이메일 첨부파일을 열기 전에 피싱메일인지 확인하는 방법

2026년 11월 9일 읽는 시간 약 11분

견적서, 세금계산서, 이력서, 계약서처럼 업무에 필요한 파일이 이메일로 도착하면 바로 열어보기 쉽습니다. 하지만 익숙한 문서 이름과 거래처 로고를 사용해 악성파일 실행이나 계정 비밀번호 입력을 유도하는 피싱메일도 있습니다.

첨부파일을 열기 전에는 발신자, 메일을 받을 이유, 실제 파일 형식, 보안 경고를 확인해야 합니다. 아는 사람이 보낸 것처럼 보여도 평소와 다른 요청이 있다면 별도 연락으로 확인하는 것이 좋습니다.

1. 보낸 사람의 이름보다 실제 이메일 주소 확인하기

메일 목록에 표시되는 이름은 발신자의 신원을 보증하지 않습니다. ‘은행 고객센터’, ‘거래처 회계팀’, ‘택배 배송센터’처럼 익숙한 이름으로 표시돼도 실제 주소는 다른 곳일 수 있습니다.

보낸 사람 옆의 상세정보를 펼쳐 다음 항목을 확인하세요.

실제 이메일 주소가 기존에 연락하던 주소와 일치하는지
@ 뒤의 도메인이 해당 기관이나 회사의 공식 주소인지
비슷한 영문자나 숫자로 바뀐 부분이 없는지
회신 주소가 발신 주소와 다르게 지정돼 있는지

회신 주소가 다르거나 외부 발송 서비스를 사용한다고 모두 사기는 아닙니다. 다만 설명되지 않는 차이가 있다면 확인이 필요합니다.

또한 실제 거래처의 계정이 탈취됐을 수도 있으므로 주소가 맞다는 이유만으로 첨부파일까지 안전하다고 판단해서는 안 됩니다. Gmail도 발신자 이름과 주소, 이메일 인증 여부 등을 함께 확인하도록 안내합니다.

공식 출처: Gmail 피싱메일 예방 및 신고 안내
https://support.google.com/mail/answer/8253?hl=ko

2. 내가 기다리던 파일인지 확인하기

파일 이름이 그럴듯한지보다 중요한 것은 내가 이 파일을 받을 이유가 있는지입니다.

메일 내용	열기 전에 확인할 내용
견적서·계약서	실제로 견적이나 계약을 요청했는지
세금계산서·청구서	거래한 업체와 금액·거래 시점이 맞는지
이력서·포트폴리오	실제 채용 중이며 지원 경로가 맞는지
배송·통관 서류	주문한 상품과 관련된 안내인지
과태료·법적 통지	해당 기관의 공식 경로에서 확인 가능한지
계정 정지·보안 안내	공식 앱이나 홈페이지에도 관련 알림이 있는지

“오늘 안에 확인하지 않으면 계정이 정지됩니다”, “첨부된 서류를 즉시 실행하세요”처럼 행동을 재촉하는 내용도 주의하세요.

확인이 필요하면 해당 메일에 그대로 답장하기보다 기존에 저장한 전화번호나 평소 사용하던 메신저로 문의합니다. 메일 서명에 새로 적힌 연락처 역시 사칭된 정보일 수 있습니다.

예를 들어 거래처에는 다음처럼 확인할 수 있습니다.

“오늘 보내신 것으로 표시된 계약서 메일을 받았습니다. 실제로 발송하셨는지와 첨부파일 이름을 확인해 주세요.”

3. 파일 아이콘보다 전체 파일명과 확장자 확인하기

PDF 아이콘이 보이거나 파일 이름에 ‘계약서’가 들어 있어도 실제 문서 파일이라는 뜻은 아닙니다. 파일명을 끝까지 확인하고, 운영체제의 파일 형식 정보도 함께 살펴보세요.

파일 형식 예시	주의할 점
`.exe`, `.msi`	프로그램 실행·설치 파일이므로 문서라고 생각하고 실행하면 안 됨
`.js`, `.vbs`, `.bat`, `.cmd`, `.ps1`	스크립트나 명령을 실행할 수 있음
`.lnk`	다른 프로그램이나 명령을 실행하는 바로가기일 수 있음
`.docm`, `.xlsm`	매크로를 포함할 수 있는 Office 문서
`.zip`, `.7z`, `.rar`	내부 파일의 종류와 암호화 여부를 별도로 확인해야 함
`.html`, `.htm`	브라우저에서 가짜 로그인 화면을 표시할 수 있음
`.pdf`, `.docx`, `.xlsx`, `.hwp`, `.hwpx`	문서 형식이어도 악성 링크나 취약점 악용 가능성을 배제할 수 없음

예를 들어 계약서.pdf.exe는 PDF 문서가 아니라 실행파일입니다. 파일 확장자가 숨겨져 있으면 앞부분만 보고 착각할 수 있습니다.

이 표의 특정 확장자만 피하면 안전해지는 것은 아닙니다. 파일 형식은 위험을 판단하는 단서이며, 발신자와 업무 맥락 확인이 함께 필요합니다.

Windows는 인터넷이나 이메일에서 받은 파일의 출처 정보를 활용해 경고를 표시하거나 실행을 제한할 수 있습니다. 이러한 경고를 없애기 위해 보안 설정을 해제하지 마세요.

공식 출처: Microsoft Windows 첨부파일 관리자 안내
https://support.microsoft.com/en-gb/windows/security/information-about-the-attachment-manager-in-microsoft-windows

4. ‘첨부파일 확인’ 버튼이 실제로는 로그인 링크일 수 있음

메일 본문에 ‘PDF 열기’, ‘보안문서 확인’, ‘첨부파일 다운로드’ 버튼이 있다고 해서 실제 파일이 첨부된 것은 아닙니다. 버튼을 누르면 피싱사이트로 이동하도록 만들어졌을 수 있습니다.

다음 상황에서는 비밀번호를 입력하지 말고 멈추세요.

문서를 보려는데 갑자기 이메일 계정 비밀번호를 요구하는 경우
익숙한 로그인 화면이지만 주소가 공식 도메인과 다른 경우
파일을 보려면 인증번호나 복구코드를 제출하라는 경우
기존 문서 공유 방식과 달리 낯선 사이트로 연결되는 경우

정상적인 클라우드 문서 공유도 로그인을 요구할 수 있습니다. 따라서 로그인 요청 자체를 사기라고 단정하기보다, 공식 서비스에 직접 접속해 공유 문서가 있는지 확인하는 것이 좋습니다.

KISA는 정부기관을 사칭한 메일에서 ‘공고문 및 첨부파일(PDF) 확인’ 버튼을 누르게 한 뒤 메일 비밀번호를 입력하도록 유도하는 사례를 안내했습니다.

공식 출처: KISA 정부 사칭 메일 주의 안내
https://spam.kisa.or.kr/spam/na/ntt/selectNttInfo.do?bbsId=1001&mi=1019&nttSn=3162

5. 암호가 걸린 압축파일은 ‘보안 문서’라는 말만 믿지 않기

비밀번호가 설정된 압축파일이나 문서는 정상 업무에서도 사용됩니다. 하지만 암호화 때문에 메일 서비스가 내부 내용을 검사하지 못할 수 있습니다.

다음 조합이라면 추가 확인이 필요합니다.

예상하지 못한 압축파일이 도착한 경우
본문에 비밀번호가 적혀 있고 즉시 압축을 풀라고 하는 경우
내부 파일을 실행해야 문서가 보인다고 안내하는 경우
백신을 끄거나 차단을 해제하라고 요구하는 경우

Gmail은 비밀번호가 필요한 일부 암호화 첨부파일을 바이러스 검사할 수 없다고 안내합니다. ‘검사할 수 없음’은 ‘안전함’과 다릅니다.

의심스러운 파일은 검사를 해보겠다며 먼저 내려받지 말고 발신자에게 확인하세요. 업무용 자료라면 회사 보안 담당자에게 정해진 방식으로 전달하는 것이 좋습니다. 계약서나 고객정보가 포함된 파일을 공개 온라인 검사 서비스에 임의로 올리는 것도 피해야 합니다.

공식 출처: Gmail 의심스러운 첨부파일 안내
https://support.google.com/mail/answer/30719?hl=ko

6. ‘편집 사용’과 ‘콘텐츠 사용’을 무조건 누르지 않기

문서를 열었을 때 보호된 보기나 매크로 차단 안내가 나타날 수 있습니다. 이것은 파일이 악성이라고 확정하는 표시가 아니라, 신뢰되지 않은 파일의 동작을 제한하는 보호 기능입니다.

특히 문서 안에 다음과 같은 안내가 있으면 주의하세요.

내용이 안 보이면 매크로를 허용하세요.
보안 경고를 해제해야 계약서를 확인할 수 있습니다.
백신의 오진이므로 실시간 보호를 끄세요.
파일 속성에서 차단을 해제하세요.

‘편집 사용’과 매크로 실행을 허용하는 ‘콘텐츠 사용’은 같은 기능이 아닙니다. 다만 어느 쪽이든 파일의 출처와 필요성을 확인하지 않은 상태에서 보호 기능을 해제해서는 안 됩니다.

Microsoft는 악성 매크로가 악성코드와 랜섬웨어 유포에 사용될 수 있어 인터넷에서 받은 Office 파일의 매크로를 기본 차단하는 정책을 안내합니다.

공식 출처: Microsoft 인터넷 파일의 매크로 차단 안내
https://learn.microsoft.com/en-us/deployoffice/security/internet-macros-blocked

7. 인증 표시와 백신 검사 결과에도 한계가 있음

메일 서비스의 발신 인증과 악성코드 검사는 유용하지만, 첨부파일의 안전을 완전히 보장하지는 않습니다.

Gmail에서는 발신자 상세정보에서 발송 도메인과 서명 도메인을 확인할 수 있습니다. 인증되지 않은 메일에는 주의가 필요하지만, 정상적인 단체메일도 인증 문제를 겪을 수 있습니다. 반대로 공격자가 자신이 소유한 도메인으로 정상 인증을 통과한 피싱메일을 보낼 수도 있습니다.

따라서 다음 세 가지를 구분해야 합니다.

발신 인증 통과: 발송 도메인 관련 인증을 통과했다는 의미
백신에서 미탐지: 검사 시점에 위협이 탐지되지 않았다는 의미
업무상 신뢰 가능: 실제 발신자와 파일의 목적을 별도로 확인해야 하는 사항

웹메일의 미리보기나 Office의 보호된 보기도 위험을 줄이는 수단입니다. 의심 파일을 시험 삼아 열어도 되는 보증은 아닙니다.

공식 출처: Gmail 메일 인증 확인
https://support.google.com/mail/answer/180707?hl=ko

8. 이미 첨부파일을 열었다면 행동에 따라 대응하기

파일을 열었다는 사실만으로 감염이 확정되지는 않습니다. 그러나 프로그램을 실행했거나 매크로를 허용했다면 신속한 점검이 필요합니다.

진행한 행동	우선 대응
메일만 읽고 첨부파일은 열지 않음	피싱 신고 기능을 이용하고 추가 상호작용 중단
파일을 내려받았지만 열지 않음	실행하지 말고 발신 확인 또는 보안 담당자에게 문의
문서를 열었지만 추가 기능은 허용하지 않음	문서를 닫고 보안 검사 및 업데이트 상태 확인
실행파일·스크립트 실행 또는 매크로 허용	네트워크 연결을 끊고 보안 담당자나 전문 상담에 연락
가짜 페이지에 비밀번호 입력	신뢰할 수 있는 다른 기기에서 비밀번호 변경 및 세션 종료
카드·계좌정보 입력 또는 송금	관련 금융회사에 즉시 노출·피해 사실 신고