택배·청첩장 사칭 문자, 스미싱 구별하고 차단·신고하는 법
"택배 주소가 잘못됐으니 확인하세요", "청첩장을 보냅니다", "교통법규 위반 내역을 조회하세요". 이런 문자에 링크가 붙어 있다면 스미싱을 의심해야 한다. 스미싱은 문자메시지(SMS)와 피싱(phishing)을 합친 말로, 악성 앱 주소가 담긴 문자를 대량으로 뿌려 이용자가 앱을 깔게 만든 뒤 금융정보 등을 빼내는 수법이다. 구별법과 대응 순서를 정리해 둔다.
이런 문자가 스미싱이다
한국인터넷진흥원(KISA) 안내를 보면 스미싱 문자에는 공통된 특징이 있다.
- 주소를 짧게 줄인 단축 URL로 실제 도착지를 숨기고, 정상 사이트를 흉내 낸 가짜 페이지로 연결한다.
- 크롬, Play 스토어, 민원24 같은 정상 앱을 사칭한 악성 앱 설치를 유도하고, 설치 과정에서 과도한 권한을 요구한다.
- 지인 초대장, 택배 배송 알림, 공공기관 사칭, 사회적 이슈처럼 누구나 눌러 볼 만한 미끼를 쓴다.
정리하면 모르는 번호가 보낸 문자 속 링크와 앱 설치 유도는 일단 의심하는 것이 안전하다. 문자에 링크 대신 QR코드를 넣어 스캔을 유도하는 큐싱(quishing) 수법도 퍼지고 있다. QR코드도 결국 특정 주소로 연결되는 통로이므로, 출처가 불분명한 QR은 문자 속 링크와 똑같이 취급해 함부로 찍지 않는 것이 좋다.
이미 눌렀거나 앱을 깔았다면
실수로 링크를 열거나 앱을 설치했다면 순서대로 대응한다. 먼저 모바일 백신으로 악성 앱을 검사해 삭제한다. 안드로이드라면 다운로드(Download) 폴더에 남은 설치 파일(APK)까지 지운다. 다음으로 통신사 고객센터에 연락해 나도 모르게 결제된 소액결제 내역이 있는지 확인한다. 금융정보가 입력됐을 가능성이 있으면 공동인증서(공인인증서)를 폐기하고 재발급받는다. 마지막으로 KISA 118 신고센터에 신고해 추가 피해와 재발을 막는다. 118은 24시간 무료로 운영되며 스미싱을 포함한 사이버 침해 상담을 받을 수 있다.
애초에 당하지 않으려면
가장 확실한 예방은 의심 문자의 링크를 아예 누르지 않는 것이다. 여기에 더해 안드로이드는 설정에서 출처를 알 수 없는 앱 설치를 차단해 두면, 문자로 유도한 악성 앱 설치를 한 단계 더 막을 수 있다. 통신사 고객센터나 앱을 통해 소액결제 자체를 차단하거나 한도를 낮춰 두면 피해 금액을 원천적으로 줄일 수 있다. 스마트폰에 기본 탑재된 스팸 문자 차단 기능을 켜 두는 것도 도움이 된다.
부모님처럼 문자에 익숙하지 않은 가족이 있다면 이 설정들을 대신 점검해 두는 것이 특히 효과적이다. 스미싱은 판단이 흐려지는 순간을 노리기 때문에, 출처 불명 앱 설치 차단과 소액결제 한도 조정처럼 한 번 걸어 두면 계속 작동하는 방어막을 미리 만들어 두는 편이 실수에 기대는 것보다 안전하다. 모바일 백신 앱을 깔아 두고 정기적으로 검사하도록 설정해 두는 것도 함께 권할 만하다.
헷갈릴 때의 원칙
택배사, 은행, 공공기관을 사칭한 문자는 점점 정교해진다. 진짜인지 헷갈린다면 문자 속 링크나 전화번호를 쓰지 말고, 해당 기관의 공식 앱을 직접 열거나 공식 대표번호로 확인하는 것이 원칙이다. 문자가 재촉할수록 한 박자 멈추는 편이 안전하다. 대부분의 사기는 "지금 빨리 눌러야 한다"는 압박에서 시작되기 때문이다.