭하거나 정보를 입력한 뒤의 대응 순서

링크만 열고 아무것도 입력하지 않았다면 페이지를 닫고 다운로드된 파일과 브라우저 알림 권한을 확인합니다. 파일을 내려받아 실행했다면 네트워크를 잠시 끊고 보안 프로그램의 최신 검사 기능으로 점검합니다. 회사 컴퓨터라면 임의로 삭제하거나 포맷하기보다 발생 시각과 메일 원문을 보존해 내부 담당자에게 전달해야 원인 추적이 가능합니다.

비밀번호를 입력했다면 먼저 공식 사이트를 직접 열어 비밀번호를 변경하고, 같은 비밀번호를 쓴 다른 계정도 각각 바꿉니다. 이어서 모든 기기에서 로그아웃하는 기능, 등록된 복구 이메일과 전화번호, 로그인 기록, 다중 인증 설정을 확인합니다. 인증번호까지 입력했다면 공격자가 이미 세션을 확보했을 가능성을 고려해 활성 세션 종료를 우선해야 합니다.

카드나 계좌 정보를 입력했거나 금전 이체까지 했다면 해당 금융기관의 공식 채널로 거래 정지와 후속 조치를 문의합니다. 업무 계정이면 관리자에게 계정 잠금, 메일 자동 전달 규칙, 의심스러운 로그인 기록을 확인해 달라고 요청합니다. 별다른 이상이 없어 보여도 비밀번호 변경과 세션 점검을 끝내야 합니다.

지금 받은 메일은 발신자 주소를 펼쳐 보고, 링크를 누르지 않은 상태에서 최종 도메인을 확인한 뒤 공식 앱이나 직접 입력한 주소에서 같은 알림이 있는지 대조하면 됩니다. 입력했다면 비밀번호 변경, 세션 종료, 관리자 또는 금융기관 통보 순서로 바로 대응하세요.