모르는 번호에서 온 문자에 링크가 달려 있다면, 누르기 전에 이 글을 먼저 읽어야 한다. 스미싱 피해의 97%는 링크를 누른 순간 시작되기 때문에, 클릭 전 30초만 점검하면 거의 모든 피해를 막을 수 있다. 그런데 요즘 스미싱 문자는 정부기관·택배사·카드사 문자와 구분이 안 될 만큼 정교해졌는데, 어떤 신호를 보면 가짜임을 알 수 있을까.
✅ 발신번호 형식으로 1차 구분 가능
✅ 클릭 전 3단계 점검이 핵심
1왜 스미싱이 점점 구분하기 어려워졌을까요?
첫 번째 이유는 발신번호 위변조 기술의 발전이다. 과거에는 070 인터넷전화나 해외 번호(+국가코드)에서 오는 경우가 많아 쉽게 걸러졌지만, 현재는 국내 010 번호를 그대로 복제해 발신하는 기술이 상용화되어 있다.
2023년 과학기술정보통신부 통계 기준으로 스미싱 신고 건수가 연간 50만 건을 넘었고, 그중 발신번호 위변조 비율이 60% 이상이었다.
두 번째 이유는 문자 내용의 개인화다. 예전에는 '당신이 당첨됐습니다'처럼 불특정 다수에게 뿌리는 방식이었지만, 지금은 이름·주소·최근 택배 배송 여부까지 담긴 맞춤형 문자가 온다.
개인정보 유출 데이터베이스가 다크웹에서 거래되고 있기 때문이다.
세 번째 이유는 단축 URL 사용이다. 카카오, 네이버, 쿠팡 등 실제 기업들도 문자에 단축 URL을 쓰기 때문에, 일반인은 'bit.ly/xxxxx'나 'naver.me/xxxxx' 형태만 봐서는 진짜와 가짜를 구분할 수 없다.
이 점을 공격자들이 정확히 이용한다.
2발신번호만 봐도 걸러지는 경우가 있을까요?
있다. 아래 패턴이 보이면 클릭 없이 바로 차단해도 된다.
첫째, 국제번호 형식(+82로 시작하는 국내 번호 포함)으로 온 문자에 한글 링크가 달린 경우다. 국내 공식 기관은 +82 형태로 문자를 보내지 않는다.
둘째, 발신번호가 4~6자리 단문 숫자인데 내용이 개인 금융 관련인 경우다. 은행의 공식 SMS 발신번호는 '15XX-XXXX' 형식이거나 '국민은행', 'KB국민카드'처럼 이름이 등록된 번호로 온다.
셋째, 발신번호 없이 '광고' 표시가 붙어 있는데 링크가 포함된 경우다. 합법적인 광고 문자도 링크를 포함할 수 있지만, 광고 표시 문자에서 금융·정부 서비스 링크를 클릭하는 건 위험하다.
문자 내용에서 스미싱 신호를 읽는 3단계 점검법
클릭 전 30초 동안 아래 3단계를 순서대로 확인한다.
1단계. 링크 도메인 미리 보기 (소요 시간: 10초)
문자 내 링크를 누르지 말고 손가락으로 길게 누른다(갤럭시·아이폰 공통, 1초 이상 꾹 누르기). 팝업 창에 실제 URL 전체가 표시된다.
이때 도메인 부분을 확인한다. 예를 들어 '국민건강보험공단'인 척하는 문자라면 실제 도메인이 'nhis.or.kr'이어야 하는데, 'nhis-notice.com'이나 'nhiskr.net'처럼 비슷하지만 다른 도메인이 보이면 100% 스미싱이다.
2단계. 링크 도메인 구조 확인 (소요 시간: 10초)
정부기관은 반드시 '.go.kr', 공공기관은 '.or.kr', 금융기관은 '.co.kr' 또는 '.com'을 사용한다. 'gov-kr.com'이나 'go.kr.notice-center.net'처럼 '.go.kr'이 도메인 중간에 끼어 있는 형태는 눈속임이다.
도메인에서 맨 오른쪽 두 개 단위(예: '.go.kr')가 진짜 소속을 나타낸다는 원칙을 기억하면 된다.
3단계. 내용이 요구하는 행동 확인 (소요 시간: 10초)
진짜 공공기관이나 금융기관은 문자 하나로 '지금 당장 앱 설치', '주민등록번호 입력', '계좌번호 인증'을 요구하지 않는다. 특히 '오늘 중으로 처리하지 않으면 계정 정지'처럼 긴박감을 만드는 표현은 스미싱의 99% 공통 특징이다.
3이미 링크를 눌렀다면 어떻게 해야 할까요?
당황하지 말고 즉시 아래 순서대로 행동한다.
1번. 와이파이와 모바일 데이터를 모두 끈다.
갤럭시는 상단 알림바를 내려 와이파이·데이터 아이콘을 각각 탭해 비활성화, 아이폰은 설정 앱 최상단에서 '비행기 모드' 활성화(가장 빠름). 악성 앱이 설치 중이라면 통신 차단으로 추가 데이터 전송을 막을 수 있다.
2번. 링크를 누른 것만으로는 감염이 확정되지 않는다.
대부분의 피해는 이후 단계인 '앱 설치 허용'이나 '개인정보 입력'에서 발생한다. 페이지가 열린 것에서 멈췄다면 앱 설치 화면이 떴는지 확인하고, 뜨지 않았다면 브라우저만 닫으면 된다.
3번. 앱 설치까지 됐다면 즉시 설치된 앱을 삭제하고 한국인터넷진흥원(KISA) 보호나라 앱을 설치해 악성코드 여부를 점검한다.
보호나라 앱은 구글 플레이스토어에서 '보호나라'로 검색하면 KISA 공식 배포 버전이 나온다. 무료이고 2분 내로 검사 완료된다.
4번. 금융 정보를 입력했다면 즉시 해당 금융기관 고객센터에 전화해 카드 정지 및 비밀번호 변경을 요청한다.
농협 1588-2100, 국민카드 1588-1688, 신한카드 1544-7000처럼 각 기관 공식 번호는 카드 뒷면이나 금융감독원 홈페이지(fss.or.kr)에서 확인한다.
스미싱 의심 문자를 신고하는 가장 빠른 방법
신고는 두 가지 경로 중 편한 곳을 쓰면 된다.
첫째, 스마트폰 기본 메시지 앱에서 해당 문자를 꾹 눌러 '스팸 신고' 또는 '불법 스팸 신고' 선택. 갤럭시 기준으로 메시지 앱 내 문자 선택 후 우측 상단 더보기(점 세 개) 탭 → '신고' 순서다.
신고 즉시 한국인터넷진흥원으로 자동 전송된다.
둘째, 문자를 캡처해 KISA 스팸 신고 이메일(spam@kisa.or.kr)로 전송하거나, 118 전화 신고도 가능하다. 118은 24시간 운영한다.
4초보가 자주 하는 실수 2가지
첫 번째 실수는 '통신사 공식 앱에서 왔으니까 안전하다'고 믿는 것이다. KT, SKT, LGU+ 명의로 온 것처럼 보이는 문자도 발신번호 위변조로 얼마든지 만들 수 있다.
공식 통신사 공지는 T월드, KT닷컴, U+멤버십 등 공식 앱 내 '알림' 탭에서 교차 확인해야 한다.
두 번째 실수는 백신 앱이 없으면 무조건 안전하지 않다고 생각해 출처 불명의 보안 앱을 설치하는 것이다. 스미싱 범죄자들은 '당신 폰이 감염됐습니다.
지금 바로 이 보안앱을 설치하세요'라는 문자 자체를 스미싱으로 쓴다. 안드로이드 기준 구글 플레이 프로텍트(설정 → 앱 → 구글 플레이 프로텍트)가 기본으로 활성화되어 있으며, 이것만으로도 알려진 악성 앱의 99.6%를 차단한다(구글 2023년 보안 보고서 기준).
추가 백신 앱이 필요하다면 반드시 구글 플레이스토어나 앱스토어를 통해 공식 배포된 것만 설치해야 한다.
답글 남기기