피싱·가짜 도메인 확인 8단계

Step 1

링크의 출처와 감정적 압박을 분리하세요

피싱 메시지는 ‘지금 확인하지 않으면 계정 정지’, ‘오늘 안에 환불’, ‘본인 인증 필요’처럼 판단 시간을 줄입니다. 발신자 이름은 위조할 수 있고, 지인의 계정도 탈취될 수 있습니다. 이전 대화와 문체가 맞는지, 요청을 다른 연락 수단으로 확인할 수 있는지 살펴보세요.

검색 광고, 짧은 주소, QR 코드도 목적지를 가릴 수 있습니다. 민감한 작업은 링크에서 시작하지 말고 브라우저 즐겨찾기, 설치된 앱 또는 직접 입력한 대표 주소에서 시작하는 편이 안전합니다.

Step 2

표시 문구가 아니라 실제 목적지를 보세요

컴퓨터에서는 링크 위에 포인터를 올려 브라우저가 보여 주는 목적지를 확인할 수 있습니다. 모바일에서는 링크를 길게 눌렀을 때 미리보기가 제공되기도 하지만, 실수로 열거나 복사 과정에서 위험할 수 있으므로 자신 없으면 상호작용하지 마세요.

링크 검사 서비스에 민감한 개인용 URL을 그대로 제출하면 URL 안의 토큰이나 계정 정보가 제3자에게 전달될 수 있습니다. 비밀번호 재설정 링크, 초대 링크, 개인 문서 링크는 공개 검사 도구에 넣지 않는 것이 안전합니다.

Step 3

주소창에서 ‘등록 가능한 핵심 도메인’을 찾으세요

호스트 이름은 점으로 나뉩니다. 일반적인 login.example.com에서 서비스가 관리하는 핵심은 example.com입니다. 반면 example.com.login-check.test의 핵심 도메인은 login-check.test이며, 앞부분의 example.com은 속이기 위한 하위 도메인일 수 있습니다.

• 철자 한 글자 추가·삭제, 숫자와 알파벳 치환을 확인합니다.
• @, 과도한 하이픈, 매우 긴 하위 도메인으로 진짜 주소를 가리는지 봅니다.
• 예상하지 못한 국가·일반 최상위 도메인으로 바뀌었다면 운영 주체의 안내에서 별도로 확인합니다.

도메인이 최근 등록됐다는 사실이나 등록자 정보가 가려졌다는 사실만으로 사기라고 단정할 수는 없습니다. 정상 서비스도 새 도메인을 쓰거나 개인정보 보호 대행을 이용합니다. 반대로 오래된 도메인도 탈취될 수 있으므로 여러 신호를 함께 보세요.

Step 4

한글 도메인·Punycode와 닮은 문자를 확인하세요

국제화 도메인은 한글 등 비ASCII 문자를 사용할 수 있으며, DNS에서는 xn--로 시작하는 Punycode 형태로 표현됩니다. xn-- 자체는 정상적인 기술 표기이고 위험 표시가 아닙니다. 문제는 서로 다른 문자 체계에서 모양이 비슷한 글자를 섞어 잘 알려진 이름처럼 보이게 만드는 경우입니다.

브라우저가 주소를 Punycode로 표시하거나 예상한 철자와 조금이라도 다르면 로그인하지 말고, 해당 서비스의 앱 또는 이미 저장한 즐겨찾기에서 다시 접근하세요. 복사한 도메인을 등록 정보 도구로 확인할 때에도 결과 한 가지로 결론 내리지 마세요.

Step 5

HTTPS는 암호화이지 신뢰 보증이 아닙니다

HTTPS는 브라우저와 현재 연결된 서버 사이의 전송 내용을 암호화하고 인증서가 해당 호스트에 유효한지 확인합니다. 그러나 그 서버를 운영하는 사람이 선의인지, 상품 설명이 진실인지, 입력한 정보가 적절하게 처리되는지까지 보증하지 않습니다. 피싱 운영자도 자신이 소유한 도메인에 유효한 인증서를 발급받을 수 있습니다.

인증서 오류나 브라우저의 연결 경고는 우회하지 마세요. 자물쇠가 보여도 도메인 철자, 서비스 안의 연락처·정책, 요구 정보와 결제 조건을 계속 확인해야 합니다.

Step 6

리디렉션과 브라우저 경고를 존중하세요

링크를 누른 뒤 주소가 한두 번 바뀌는 것은 로그인·결제 사업자 연결 등 정상적인 이유도 있습니다. 하지만 전혀 관련 없는 도메인을 연속으로 거치거나, 새 창·알림 허용·파일 다운로드를 강요하면 닫는 편이 안전합니다. 최종 주소만 보지 말고 예상한 이동이었는지 판단하세요.

브라우저나 운영체제가 위험 사이트, 안전하지 않은 다운로드, 인증서 문제를 경고하면 ‘계속’ 버튼을 누르지 마세요. 경고가 오탐이라고 주장하는 페이지의 설명보다, 독립적으로 확인한 대표 주소와 보안 도구를 우선합니다.

Step 7

비밀번호 관리자와 요청 정보로 로그인 화면을 검증하세요

비밀번호 관리자는 저장된 정확한 도메인에서만 자동 입력을 제안하는 경우가 많습니다. 평소 자동 입력되던 계정이 갑자기 채워지지 않으면 도메인을 다시 확인하세요. 그렇다고 자동 입력만으로 안전을 확정하지는 말고, 주소와 화면의 맥락도 함께 봅니다.

비밀번호, 일회용 인증번호, 복구 코드, 신분증, 카드 보안코드는 유출 시 피해가 큽니다. 무료 체험이나 연령 확인을 핑계로 과도한 정보를 요구하거나 개인 계좌·가상자산 송금을 재촉하면 진행을 멈추세요.

Step 8

독립된 두 경로에서 교차 확인하세요

의심 링크 자체가 제공한 고객센터나 배지를 사용하지 말고, 기억하고 있던 앱·청구서·대표 도메인처럼 독립된 경로에서 운영 주체의 주소를 찾으세요. 알려진 위험 URL 조회와 도메인 등록 정보는 보조 자료로 활용하되, ‘결과 없음’, 오래된 도메인, 공개된 등록자 중 어느 하나도 신뢰를 보장하지 않습니다.

더 많은 공공 점검·신고 창구는 안전 디렉터리에서 확인할 수 있습니다.

이미 클릭하거나 정보를 입력했다면