“[Web발신] 택배 주소지가 정확하지 않아 반송 예정입니다. 확인 → hxxp://…” 이런 문자를 받고 무심코 링크를 누를 뻔한 적, 한 번쯤 있으실 겁니다. 스미싱(문자로 악성 앱·가짜 사이트로 유도해 돈이나 개인정보를 빼가는 사기)은 요즘 맞춤법도 완벽하고 관공서 로고까지 도용해서 눈으로 구별하기 점점 어려워졌습니다. 이 글에서는 스미싱 문자를 구별하는 기준과, 이미 링크를 눌러버렸을 때 순서대로 뭔 해야 하는지까지 한 번에 정리했습니다.

스미싱은 왜, 어떻게 당하게 될까

스미싱의 핵심은 “급한 마음을 만들어 판단을 흐리는 것”입니다. 택배 반송, 교통 범칙금, 건강검진 통지, 지원금 신청 마감처럼 지금 확인하지 않으면 손해 볼 것 같은 상황을 만들어 링크를 누르게 합니다.

링크를 누르면 보통 두 가지 중 하나가 일어납니다. 첫째, 정상 앱처럼 보이는 악성 앱(APK 파일)이 설치되어 문자·연락처·인증번호를 빼가고 소액결제를 일으킵니다. 둘째, 진짜와 똑같이 생긴 가짜 사이트로 연결해 아이디·비밀번호·카드번호를 직접 입력하게 만듭니다. 원리를 알면 대응도 명확해집니다. 급할수록 멈추고, 링크가 아니라 공식 경로로 직접 확인하는 것이 모든 예방의 출발점입니다.

스미싱 문자 구별하는 5가지 기준

다음 중 하나라도 걸리면 일단 의심하세요.

1. 링크(URL)가 이상하다. 공식 기관은 짧은 단축 URL이나 낯선 도메인을 잘 쓰지 않습니다. ‘gov’처럼 보이게 ‘g0v’, ‘kakao’ 대신 ‘kakoa’처럼 한 글자를 바꿼 주소가 많습니다.

2. 앱 설치나 파일 다운로드를 요구한다. 정상적인 택배·공공기관 안내는 문자 링크로 앱(APK) 설치를 유도하지 않습니다. “확인하려면 앱을 설치하라”면 거의 스미싱입니다.

3. 개인정보·인증번호를 물어본다. 공공기관과 금융사는 문자·전화로 비밀번호, 카드번호, 인증번호를 절대 요구하지 않습니다.

4. 과도하게 급하게 만든다. “24시간 내 미확인 시 벌금”, “오늘 마감” 같은 압박 문구는 전형적인 수법입니다.

5. 링크는 없는데 전화를 걸라고 한다. 최근에는 의심을 피하려고 링크를 빼고 특정 번호로 전화(콜백)를 유도하는 방식도 늘었습니다. 안내된 번호로 걸지 말고, 해당 기관의 공식 대표번호로 직접 확인하세요.

눈으로 판단이 어렵다면 카카오톡에서 KISA ‘보호나라’ 채널을 추가한 뒤 ‘스미싱 확인 서비스’에 문자를 붙여넣어 위험 여부를 확인할 수 있습니다.

이미 눌렀다면 — 순서대로 대응하기

링크를 눌렀거나 앱을 설치했다면 당황하지 말고 아래 순서대로 하면 됩니다. 순서가 중요합니다.

① 인터넷 차단. 곰바로 비행기 모드로 전환하고 와이파이도 끕니다. 통신을 끕어야 원격 조종·추가 유출을 막습니다.

② 악성 앱 삭제. 가장 최근 설치된 앱, 특히 확장자가 APK인 파일을 찾아 지웁니다. 모바일 백신으로 ‘악성 앱 검사’를 돌리면 더 확실합니다.

③ 118 신고·상담. 국번 없이 118(KISA 불법스팸대응센터)로 전화하면 감염 여부 판단부터 대처법까지 24시간 무료로 상담받을 수 있습니다.

④ 명의도용·재유포 차단. 통신사 고객센터에서 ‘번호도용 문자차단 서비스’를 신청하고, ‘엠세이퍼(msafer.or.kr)’에서 내 명의로 개통된 회선이 있는지 조회합니다.

⑤ 금전 피해가 있으면 즉시 지급정지. 소액결제나 계좌 이체가 발생했다면 은행 콜센터 또는 112로 즉시 지급정지를 요청하고, 통신사에 소액결제 내역 확인·차단을 요청합니다.

⑥ 마무리 점검. 각종 계정 비밀번호를 바꾸고, 필요하면 휴대폰 초기화(공장 초기화)로 잔여 악성코드를 제거합니다. 초기화 전 사진·연락처는 미리 백업하세요.

자주 쓰이는 사칭 유형과 평소 습관

택배 배송·반송, 교통 범칙금·과태료, 건강검진·예방접종 안내, 정부지원금·환급금, 청첩장·부고 등 지인 사칭이 단골 소재입니다. 특히 지인 이름으로 온 부고·청첩장 링크는 그 사람이 이미 감염돼 연락처로 재유포되는 경우가 많으니, 반드시 전화로 직접 확인하세요.

평소 습관 세 가지면 대부분 막습니다. 첫째, 스마트폰 ‘출처를 알 수 없는 앱 설치’를 차단해 둡니다(안드로이드 설정에서 기본 차단 가능). 둘째, 통신사 소액결제 한도를 0원 또는 최소로 낮춰 둡니다. 셋째, 문자 속 링크는 누르지 말고 필요하면 공식 앱·홈페이지로 직접 들어가 확인합니다.

핵심 요약 체크리스트

✅ 낯선 링크·앱 설치·개인정보 요구·급한 압박·전화 유도 → 5가지 중 하나면 의심
✅ 눈으로 애매하면 카톡 ‘보호나라’에 문자 붙여넣어 확인
✅ 이미 눌렀다면: 비행기모드 → 악성앱(APK) 삭제 → 118 → 명의도용 차단 → (피해 시) 지급정지 → 초기화
✅ 평소: 출처불명 앱 차단 + 소액결제 한도 최소 + 링크 대신 공식 앱으로 확인

스미싱은 완벽히 없앵 수는 없지만, 구별 기준과 대응 순서를 알아두면 피해를 크게 줄일 수 있습니다. 온라인 사기 대응이 궁금하다면 중고거래 사기 대처법 — 신고 절차와 환불 받는 법과 알아두면 쓸모 있는 생활 법률 가이드도 함께 보면 도움이 됩니다.

---

참고 출처: 한국인터넷진흥원(KISA) 보호나라·118 상담센터, 경찰청 사이버범죄 신고시스템(ECRM), 찾기쉬운 생활법령정보(전자금융범죄). 신고 채널·서비스는 변경될 수 있으므로 이용 전 각 기관 공식 사이트에서 확인하시기 바랍니다.