피싱 링크는 사기범이 피해자가 클릭하기를 바라며 보내는 기만적인 웹 주소입니다. 정상적인 웹사이트로 연결되는 대신, 피싱 링크는 악성코드 다운로드를 유발하거나 개인 정보를 탈취하기 위해 만들어진 가짜 악성 웹사이트로 사용자를 유도할 수 있습니다.
가짜 링크는 진짜 링크와 똑같이 보이도록 설계되지만, 추가된 문자, 잘못된 URL 구조, 단축 URL, 비라틴 문자, 숫자 또는 특수 기호 등을 통해 식별할 수 있는 경우가 많습니다.
실제 링크와 피싱 링크의 비교.
피싱 링크를 클릭하는 것이 곧바로 위험으로 이어지는 것은 아니지만, 잠재적 위험 요소와 이를 최소화하는 방법은 반드시 알아두어야 합니다. 예상되는 결과와 데이터, 재산, 온라인 계정을 보호하기 위해 취할 수 있는 실질적인 조치에 대해 자세히 살펴보겠습니다.
피싱 링크를 클릭하면 어떻게 되나요?
피싱 링크를 클릭하면 드라이브바이 다운로드가 실행되어 키로거나 원격 접속 트로이목마(RAT) 같은 악성코드가 기기를 감염시킬 수 있습니다. 또는 해당 링크가 민감한 정보를 입력하게 속이는 허위 양식이 포함된 스푸핑된 웹사이트로 연결될 수도 있습니다.
이러한 공격 경로 중 하나라도 성공하면 사이버 범죄자는 신원 도용, 은행·신용카드 잔액 인출, 온라인 계정 잠금 등에 필요한 데이터에 접근할 수 있게 됩니다. 또한 다크웹에서 데이터를 판매하거나 몸값을 요구하는 방식으로 수익을 얻으려 할 수도 있습니다.
피싱 공격으로 악성코드에 감염된 기기는 같은 네트워크에 있는 다른 기기까지 감염시킬 수 있어, 사이버 범죄자가 사기나 신원 도용에 활용할 수 있는 데이터에 더 넓게 접근하게 됩니다.
피싱 링크를 클릭한 후 공격자가 정보를 탈취하려 하는 주요 방식을 좀 더 자세히 살펴보겠습니다.
스푸핑된 웹사이트
스푸핑된 웹사이트란 공격자가 사용자를 속여 민감한 정보를 입력하게 만들기 위해 제작한 정상 웹사이트의 허위 복제본입니다. 피싱 링크를 클릭하면 이런 사이트로 연결될 수 있으며, 비밀번호, 주민등록번호, 신용카드 정보 등 민감한 데이터를 입력하라는 메시지가 표시됩니다. 이 정보를 입력하면 사이버 범죄자가 이를 이용해 신원 도용, 계정 탈취, 금융 사기를 저지를 수 있습니다.
데이터 유출
데이터 유출(data exfiltration)은 감염된 기기나 네트워크에서 원격 서버나 클라우드 스토리지 계정으로 민감한 정보가 무단 전송되는 것을 말합니다. 피싱 링크로 인해 기기가 악성코드에 감염되면, 공격자는 개인 파일, 업무 파일, 금융 파일을 빼낼 수 있으며, 이는 신원 도용, 금융 사기, 평판 손상, 법적 문제로 이어질 수 있습니다.
키스트로크 로깅
키로거(keylogger)는 사용자가 입력하는 내용을 실시간으로 기록해 사이버 범죄자에게 전송하는 소프트웨어입니다. 피싱 링크를 클릭하면 기기에 키로거가 다운로드 및 설치될 수 있습니다. 설치된 후에는 백그라운드에서 조용히 작동하며 비밀번호, 신용카드 번호 등 입력하는 모든 정보를 수집하고, 공격자는 이를 통해 사기를 저지를 수 있습니다.
원격 제어
피싱 링크를 클릭하면 원격 접속 트로이목마(RAT)가 설치되어 공격자가 컴퓨터를 원격으로 제어할 수 있게 될 수 있습니다. RAT가 설치되면 사이버 범죄자는 사용자의 활동을 추적하거나, 파일에 접근·삭제하고, 웹캠이나 마이크를 켜고, 화면을 캡처하거나, 시스템 전체를 잠글 수도 있습니다.
세션 하이재킹
웹사이트나 앱에 로그인하면 항상 활성 세션이 생성됩니다. 세션 쿠키나 토큰을 탈취하는 피싱 링크를 클릭하도록 유도당하면, 공격자가 이 세션을 가로채 비밀번호 없이 계정을 장악할 수 있습니다. 사이트는 쿠키와 토큰으로 사용자를 식별하기 때문에, 이것들이 유출되면 로그인 과정을 우회할 수 있습니다.
네트워크 침해
네트워크 침해는 공격자가 개인 가정이나 기업의 사설 네트워크에 무단으로 침입하는 것을 의미합니다. 피싱 링크로 인해 기기에 악성코드가 설치되면, 감염이 라우터를 포함한 네트워크 내 다른 기기로 확산되어 네트워크 침해 위험이 커질 수 있습니다. 이를 통해 사이버 범죄자는 더 많은 민감한 데이터에 접근할 수 있습니다.
피싱 링크를 클릭한 후 해야 할 일
피싱 링크를 클릭했다면 민감한 정보 입력을 삼가고, 진행 중인 다운로드를 중단하고, 인터넷 연결을 끊고, 파일을 보호하고, 위협 검사를 실행하고, 잠재적으로 유출된 계정을 확보하고, FTC(연방거래위원회)와 IC3(인터넷 범죄 신고 센터)에 신고하는 것을 고려해야 합니다.
피싱 링크를 클릭했을 때 데이터, 기기, 신원을 보호하기 위한 단계별 가이드를 자세히 알아보겠습니다.
- 개인 정보 입력 금지: 피싱 링크 클릭 후 스푸핑된 웹사이트로 연결되었다면 비밀번호, 신용카드 번호, 주민등록번호 등 민감한 정보를 절대 입력하지 마세요. 신원 도용, 금융 사기, 계정 무단 접근으로 이어질 수 있습니다. 즉시 페이지를 벗어나 브라우저 창을 닫으세요.
- 자동 다운로드 중단: 활성화된 다운로드를 중단하면 악성코드가 기기에 설치되는 것을 막을 수 있습니다. 브라우저를 통해 다운로드 중인 파일이 없는지 확인하고, 다운로드 폴더의 최근 파일을 점검하여 실수로 악성코드를 설치하지 않았는지 확인하세요.
- 인터넷 연결 차단: 피싱 링크 클릭 후 인터넷 연결을 끊으면 이미 설치된 악성코드가 공격자에게 데이터를 전송하는 것을 방지할 수 있습니다. 이는 사기나 신원 도용에 사용될 정보가 유출되는 것을 막아줍니다.
- 기기 백업: 피싱 링크 클릭 후 기기를 백업하면, 추가 공격으로 악성코드가 파일을 손상시키거나 삭제하더라도 데이터를 보존할 수 있습니다. 단, 악성 프로그램까지 함께 복사하지 않도록 필수 파일만 백업해야 필요할 때 깨끗한 상태로 시스템을 복원할 수 있습니다.
- 악성코드 검사: 수동으로 악성코드를 검사하고 제거했다 하더라도, 기기가 깨끗한지 확인하기 위해 악성코드 검사를 다시 실행해야 합니다. Norton 360 Deluxe는 숨겨진 악성코드를 탐지·제거하고 향후 위협으로부터 실시간 보호를 제공합니다.
- 금융 사기 방지: 주민등록번호나 신용카드 정보 등 민감한 데이터에 접근한 공격자가 신원을 도용하거나 본인 명의로 대출받는 것을 막으려면, 3대 신용평가사에 금융 사고 경보(fraud alert) 또는 신용 동결(credit freeze)을 신청하세요. 금융 정보가 유출되었다면 은행이나 카드사에도 즉시 알리세요.
- 비밀번호 변경: 피싱 링크 클릭 후 비밀번호를 변경하면 사이버 범죄자가 위험에 노출된 계정을 탈취하는 것을 막아 데이터와 자산을 더 안전하게 지킬 수 있습니다. 실수로 정보를 공유했을 가능성이 있는 계정의 비밀번호를 우선 변경하고, 다른 중요한 계정의 비밀번호도 새로 만드는 것을 고려하세요.
- 피싱 시도 신고: 마지막으로, 데이터와 기기를 보호하는 조치를 마친 후 FTC와 IC3에 사건을 신고하세요. 두 기관 모두 피싱 링크 클릭으로 인한 피해 회복에 도움이 되는 자료를 제공합니다.
피싱 링크 인식하는 방법
피싱 링크를 클릭하기 전에 인식하는 방법은 여러 가지가 있습니다. 먼저 실제 웹사이트의 URL과 비교해 철자 오류나 이상한 부분이 있는지 확인하세요. URL이 단축되었거나 변조되었다면 실제 연결될 목적지를 미리 확인해야 하며, 예상한 주소와 일치하지 않으면 클릭하지 마세요.
또한 링크의 맥락을 통해 피싱 공격 여부를 파악할 수 있습니다. 발신자에게서 이런 링크를 받을 것이라고 예상되는지, 메시지 내용이 정당해 보이는지 꼼꼼히 따져보세요.
피싱 이메일 사기의 구성 요소를 보여주는 다이어그램.
피싱 공격을 인식하는 방법을 좀 더 자세히 살펴보겠습니다.
- 단축 URL: 공격자는 bit.ly, tinyurl.com, bl.ink 같은 URL 단축 도구를 사용해 링크의 실제 목적지를 숨길 수 있습니다. 이 경우 정상 웹사이트로 연결되는지 악성 사이트로 연결되는지 판단하기 어렵습니다. 단축 URL이 합법적인 경우도 있지만, 클릭 전 반드시 전체 목적지 주소를 확인하세요.
- 철자가 틀린 URL: 사기범은 진짜 사이트와 비슷한 도메인 이름의 가짜 웹사이트를 만듭니다(예: norton.com 대신 nortoon.com). 링크를 클릭하기 전에 URL이 예상한 실제 웹사이트와 정확히 일치하는지 꼼꼼히 확인하세요.
- 모르는 발신자: 모르는 발신자가 보낸 링크가 포함된 메시지는 피싱의 대표적인 경고 신호입니다. 다만 사기범은 합법적인 조직이나 신뢰하는 사람으로 가장해 민감한 정보를 빼내거나 악성코드를 설치하게 만들기 때문에, 발신자가 눈에 익다고 해서 안전하다고만 믿어서는 안 됩니다.
- 일관성 없는 발신자 정보: 발신자가 주장하는 조직과 일치하지 않는 이메일 주소 등 일관성 없는 연락처 정보는 경고 신호입니다. 합법적인 기업은 공식 이메일 주소로 연락하며, 이는 보통 해당 기업 웹사이트에 명시되어 있습니다.
- 긴급한 문구: 공격자는 "즉각적인 조치가 필요합니다", "계정이 정지됩니다", "한정 기간 특가" 같은 긴급한 표현으로 신중하게 생각할 시간 없이 빨리 행동하게 만듭니다. 속지 말고 여유를 갖고, 의심스러우면 해당 메시지가 주장하는 조직에 직접 연락해 진위 여부를 확인하세요.
- 잘못된 철자와 문법: 합법적인 기업이 보내는 메시지에 철자나 문법 오류가 있을 가능성은 매우 낮습니다. 언어가 서투른 메시지를 받았다면, 급조된 사기일 수 있고, 비원어민이 작성했을 수 있으며, 의심 많은 사람들을 초기에 걸러내기 위한 전략일 수도 있습니다.
- 일반적인 인사말: "친애하는 고객님" 또는 "안녕하세요" 같은 일반적인 인사말은 피싱 공격의 경고 신호일 수 있습니다. 합법적인 조직은 보통 메시지에 실명을 포함해 개인화함으로써 더 신뢰할 수 있는 어조를 만듭니다.
피싱 사기를 탐지하는 가장 좋은 방법 중 하나는 AI 기반 사기 탐지 도구를 활용하는 것입니다. 이런 도구는 의심스러운 문구와 링크를 스캔해 피싱 공격 여부를 판단하는 데 도움을 줍니다. 메시지가 진짜인지 피싱인지 확신이 서지 않는다면 Norton Genie로 분석해 얼마나 주의해야 할지 강력한 판단 근거를 얻으세요.
피싱 사기로부터 보호하는 방법
피싱 링크를 식별하는 방법을 아는 것이 피해를 막는 최선의 방법이지만, 방심하는 순간을 대비해 데이터와 기기를 보호하는 조치도 함께 취할 수 있습니다.
피싱 사기에 대한 더 견고한 방어 체계를 구축하는 효과적인 방법들은 다음과 같습니다.
- 여유를 갖고 판단하기: 신뢰할 수 없는 발신자에게서 링크를 받았다면 한 번 멈춰 위험 여부를 평가하고 피싱 시도인지 조사하세요. 메시지가 아무리 긴급해 보여도 당황하거나 충동적으로 행동하지 마세요.
- 필터 활용하기: 문자 메시지 앱과 이메일 클라이언트에 스팸 필터를 설정하면 향후 피싱 시도를 차단하거나 격리할 수 있어, 실수로 속아 개인 정보를 유출할 가능성을 줄일 수 있습니다.
- 소프트웨어 최신 상태 유지하기: 소프트웨어 업데이트는 해커가 가짜 링크 클릭을 유도해 악성코드를 설치할 때 악용할 수 있는 보안 취약점을 패치하는 경우가 많습니다. 운영체제와 개별 앱을 모두 최신 상태로 유지하는 것이 가장 효과적인 보호책입니다.
- 2단계 인증(2FA) 사용하기: 2단계 인증은 로그인 시 추가 인증을 요구함으로써 온라인 계정에 한층 강력한 보안을 더합니다. 피싱 공격으로 비밀번호가 유출되더라도 공격자가 계정에 접근하기가 훨씬 어려워집니다.
기기에서 악성코드 찾기
무엇을 살펴야 하는지 알고 있어도, 정교한 피싱 공격은 방심한 틈을 노립니다. 피싱 링크를 클릭했다면 Norton 360 Deluxe로 악성코드를 검사하고 제거해 사이버 범죄자가 민감한 데이터에 접근하는 것을 막으세요. 사기 탐지 도구와 가짜 웹사이트 차단 기능까지 갖춰 향후 위협으로부터도 방어할 수 있습니다.
자주 묻는 질문
아이폰에서 피싱 링크를 클릭했다면 어떻게 해야 하나요?
Apple은 엄격한 보안 프로토콜을 적용해 iOS 기기가 악성코드에 감염되기 어렵습니다. 아이폰이 탈옥(jailbreak)되지 않았다면 피싱 링크를 클릭해도 악성코드를 크게 걱정하지 않아도 됩니다. 그래도 비행기 모드를 켜 네트워크 연결을 차단하고, Apple ID 비밀번호를 변경하며, 모바일 보안 검사를 실행하는 등 예방 조치를 취해 다른 공격 경로에 대비하는 것이 좋습니다.
피싱 링크를 클릭했지만 정보를 입력하지 않았다면 위험한가요?
네, 그럴 수 있습니다. 아무 정보도 입력하지 않았더라도, 피싱 링크가 연결하는 가짜 웹사이트는 자동으로 악성코드를 다운로드해 기기 보안을 위협할 수 있습니다.
스푸핑된 웹사이트에 정보를 입력했다면 스스로를 보호할 방법이 있나요?
피싱 사기꾼에게 실수로 정보를 넘긴 후 자신을 보호하는 가장 좋은 방법은 유출된 것으로 보이는 모든 계정의 비밀번호를 변경하고, 은행에 연락해 금융 자산을 보호하며, 신원 도용으로 인한 피해를 줄이기 위해 신용 동결을 신청하는 것입니다.
피싱 링크가 휴대폰을 해킹할 수 있나요?
피싱 링크는 휴대폰에 악성코드를 설치할 수 있으며, 이 경우 휴대폰이 해킹되어 사이버 범죄자가 민감한 데이터를 탈취할 수 있습니다. 다만 모바일 기기에서는 악성코드 감염이 상대적으로 드문 편입니다.