1. 발신자 이름보다 요구하는 행동을 살피기
피싱은 익숙한 사람이나 기관을 흉내 내어 개인정보를 얻거나 계정에 접근하려는 시도입니다. 이메일뿐 아니라 문자, 광고, 웹페이지로도 나타날 수 있습니다. 문장이 자연스럽거나 로고가 정확하다는 이유만으로 정상 안내라고 판단하지 마세요.
- 예고 없이 계정 정지나 긴급 결제를 내세우며 즉시 행동하라고 재촉하는가?
- 로그인 정보, 카드 정보, 인증 코드 또는 파일 실행을 요구하는가?
- 내가 실제로 시작한 주문·로그인·상담과 연결되는 요청인가?
이 항목들은 피싱을 자동 판정하는 점수표가 아닙니다. 하나라도 설명하기 어려우면 링크를 누르거나 답장하기 전에 독립된 경로로 사실을 확인하기 위한 질문입니다.
2. 메시지 밖에서 같은 내용을 확인하기
- 메시지의 로그인·상담 버튼을 사용하지 않고, 평소 사용하던 서비스 앱이나 직접 확인해 둔 웹사이트를 엽니다.
- 그 안의 주문 내역이나 계정 알림에서 같은 일이 있는지 확인합니다. 일치하지 않는다고 곧바로 사기라고 단정하지 말고, 서비스가 제공하는 연락 경로로 문의합니다.
- 지인을 사칭한 요청이면 메시지에 새로 적힌 번호 대신 원래 알고 있던 연락 수단으로 본인에게 확인합니다.
링크 글자와 실제 이동 주소는 다를 수 있습니다. 주소가 짧게 감춰져 있거나 모바일에서 목적지를 확실히 볼 수 없다면, 확인을 위해 굳이 열지 않아도 됩니다. HTTPS가 있어도 발신자의 주장이 참이라는 뜻은 아닙니다.
문의할 때 의심스러운 링크를 가족이나 동료에게 그대로 전달해 열어 보라고 요청하지 마세요. 필요한 문구만 설명하고 개인정보는 빼는 방식이 낫습니다.
3. 로그인 비밀과 화면 공유 요청에서 멈추기
비밀번호와 일회용 인증 코드는 로그인 권한과 연결됩니다. 복구 코드도 계정에 다시 접근하기 위한 비밀입니다. 상대가 상담원이나 보안 담당자라고 주장하더라도 메시지나 통화로 이 정보를 전달하지 마세요.
내가 시작하지 않은 로그인 승인 요청은 승인하지 않습니다. 상대가 불러 주는 절차를 따라 화면을 공유하거나 원격 제어 앱을 설치하는 것도 중단합니다. 계정 확인이 필요하면 대화를 끝내고 서비스 안의 보안 설정에서 직접 확인하세요.
메시지 속 경고를 해결하려고 브라우저 보호 기능을 끄거나 별도의 보안 프로그램을 내려받지 않습니다. 브라우저 경고의 의미는 웹사이트 보안 경고 확인법에서 따로 설명합니다.
4. 이미 입력했다면 계정 보호를 먼저 진행하기
의심스러운 페이지에 비밀번호를 제출했다면 그 페이지로 돌아가 취소하려 하지 마세요. 신뢰할 수 있는 기기에서 해당 서비스의 계정 보호 절차를 직접 시작합니다. 아래는 Google 계정 도움말을 바탕으로 정리한 순서이며, 다른 서비스의 메뉴는 다를 수 있습니다.
- 비밀번호를 변경합니다. 같은 비밀번호를 다른 계정에도 사용했다면 그 계정들도 각각 변경합니다.
- 최근 보안 활동과 로그인된 기기를 확인하고 모르는 활동을 서비스의 안내에 따라 처리합니다.
- 복구용 연락처와 보안 설정이 바뀌지 않았는지 확인하고 2단계 인증 설정을 검토합니다.
- 로그인할 수 없으면 서비스의 공식 계정 복구 절차를 이용합니다. 복구를 대행해 준다는 낯선 상대에게 코드를 주지 않습니다.
결제 정보까지 전달했다면 카드사나 금융회사의 기존 앱·카드에 기재된 연락처로 즉시 문의하세요. 비밀번호 변경만으로 모든 피해가 해결된다고 생각해서는 안 됩니다.
5. 신고 자료는 필요한 만큼만 남기기
계정 보호 후에는 메일 서비스의 피싱 신고 기능 등 해당 서비스가 제공하는 신고 경로를 이용합니다. 일반적인 스팸 삭제와 피싱 신고 메뉴는 구분되어 있을 수 있으므로 화면의 설명을 읽어 선택하세요.
자신이 한 행동, 수신 시각, 발신자 표시, 오류 문구를 간단히 기록하면 상담에 도움이 됩니다. 공유용 캡처에는 이름, 전화번호, 계정 주소와 결제 내역을 가리세요. 로그인 코드·복구 코드·신분증 사본은 공개 게시판에 올리지 않습니다.
파일을 실행했거나 원격 제어를 허용했다면 단순한 메시지 신고만으로 끝내지 말고 기기 점검도 요청합니다. 회사·학교 기기는 담당자에게 알리고, 증거를 없앨 수 있는 임의 초기화는 먼저 진행하지 않습니다.