택배 배송 안내, 카드 결제 알림, 모바일 청첩장처럼 일상적인 문자에도 스미싱 링크가 숨어 있을 수 있습니다. 특히 실제로 택배를 기다리거나 결제를 한 직후라면 의심 없이 링크를 누르기 쉽습니다.

문자 내용이 내 상황과 맞거나 아는 사람의 번호로 왔다는 이유만으로 안전하다고 판단해서는 안 됩니다. 링크를 열기 전에 발신 경로와 주소를 확인하고, 의심스러우면 공식 확인 서비스를 이용하는 것이 좋습니다.

1. 문자에서 어떤 행동을 요구하는지 먼저 확인하기

스미싱은 문자메시지로 가짜 사이트 접속이나 악성앱 설치를 유도해 개인정보와 금융정보 등을 빼내는 수법입니다. 다음과 같이 불안감이나 긴급함을 이용하는 문구는 한 번 더 확인해야 합니다.

문자 내용 예시	링크 대신 확인할 방법
택배 주소 오류로 배송이 중단되었습니다	주문한 쇼핑몰이나 택배 공식 앱에서 배송 조회
해외 결제가 승인되었습니다	카드사 공식 앱에서 승인 내역 확인
과태료를 오늘까지 납부하세요	해당 기관의 공식 홈페이지나 앱에서 조회
환급금 수령 기한이 임박했습니다	해당 기관의 공식 서비스에서 대상 여부 확인
모바일 청첩장·부고장을 확인하세요	기존에 저장한 연락처로 발신자에게 확인
예약 취소를 막으려면 카드를 다시 등록하세요	예약한 플랫폼의 앱에서 예약 상태 확인

이러한 문구가 있다고 모두 스미싱은 아닙니다. 다만 문자 링크를 거치지 않고 동일한 내용을 확인할 수 있는지부터 살펴보세요.

실제로 KISA는 유출된 숙박 예약정보를 이용해 호텔 직원을 사칭하고, 예약 취소 방지나 결제 확인을 이유로 카드정보 입력을 유도하는 사례를 안내했습니다. 내 이름이나 예약정보가 정확하더라도 안심할 수 없는 이유입니다. krcert.or.kr

공식 출처: KISA 여행 예약 플랫폼 관련 스미싱 주의 권고
https://www.krcert.or.kr/kr/bbs/view.do?bbsId=B0000133&menuNo=205020&nttId=72049

2. 아는 번호와 익숙한 이름도 별도로 확인하기

모르는 번호에서 온 문자만 위험한 것은 아닙니다. 지인의 휴대전화가 악성앱에 감염되면 저장된 연락처를 대상으로 스미싱 문자가 다시 발송될 수 있습니다.

따라서 평소 연락하던 사람에게 청첩장이나 부고장 링크가 왔더라도, 예상하지 못한 내용이라면 먼저 확인하세요. KISA도 지인에게 받은 문자에 인터넷주소가 포함돼 있다면 클릭 전에 전화로 확인하도록 안내합니다. krcert.or.kr

확인할 때는 문자 본문에 새로 적힌 연락처보다 기존에 저장해 둔 번호를 이용하는 것이 좋습니다. 기관이나 기업을 사칭한 문자는 공식 앱 또는 별도로 확인한 대표번호로 문의하세요.

문장에 오타가 없거나 기관 로고가 첨부돼 있다는 것도 안전을 보장하지 않습니다. 문구와 이미지는 얼마든지 복제할 수 있습니다.

공식 출처: KISA 스미싱 예방 FAQ
https://www.krcert.or.kr/kr/bbs/view.do?bbsId=B0000131&menuNo=205056&nttId=70221

3. 링크를 열지 않고 주소의 구조 살펴보기

문자에 표시된 주소를 읽을 때는 기관 이름이 들어 있는지만 보지 말고, 실제 도메인을 확인해야 합니다.

예를 들어 다음은 주소 구조를 설명하기 위한 가상 예시입니다. .example은 설명용이며 실제 서비스 주소가 아닙니다.

주소 예시	확인할 점
parcel.example	서비스의 공식 도메인인지 별도 확인 필요
parcel.example.delivery-check.example	실제로는 delivery-check.example 아래의 주소
delivery-check.example/parcel	서비스 이름이 도메인이 아닌 경로에 포함됨
짧게 줄여진 주소	표시된 문자만으로 최종 목적지를 알기 어려움

주소 앞에 익숙한 이름이 있어도 실제 운영 주체가 같다는 뜻은 아닙니다. 철자를 비슷하게 바꾸거나 ‘인증’, ‘보안’, ‘배송’에 해당하는 단어를 덧붙인 주소도 주의해야 합니다.

단축주소는 정상 서비스에서도 사용하므로 짧다는 이유만으로 사기라고 단정할 수는 없습니다. 다만 목적지를 확인하기 어렵다면 직접 열어 시험하지 말고 공식 앱이나 확인 서비스를 이용하세요.

또한 https://로 시작한다는 사실은 연결 암호화와 관련된 것이며, 발신자나 사이트의 신뢰성을 보장하지 않습니다.

공식 출처: Chrome 사이트 연결 보안 안내
https://support.google.com/chrome/answer/95617?hl=ko

4. 보호나라 스미싱 확인서비스 이용하기

눈으로 확인하기 어렵다면 한국인터넷진흥원에서 제공하는 보호나라 스미싱 확인서비스를 이용할 수 있습니다. 의심 문자를 직접 열어보지 않고 메시지를 제출해 악성 여부를 확인하는 방법입니다.

이용 순서는 다음과 같습니다.

1. 카카오톡에서 KISA의 ‘보호나라’ 공식 채널을 찾습니다.
2. 채널의 스미싱 확인 메뉴를 선택합니다.
3. 의심 문자에서 링크를 열지 말고 문자 내용 전체를 복사합니다.
4. 확인서비스 입력창에 붙여 넣어 제출합니다.
5. 접수 결과를 확인합니다.

문자를 복사할 때는 링크 자체를 누르기보다 문자 말풍선의 복사 기능을 이용하세요. 기기와 문자 앱에 따라 조작 방식이 다르므로, 링크 미리보기나 열기를 선택하지 않도록 주의합니다.

KISA 안내에 따르면 결과는 ‘정상’, ‘주의’, ‘악성’으로 구분됩니다. 최초 신고된 메시지는 ‘주의’로 표시될 수 있으며, 약 10분 후 다시 검사하도록 안내합니다. boho.or.kr

확인 결과	권장 행동
정상	판정 결과를 참고하되 실제 업무는 공식 앱에서 확인
주의	안전하다는 의미가 아니므로 링크를 열지 말고 재확인
악성	링크를 열지 않고 신고·차단 후 삭제

어떤 검사도 모든 신종 사기를 완벽하게 걸러낸다고 볼 수는 없습니다. 확인 결과와 별개로 비밀번호나 결제정보 입력, 앱 설치를 요구한다면 해당 기관에 다시 확인하세요.

공식 출처: 보호나라 스미싱 확인서비스 이용 안내
https://www.boho.or.kr/kr/subPage.do?menuNo=205116

5. 문자 링크 대신 공식 앱에서 같은 내용을 조회하기

일상에서 가장 쉽게 적용할 수 있는 방법은 문자는 알림으로만 보고, 실제 확인은 공식 앱에서 하는 것입니다.

예를 들어 택배 주소 오류 문자를 받았다면 문자 링크에서 주소를 수정하지 말고, 주문한 쇼핑몰의 주문 내역을 먼저 확인하세요. 카드 결제 문자도 카드사 앱의 이용 내역을 확인하면 됩니다.

공식 앱에 관련 내역이 없거나 안내 내용이 서로 다르다면 고객센터에 문의하세요. 이때 문자에 적힌 번호를 그대로 이용하지 말고 기존 공식 앱이나 카드 뒷면 등에서 확인한 연락처를 사용합니다.

이렇게 하면 문자에 포함된 주소가 복잡하거나 진위를 판단하기 어려워도, 의심 사이트에 접속하지 않고 필요한 업무를 확인할 수 있습니다.

6. 앱 설치와 인증번호 요구가 나오면 진행 중단하기

스미싱 문자는 단순 조회처럼 시작하더라도, 접속 후에는 앱 설치나 인증번호 입력을 요구할 수 있습니다.

특히 다음과 같은 안내는 진행을 멈추고 확인해야 합니다.

• 배송 조회를 위해 별도 설치파일을 실행하라는 안내
• 청첩장을 보려면 휴대전화 보안 설정을 해제하라는 안내
• 환급금 수령을 위해 카드 비밀번호를 입력하라는 안내
• 계좌 보호를 위해 원격제어 앱을 설치하라는 안내
• 본인확인을 이유로 수신한 인증번호를 전달하라는 안내

인증번호는 단순 확인용 숫자가 아닐 수 있습니다. 모바일 결제나 계정 접근에 사용될 수 있으므로, 내가 시작한 절차인지와 인증 문자에 적힌 목적을 확인해야 합니다.

KISA는 신뢰할 수 있는 사이트에만 개인정보를 입력하고, 인증번호가 모바일 결제로 이어질 수 있으므로 주의하라고 안내합니다. spam.kisa.or.kr

공식 출처: KISA 불법스팸대응센터 스미싱 예방 안내
https://spam.kisa.or.kr/spam/na/ntt/selectNttInfo.do?bbsId=1001&mi=1019&nttSn=2781

7. 이미 링크를 눌렀다면 행동에 따라 대응하기

링크를 눌렀다는 사실만으로 곧바로 악성앱 감염이나 금전 피해가 확정되는 것은 아닙니다. 다만 아무 문제가 없다고 단정하지 말고, 이후 어떤 행동을 했는지 확인해야 합니다.

웹페이지만 열어본 경우
페이지를 닫고 추가 입력이나 다운로드를 하지 마세요. 알 수 없는 파일이 내려받아졌는지 확인하고, 브라우저와 운영체제를 최신 상태로 유지합니다.

비밀번호나 카드정보를 입력한 경우
신뢰할 수 있는 다른 기기에서 해당 서비스의 비밀번호를 변경하고, 카드사나 금융회사에 노출 사실을 알려 필요한 이용 제한 조치를 안내받으세요.

앱을 설치하거나 권한을 허용한 경우
해당 휴대전화에서 금융거래를 멈추고 다른 전화기로 상담을 받으세요. 설치파일만 삭제했다고 이미 설치된 앱까지 제거되는 것은 아니므로 점검이 필요합니다.

송금이나 모르는 결제가 발생한 경우
은행·카드사·통신사 등 관련 사업자에 즉시 연락해 피해 사실을 알리고 지급정지 또는 결제 피해 대응을 요청하세요. 긴급한 범죄 피해는 경찰 112에 신고할 수 있습니다.

스미싱이나 악성앱 관련 상담은 KISA 118을 이용할 수 있습니다. kisa.kr

공식 출처: 한국인터넷진흥원 118 상담 안내
https://www.kisa.kr/118

문자 링크 클릭 전 확인할 체크리스트

• 내가 신청하거나 이용한 서비스와 관련된 문자인가?
• 긴급한 결제나 개인정보 입력을 재촉하지 않는가?
• 발신자를 기존 연락처나 공식 고객센터로 확인했는가?
• 주소가 공식 도메인과 정확하게 일치하는가?
• 단축주소나 낯선 주소라면 확인서비스를 이용했는가?
• 문자 링크 대신 공식 앱에서 같은 내용을 확인할 수 있는가?

스미싱을 예방하려면 모든 가짜 문자를 눈으로 구별하려 하기보다, 확인되지 않은 링크를 열지 않고 공식 경로에서 업무를 처리하는 습관이 중요합니다. 판단이 어려운 문자는 보호나라 확인서비스로 점검하고, 확인 전에는 개인정보 입력이나 앱 설치를 진행하지 마세요.