피싱 사기 구별법｜가짜 메일·가짜 사이트 확인 순서

피싱이 성립하는 구조

피싱은 진짜와 똑같은 로그인 화면을 준비해 두고, 그곳으로 유도해 입력하게 만드는 수법입니다. 기술적으로 고도한 공격이 아니며, 성패를 가르는 것은 문구를 만드는 방식입니다. 공통점은 생각할 시간을 주지 않는 구조로 되어 있다는 것입니다.

• 기한을 정한다: "24시간 이내에 절차를 밟지 않으면 계정을 정지합니다"
• 손실을 내비친다: "부정 사용이 감지되었습니다" "택배를 반송합니다"
• 수고가 적어 보이게 한다: "아래 링크에서 확인만 하시면 됩니다"
• 문구가 짧다: 판단 근거를 일부러 줄이고 있다
• 실존하는 기업 이름을 쓴다: 익숙한 로고와 색으로 위화감을 없앤다

거꾸로 말하면 '서두르고 있다'고 느낀 시점에 일단 손을 멈추는 것만으로 대부분은 막을 수 있습니다. 정말로 중요한 알림이라면 공식 앱이나 즐겨찾기로 다시 들어가도 같은 내용을 확인할 수 있을 것입니다. 메일이나 문자의 링크를 누르지 않고 확인하는 경로를 가지고 있는 것이 가장 확실한 대책입니다.

메일·문자를 열었을 때의 확인 순서

1. 1

   ① 발신인의 도메인을 끝까지 본다

   표시 이름은 자유롭게 설정할 수 있으므로 봐야 할 것은 '@' 뒤입니다. amazon.co.jp.example.com처럼 진짜 도메인을 앞쪽에 두고 다른 도메인에 매다는 수법이 대표적입니다. 도메인은 오른쪽 끝부터 읽는 것이 기본입니다.

2. 2

   ② 링크의 URL을 누르지 않고 확인한다

   PC라면 링크에 커서를 올리면 표시됩니다. 스마트폰이라면 길게 눌러 미리 볼 수 있습니다. 여기서도 보는 것은 도메인의 오른쪽 끝입니다.

3. 3

   ③ 자신의 상황과 비교한다

   주문하지 않은 택배, 쓰지 않는 서비스, 짐작 가지 않는 결제. 전제가 맞지 않는다면 더 읽을 필요가 없습니다.

4. 4

   ④ 링크를 누르지 않고 공식 경로로 확인한다

   공식 앱이나 자신의 즐겨찾기로 엽니다. 정말로 절차가 필요하다면 그곳에도 같은 알림이 떠 있습니다.

5. 5

   ⑤ 판단이 서지 않으면 공식 문의 창구로

   메일에 적힌 전화번호가 아니라 공식 사이트에 게재된 번호로 거세요. 연락처까지 위장되어 있다는 전제로 움직입니다.

다섯째 줄은 특히 오해가 많은 부분입니다. 자물쇠 표시(HTTPS)는 '통신이 암호화되어 있다'는 것만 보여 줍니다. 가짜 사이트도 취득할 수 있으므로 안전의 증명이 되지 않습니다. 판단에 쓰는 것은 도메인 이름 그 자체입니다.

로그인 화면이 나왔을 때의 확인

링크를 열어 버렸더라도 입력하기 전이라면 피해는 생기지 않습니다. 로그인 화면이 나오면 입력하기 전에 다음을 확인하세요.

• 주소창의 도메인을 오른쪽 끝부터 읽는다. 서브도메인이 아니라 끝의 두 부분이 공식인지
• 비밀번호 관리 앱이 자동 입력하지 않는다면 URL이 저장된 것과 다를 가능성이 높다
• 말투가 부자연스럽다, 글꼴이나 여백이 공식 사이트와 다르다, 링크 대부분이 작동하지 않는다
• 개인 정보를 한꺼번에 묻는다. 비밀번호, 카드 뒷면의 보안 코드, 계좌 번호를 한 화면에서 요구한다
• 원래 로그인 후에만 나오는 정보가 로그인 전부터 표시되어 있다

덧붙여 2단계 인증 코드를 알아내는 수법도 있습니다. 가짜 사이트에 입력하게 한 ID와 비밀번호를 공격자가 진짜 사이트에 즉시 흘려 넣고, 도착한 코드를 이어서 입력하게 하는 방법입니다. '코드를 입력하세요'라고 표시되어도 그 화면이 진짜인지는 따로 확인할 필요가 있습니다.

입력해 버렸을 때의 대처

알아차린 시점에 순서대로 손을 씁니다. 당황해서 전부를 동시에 하려고 하면 빠뜨리는 것이 생기므로 위에서부터 차례로 처리하세요.

1. 1

   ① 그 서비스의 비밀번호를 변경한다

   가짜 사이트가 아니라 공식 앱이나 즐겨찾기로 다시 들어가서 변경합니다. 이미 로그인할 수 없다면 다음 단계로 넘어갑니다.

2. 2

   ② 같은 비밀번호를 돌려쓰는 다른 서비스도 변경한다

   피해가 퍼지는 것은 여기입니다. 같은 조합으로 다른 서비스 로그인이 시도되므로 짐작 가는 것은 모두 바꿉니다.

3. 3

   ③ 2단계 인증을 켠다

   비밀번호가 새도 추가 확인이 있는 상태로 만듭니다. 인증 앱을 쓰는 방식이 문자 메시지보다 튼튼합니다.

4. 4

   ④ 카드 정보를 입력했다면 카드사에 연락한다

   사용 정지와 재발급을 요청합니다. 연락처는 카드 뒷면이나 공식 사이트에 적힌 것을 쓰고, 메일에 적힌 번호는 쓰지 않습니다.

5. 5

   ⑤ 로그인 기록과 연동 앱을 확인한다

   기억에 없는 로그인이나, 멋대로 추가된 연동 앱·전달 설정이 없는지 봅니다. 메일 자동 전달 설정은 특히 놓치기 쉽습니다.

6. 6

   ⑥ 필요에 따라 상담한다

   금전 피해가 생긴 경우나 직장 계정과 관련된 경우에는 경찰의 사이버 범죄 상담 창구나 사내 정보 보안 담당자에게 연락합니다.

비밀번호를 다시 만들 때는 이전 것을 조금만 바꾼 문자열로 하지 마세요. 유출된 비밀번호는 추측의 출발점이 됩니다. 무작위로 생성한 문자열을 서비스마다 따로 할당하는 것이 확실합니다.

다음을 대비하는 설정

가장 효과가 큰 것은 첫째 줄입니다. 피싱의 실제 피해는 도난당한 조합이 다른 서비스에서 시도되면서 퍼집니다. 서비스마다 무작위 문자열을 할당해 두면 피해는 그 1건에서 멈춥니다. 비밀번호 생성 도구에서는 길이와 문자 종류를 지정해 그 자리에서 만들 수 있습니다.

• 중요도가 높은 계정(메일·결제·SNS)부터 순서대로 대처한다
• 메일 계정이 최우선. 여기를 빼앗기면 다른 서비스의 재설정에 쓰입니다
• 쓰지 않는 서비스는 탈퇴해 둔다. 관리 대상을 줄이는 것도 대책 중 하나입니다
• 가족과 공유하는 계정은 공유를 그만두거나 전용 방법으로 바꾼다

자주 묻는 질문

자물쇠 표시가 있으면 안전한가요?

아니요. 자물쇠 표시는 통신이 암호화되어 있다는 것만 보여 줄 뿐, 운영자가 진짜인지는 보여 주지 않습니다. 인증서는 누구나 취득할 수 있으므로 가짜 사이트에도 자물쇠 표시가 나옵니다. 확인해야 할 것은 도메인 이름 그 자체로, 오른쪽 끝부터 읽어 공식인지 보세요.

메일을 열기만 해도 위험한가요?

본문을 표시하기만 해서 곧바로 피해가 생기는 일은 보통 없습니다. 위험한 것은 링크를 열어 정보를 입력하는 것, 첨부 파일을 여는 것입니다. 다만 이미지 로딩으로 열람 사실이 상대에게 전달될 수 있으므로, 명백한 사기 메일은 열지 말고 삭제하는 것이 무난합니다.

링크를 열어 버렸지만 아무것도 입력하지 않았습니다.

그 시점에서는 정보가 넘어가지 않았습니다. 페이지를 닫고, 그 사이트에서 오는 알림은 무시하세요. 만일을 위해 그 서비스의 로그인 기록을 공식 앱에서 확인해 기억에 없는 로그인이 없는지 봐 두면 안심입니다.

비밀번호를 입력해 버렸습니다. 무엇부터 해야 하나요?

먼저 그 서비스의 비밀번호를 공식 앱이나 즐겨찾기에서 변경하고, 다음으로 같은 비밀번호를 돌려쓰는 다른 서비스를 모두 변경하세요. 이어서 2단계 인증을 켭니다. 카드 정보도 입력했다면 카드 뒷면의 번호로 카드사에 연락하세요.