은행 홈페이지와 똑같은 화면이 나타났다고 해서 바로 로그인해도 괜찮을까요? 피싱사이트는 은행 로고와 로그인 화면, 보안 안내 문구까지 복제해 개인정보와 금융정보 입력을 유도합니다.

따라서 화면이 익숙하다는 이유만으로 비밀번호를 입력하면 안 됩니다. 접속 경로, 실제 주소, 연결 상태, 요구하는 정보를 차례대로 확인해야 합니다. 은행 로그인 전에 실천할 수 있는 점검 방법을 알아보겠습니다.

1. 문자와 이메일 속 링크로 접속했다면 먼저 멈추기

“계좌 이용이 제한되었습니다”, “보안 인증을 갱신하세요”, “대출 금리 인하 대상입니다”라는 안내를 받으면 급한 마음에 링크부터 누르기 쉽습니다. 하지만 은행을 사칭하는 피싱도 이러한 방식으로 가짜 로그인 화면에 접속하도록 유도합니다.

문자나 이메일의 링크를 통해 로그인 화면을 열었다면, 정보를 입력하기 전에 해당 창을 닫고 기존에 이용하던 공식 은행 앱을 직접 실행하는 것이 좋습니다. PC에서는 미리 확인해 둔 은행 공식 주소를 주소창에 직접 입력해 접속하세요.

검색 결과를 이용할 때도 은행 이름이나 상단 노출 여부만으로 판단하지 말고 실제 연결 주소를 확인해야 합니다. 링크에 표시된 글자와 실제 이동하는 주소가 다를 수도 있습니다.

KB국민은행도 피싱 예방 안내에서 금융거래 사이트에 접속할 때 주소를 직접 입력하고, 의심스러운 사이트에서 금융정보를 입력하지 않도록 안내합니다. 피싱/파밍차단 프로그램 안내 )

공식 안내: KB국민은행 피싱·파밍 예방
https://obank.kbstar.com/quics?page=C034307

2. 주소에 은행 이름이 있는지보다 실제 도메인이 맞는지 확인하기

피싱사이트 주소에는 실제 은행 이름이 포함되기도 합니다. 그래서 주소에 익숙한 단어가 보인다는 것만으로는 안전하다고 판단할 수 없습니다.

주소를 확인할 때는 브라우저 주소창을 눌러 전체 주소를 펼친 뒤, https:// 다음부터 첫 번째 / 앞까지의 호스트 이름을 살펴보세요. 화면 안에 적힌 주소나 로고가 아니라 브라우저 자체의 주소창을 확인하는 것이 핵심입니다.

다음은 주소 구조를 설명하기 위한 예시입니다. .example은 설명용 도메인이며 실제 은행 접속 주소가 아닙니다.

주소 예시	확인해야 할 내용
https://obank.kbstar.com/…	KB국민은행 공식 안내에서 확인되는 호스트
https://kbstar.com.login-check.example/…	kbstar.com이 앞에 있지만 실제로는 login-check.example 아래의 주소
https://login-check.example/kbstar.com	은행 이름이 도메인이 아니라 뒤쪽 경로에 포함된 주소
https://kbstar-secure.example/…	은행 이름에 보안 관련 단어를 붙인 별도의 주소

특히 다음과 같은 경우에는 로그인을 멈추고 확인하세요.

• 평소 주소에 없던 단어나 하이픈이 추가된 경우
• 영문자와 숫자가 비슷하게 바뀐 경우
• 은행 이름 뒤에 낯선 도메인이 더 붙어 있는 경우
• 짧은 링크를 거쳐 최종적으로 어디에 접속했는지 불분명한 경우

은행이 여러 공식 도메인을 사용하는 경우도 있으므로, 낯선 주소를 무조건 가짜라고 단정할 필요는 없습니다. 다만 확인되지 않은 주소에서는 금융정보를 입력하지 않는 것이 안전합니다.

공식 안내: 찾기쉬운 생활법령정보 피싱 대처방안
https://www.easylaw.go.kr/CSP/CnpClsMain.laf?ccfNo=2&cciNo=1&cnpClsNo=2&csmSeq=1592

3. HTTPS와 자물쇠 표시만 믿지 않기

주소가 https://로 시작하거나 연결이 안전하다는 표시가 있어도, 그것만으로 해당 사이트가 은행 공식 홈페이지라는 뜻은 아닙니다.

HTTPS는 브라우저와 해당 사이트 사이에서 주고받는 정보를 암호화하는 연결 방식입니다. 사이트 운영자가 신뢰할 수 있는 은행인지까지 보증하는 표시는 아닙니다. 가짜 사이트와의 연결에도 암호화가 적용될 수 있습니다.

Chrome 공식 도움말에서도 안전한 연결 상태이더라도 주소창의 사이트 이름을 확인하라고 안내합니다. 브라우저 버전에 따라 표시되는 아이콘이 다를 수 있으므로 자물쇠 모양의 유무만으로 판단하지 마세요. Google Chrome 고객센터

공식 안내: Chrome 사이트 연결이 안전한지 확인
https://support.google.com/chrome/answer/95617?hl=ko

4. 브라우저 보안 경고가 나오면 우회하지 않기

은행에 접속했는데 다음과 같은 경고가 나타난다면 로그인을 진행하지 마세요.

• 연결이 비공개로 설정되어 있지 않습니다.
• 사이트 인증서에 문제가 있습니다.
• 위험한 사이트 또는 사기성 사이트입니다.
• 연결이 안전하지 않습니다.

인증서 경고는 기기의 날짜 설정이나 네트워크 문제 등으로 나타날 수도 있습니다. 따라서 경고가 곧 피싱을 확정하는 것은 아닙니다. 하지만 원인이 확인되지 않은 상태에서 ‘계속 진행’이나 ‘고급 설정’을 눌러 은행 비밀번호를 입력하는 것은 피해야 합니다.

창을 닫고 신뢰할 수 있는 다른 기기에서 공식 은행 앱으로 확인하거나, 은행 고객센터에 문의하세요. Chrome 역시 위험한 페이지에서는 개인정보를 입력하지 말라고 안내합니다.

Google Chrome 고객센터

공식 안내: Chrome 안전 및 보안 설정
https://support.google.com/chrome/answer/10468685?hl=ko

5. 로그인에 필요하지 않은 금융정보를 요구하는지 살펴보기

주소뿐 아니라 화면에서 요구하는 정보도 확인해야 합니다. 피싱사이트는 보안 강화나 본인확인을 핑계로 필요 이상의 정보를 한꺼번에 수집하려고 합니다.

다음과 같은 요구가 나타나면 입력을 중단하세요.

화면에서 요구하는 내용	대응 방법
보안카드 번호 전체 입력 또는 사진 제출	입력하거나 전송하지 않기
로그인과 무관한 단계에서 인증서 비밀번호 요구	진행을 멈추고 은행에 확인하기
직접 신청하지 않은 이체·인증 요청 승인	승인하지 않고 거래 내역 확인하기
계좌 보호를 위해 다른 계좌로 송금	송금하지 않고 공식 고객센터에 확인하기
보안 점검을 위한 원격제어 앱 설치	설치를 멈추고 접속 경로 확인하기

OTP나 인증 요청 자체가 모두 사기는 아닙니다. 정상적인 금융거래에서도 사용됩니다. 중요한 기준은 내가 직접 시작한 거래인지, 인증 화면의 거래 내용이 내가 하려던 작업과 일치하는지입니다.

KB국민은행은 보안카드 전체 번호 입력과 해당 거래에 필요하지 않은 금융정보 요구를 주의하도록 안내합니다. 피싱/파밍차단 프로그램 안내 )

공식 안내: KB국민은행 피싱·파밍 예방
https://obank.kbstar.com/quics?page=C034307

6. 보안 프로그램 설치 안내도 접속 경로부터 확인하기

은행 업무 중 정상적인 보안 프로그램 설치 안내가 나올 수 있습니다. 따라서 설치 안내가 있다는 이유만으로 피싱이라고 단정할 수는 없습니다.

다만 문자나 상담 채팅으로 전달된 설치파일, 출처를 알 수 없는 앱 파일, 원격제어 프로그램을 설치하라는 요청은 따로 확인해야 합니다.

설치가 필요하다면 확인된 은행 공식 홈페이지의 안내를 이용하세요. 스마트폰 앱도 공식 홈페이지에서 안내하는 앱스토어 경로와 개발사 정보를 확인하는 것이 좋습니다.

특히 “보안 기능을 꺼야 접속할 수 있다”, “화면을 공유해야 계좌를 보호할 수 있다”는 안내에 따라 설정을 변경하지 마세요. 의심스러운 프로그램을 이미 설치했다면 해당 기기에서 금융거래를 중단하고 점검을 받는 것이 우선입니다.

악성앱이나 해킹·바이러스 관련 상담은 한국인터넷진흥원 118 상담 서비스를 이용할 수 있습니다. kisa.kr

공식 안내: 한국인터넷진흥원 118 상담
https://www.kisa.kr/118

7. 이미 비밀번호를 입력했다면 즉시 대응하기

피싱이 의심되는 사이트에 정보를 입력했다면 로그인 버튼을 눌렀는지와 관계없이 노출 가능성을 고려해야 합니다. 웹페이지가 입력 중인 정보를 수집하도록 만들어졌을 수도 있기 때문입니다.

먼저 추가 입력과 인증 승인을 멈추고, 노출한 정보에 따라 대응하세요.

아이디와 비밀번호를 입력한 경우
신뢰할 수 있는 다른 기기에서 공식 은행 앱이나 홈페이지로 접속해 비밀번호를 변경하세요. 같은 비밀번호를 사용하는 다른 서비스도 변경하고, 은행에 노출 사실을 알리세요.

보안카드·OTP·인증서 정보를 입력한 경우
은행 공식 고객센터에 즉시 연락해 전자금융 이용 제한, 보안매체 재발급, 인증서 폐기·재발급 등 필요한 조치를 안내받으세요. 비밀번호 변경만으로 대응을 끝내지 않는 것이 중요합니다.

돈을 보냈거나 모르는 출금이 발생한 경우
해당 금융회사에 즉시 피해 사실을 알리고 지급정지를 요청하세요. 긴급한 범죄 피해는 경찰 112로 신고할 수 있습니다. 신속하게 신고하더라도 피해금 반환이 보장되는 것은 아니므로 최대한 빨리 대응해야 합니다. kfcpf.or.kr

문의할 때는 의심 사이트에 표시된 전화번호를 사용하지 말고, 은행 카드나 기존 공식 앱 등 별도로 확인한 연락처를 이용하세요. 악성앱 설치가 의심된다면 다른 전화기로 연락하는 것이 좋습니다.

공식 안내: 한국금융소비자보호재단 피해 대응 안내
https://kfcpf.or.kr/front/protect/reportingAgency.do

은행 로그인 전 최종 체크리스트

비밀번호를 입력하기 전에 다음 항목을 확인해 보세요.

• 문자·이메일 링크가 아닌 확인된 경로로 접속했는가?
• 주소창의 실제 도메인이 공식 주소와 일치하는가?
• 연결·인증서·위험 사이트 경고가 없는가?
• 보안카드 전체 번호 등 과도한 정보를 요구하지 않는가?
• 내가 시작하지 않은 거래나 인증을 승인하라고 하지 않는가?
• 출처가 불분명한 프로그램 설치를 요구하지 않는가?

이 항목을 모두 통과했다고 안전이 완전히 보장되는 것은 아닙니다. 주소를 직접 입력해도 악성코드 때문에 가짜 사이트로 연결되는 파밍이 있을 수 있어 기기와 브라우저의 보안 업데이트도 필요합니다.

조금이라도 이상하다면 입력을 멈추고, 공식 은행 앱이나 별도로 확인한 고객센터를 통해 확인하세요. 익숙한 화면보다 실제 주소와 거래 내용을 확인하는 습관이 금융정보를 지키는 데 도움이 됩니다.